Las bandas de ransomware evolucionan con nuevos modelos de afiliación para atraer a los ciberdelincuentes.

El panorama del ransomware continúa evolucionando rápidamente, y una investigación reciente de Secureworks revela que los actores de amenazas están adoptando un enfoque más corporativo frente al cibercrimen. Dos grupos de ransomware, DragonForce y Anubis, ofrecen programas de afiliados ampliados que imitan estructuras empresariales legítimas, con ofertas de servicios, flexibilidad de marca y sistemas de soporte.

Estos avances marcan una tendencia preocupante en el mundo del ransomware como servicio (RaaS), un modelo que ya ha hecho que sea alarmantemente fácil para atacantes menos hábiles lanzar campañas de ransomware devastadoras.

DragonForce se transforma en un cártel de ciberdelitos

DragonForce, una operación de RaaS que surgió en agosto de 2023, se rebautizó recientemente como "cártel", una medida que pone de manifiesto su transición hacia una estructura más descentralizada. Según la Unidad de Contraamenazas (CTU) de Secureworks, el grupo ofrece ahora un modelo de afiliación único que permite a los ciberdelincuentes crear sus propias marcas de ransomware.

En lugar de exigir a sus afiliados que usen su ransomware, DragonForce proporciona acceso a su infraestructura, incluyendo paneles de administración y de cliente, herramientas de cifrado, sistemas de negociación de rescates, soluciones de almacenamiento de datos, un sitio de filtraciones basado en Tor y atención al cliente. Esta flexibilidad resulta atractiva para los atacantes que tienen su propio malware, pero que necesitan ayuda con la logística, la infraestructura o la interacción con las víctimas.

Si bien este modelo puede atraer a una gama más amplia de ciberdelincuentes, también conlleva riesgos. Si una filial se ve comprometida, otras conectadas a la infraestructura compartida también podrían verse expuestas, lo que podría desentrañar redes enteras de ataques coordinados.

Anubis ofrece tres tipos de asociaciones de ransomware

Anubis, otro operador de RaaS, también rompe moldes al introducir tres modelos de afiliación distintos. Cada uno ofrece una vía distinta para los delincuentes que buscan monetizar sus ataques:

1. Una configuración clásica de RaaS, en la que los afiliados conservan el 80 % de los pagos del rescate.
2. Un modelo de "rescate de datos" en el que se publican análisis detallados de las víctimas en un sitio protegido con contraseña para presionarlas a pagar.
3. Un modelo de “monetización de acceso” que ayuda a los afiliados a extorsionar a víctimas previamente comprometidas, ofreciendo el 50% de las ganancias del rescate.

El método de rescate de datos destaca por su similitud con una forma de marketing de contenidos delictivo. Los operadores de Anubis publican un "artículo de investigación" sobre los datos robados de la víctima y luego lo comparten con ella en privado, advirtiéndole que, de no pagar, la información se hará pública. Incluso han utilizado su presencia en redes sociales para aumentar la presión y amenazar con divulgar la información a clientes y organismos reguladores.

Los operadores de ransomware ahora operan como empresas

Estos modelos de afiliación demuestran que los grupos de ransomware modernos operan cada vez más como empresas legítimas. Desde ofrecer soporte técnico hasta permitir la personalización de la marca, las estrategias están diseñadas para atraer a una gama más amplia de posibles atacantes. De hecho, la oferta de DragonForce se asemeja mucho a la de un proveedor de servicios gestionados, pero sin la legalidad.

Según Rafe Pilling, Director de Inteligencia de Amenazas de Secureworks, los defensores deberían empezar a considerar a las bandas de ransomware como entidades comerciales. Estos actores de amenazas se adaptan rápidamente, buscando obtener ganancias y reaccionando a los cambios en el ecosistema del cibercrimen, incluyendo las medidas represivas de las fuerzas del orden y la disminución del pago de rescates.

Cómo pueden mantenerse protegidas las organizaciones

Dado que la barrera de entrada para los ataques de ransomware se está reduciendo aún más, las organizaciones deben tomar medidas proactivas para fortalecer sus defensas. La CTU de Secureworks recomienda las siguientes medidas de seguridad:

• Aplicar parches regularmente a los sistemas conectados a Internet
• Implementar autenticación multifactor resistente al phishing
• Mantener copias de seguridad seguras y fuera de línea de datos críticos
• Supervisar los puntos finales y las redes para detectar comportamientos inusuales
• Desarrollar y probar un plan detallado de respuesta a incidentes

La creciente sofisticación de las bandas de ransomware y sus modelos de ataque representa una amenaza creciente para la ciberseguridad global. Comprender cómo funcionan estas operaciones y prepararse para ellas como uno se prepararía para un competidor corporativo astuto puede ser la clave para mantenerse a la vanguardia.