Organizaciones de atención médica bajo asedio por el ransomware Trinity

El sector de la salud se enfrenta a una creciente amenaza cibernética por parte de una nueva variante de ransomware conocida como Trinity . El Departamento de Salud y Servicios Humanos de Estados Unidos (HHS) ha emitido una advertencia para alertar a las organizaciones de atención médica y salud pública sobre los peligros inminentes.

El ransomware, una amenaza en aumento

Detectado por primera vez en mayo de 2024, Trinity es una cepa de ransomware relativamente nueva. Cifra archivos y agrega una extensión ".trinitylock". Según el HHS, comparte similitudes con otras familias de ransomware como 2023Lock y Venus. Estos grupos suelen atacar infraestructuras críticas y Trinity no es una excepción.

Al igual que otros programas de ransomware, Trinity utiliza un sitio de filtración para enumerar a sus víctimas y negociar con las organizaciones el descifrado de archivos. Los operadores del ransomware extraen datos antes de bloquear los sistemas para mantenerlos como rehenes y extorsionarlos más adelante.

Una vez dentro, Trinity utiliza correos electrónicos de phishing, software vulnerable y sitios web maliciosos para obtener acceso. Luego, realiza un reconocimiento de la red, escanea los sistemas y se mueve lateralmente para elevar los privilegios. Una táctica avanzada que utiliza Trinity es hacerse pasar por el token de procesos legítimos para expandir su alcance dentro de la red de la víctima.

Métodos de encriptación y extorsión

Después de obtener acceso total, Trinity cifra los archivos utilizando un algoritmo de cifrado sólido. Los archivos quedan inutilizables a menos que la víctima posea la clave de descifrado correcta. Cada archivo afectado se etiqueta con una extensión ".trinitylock", que identifica claramente los datos cifrados.

Tras el proceso de cifrado, las víctimas reciben notas de rescate en formato de texto y .hta, junto con fondos de pantalla modificados que muestran el ataque. La nota de rescate suele incluir una URL en formato Onion para acceder al sitio del atacante e instrucciones para comunicarse.

Enlaces a otras familias de ransomware

El HHS señala que Trinity es sorprendentemente similar a las familias de ransomware 2023Lock y Venus. Comparten el algoritmo de cifrado ChaCha20 y sus notas de rescate, nombres de mutex y valores de registro son casi idénticos. Estas profundas conexiones sugieren que Trinity podría ser un sucesor directo de 2023Lock, lo que lo convierte en una amenaza en evolución.

Impacto en las organizaciones de atención de salud

Los sectores de la salud pública y la atención sanitaria son especialmente vulnerables. Una organización sanitaria estadounidense ya ha sido víctima de este grupo y, hasta el momento, el sitio de filtraciones de Trinity enumera cinco víctimas. Entre ellas se encuentra Rocky Mountain Gastroenterology, de la que los atacantes afirman haber robado 330 gigabytes de datos.

Actualmente, no hay herramientas de descifrado disponibles para el ransomware Trinity, lo que deja a las víctimas con pocas opciones. Si bien algunas personas han tenido un éxito parcial con el uso de herramientas de recuperación de datos, la necesidad de asesoramiento experto por parte de profesionales de la ciberseguridad es alta.

Preparándose para el próximo ataque

El riesgo que plantean Trinity y otras familias de ransomware para los sistemas sanitarios es evidente. ¿Qué medidas debería adoptar su organización para prevenir un ataque? ¿Sus defensas actuales son suficientes para resistir una vulneración? La adopción de medidas de seguridad proactivas y bien pensadas puede marcar la diferencia entre convertirse en víctima o mantenerse a salvo.