Informes
Alerta en la comunidad de ciberseguridad por la reciente actividad de Darkside Ransomware, el cual está atacando empresas de distintas verticales en la región.
Alerta en la comunidad de ciberseguridad por la reciente actividad de Darkside Ransomware, el cual está atacando empresas de distintas verticales en la región.
Darkside es un ransomware que opera desde agosto del 2020, Los actores de la amenaza declararon que no apuntan a los siguientes tipos de organizaciones: Medicina (hospitales, hospicios), Educación (escuelas, universidades), Organizaciones sin fines de lucro, Sector gubernamental.
Una de las características más apreciables de DarkSide es su extensión de encriptación “.d0ac7d95” y la generación del siguiente archivo mensaje de rescate similar a REvil. “README.[ID_de_la_víctima].TXT”. Este, encripta archivos de texto, pdf, planillas de cálculo, videos, imágenes.
Dicho malware, afecta mayormente a dispositivos con sistema operativo Windows en todas sus versiones.
Según investigaciones, Darkside también emplea técnicas para la escalada de privilegios y la omisión de UAC (User Access Control). La técnica observada en este caso se conoce como CMSTPLUA UAC Bypass y explota la función ShellExec mediante la interfaz CMSTPLUA COM {3E5FC7F9-9A51-4367-9063-A120244FBEC7}. Esto permite iniciar un proceso con permisos elevados.
Así mismo utiliza el siguiente comando PowerShell para eliminar snapshots por una posible recuperación de archivos por parte del afectado:
PowerShell -ep bypass -c
“(0..61) |% {$ s + = [char] [byte] ('0x' + '4765742D576D694F626A6563742057696E33325F536861646F77
636F7079207C20466F72456163682D4F626D524637
). ”
Decodificado:
Get-WmiObject Win32_Shadowcopy | Para cada objeto {$ _. Delete ();}
Una vez comenzado el proceso de infección y eliminación de Snapshots busca los siguientes servicios para comenzar la encriptación:
Luego de la fase de cifrado DarkSide se comunica con un servidor de C&C con el fin de compartir la información cifrada del afectado, el servidor este asignado con el nombre de dominio securebestapp20.com.
Hashes DarkSide:
IP DarkSide:
Dominio DarkSide:
Cómo aprovechan los piratas informáticos las funciones de los chatbots para restaurar los chats cifrados de OpenAI ChatGPT, Microsoft Copilot y la mayoría de los demás chatbots de IA.
American Express advierte a sus clientes que las tarjetas de crédito quedaron expuestas en una violación de datos de terceros después de que un procesador comercial fuera pirateado.
La mayoría de las empresas que optan por pagar para recuperar el acceso a sus sistemas cifrados experimentan un posterior ataque de ransomware. Y casi la mitad de los que pagan dicen que algunos o todos los datos recuperados estaban corruptos.
En el mundo digital actual, los ataques de ransomware han emergido como una de las amenazas cibernéticas más peligrosas y perjudiciales. Este tipo de incidentes pone de manifiesto la necesidad urgente para que los funcionarios y autoridades gubernamentales tomen medidas proactivas para proteger a la comunidad contra esta creciente amenaza.
Uno de los aspectos más importantes a la hora de hablar de la seguridad de la información es la protección de la información y el acceso a los archivos: ya sea porque contienen datos personales, información sensible o porque simplemente se quiere que sean privados.
