{"id":2872,"date":"2021-07-06T12:02:02","date_gmt":"2021-07-06T17:02:02","guid":{"rendered":"https:\/\/www.itechsas.com\/blog\/?p=2872"},"modified":"2021-07-06T12:19:23","modified_gmt":"2021-07-06T17:19:23","slug":"ransomware-revil-afecta-mas-de-1-millon-de-sistemas-en-el-mundo-incluida-colombia","status":"publish","type":"post","link":"https:\/\/www.itechsas.com\/blog\/malware\/ransomware-revil-afecta-mas-de-1-millon-de-sistemas-en-el-mundo-incluida-colombia\/","title":{"rendered":"Ransomware REvil afecta m\u00e1s de 1 mill\u00f3n de sistemas en el mundo incluida Colombia"},"content":{"rendered":"\n

El grupo REvil afirm\u00f3 en una publicaci\u00f3n en su sitio de la Dark web, que utiliza para divulgar informaci\u00f3n sobre sus v\u00edctimas, que m\u00e1s de un mill\u00f3n de sistemas <\/strong>fueron comprometidos y que ofrecen un descifrador para todas las v\u00edctimas del ataque de Kaseya por 70 millones de d\u00f3lares<\/strong>.<\/p>\n\n\n\n

REvil \/ Sodinokibi ha sido uno de los grupos de ransomware como servicio (RaaS) m\u00e1s prol\u00edficos en los \u00faltimos dos a\u00f1os enfocado en sistemas Windows cuya propagaci\u00f3n sigue el modelo RaaS<\/em> es decir, c\u00f3digo malicioso que se comercializa de forma personalizada, ajust\u00e1ndose a las necesidades de cada uno de los suscriptores.<\/p>\n\n\n\n

Desde su aparici\u00f3n en el 2019 REvil \/ Sodinokibi a infectado cerca de 500,000 empresas a nivel mundial. Empresas como Travelex<\/strong> (Londres), CivicSmart<\/strong> (USA), BancoEstado<\/strong> (Chile), Acer <\/strong>(Taiwan) entre otras han sido victimas de REvil. Por ejemplo Acer en 2020 despu\u00e9s del ataque, REvil hab\u00eda exigido 50 millones de d\u00f3lares por el rescate de su informaci\u00f3n. <\/p>\n\n\n\n

En abril de 2021, seg\u00fan del blog de la organizaci\u00f3n cibercriminal REvil, Happy Blog (http:\/\/dnpscnbaix6nkwvystl3yxglz7nteicqrou3t75tpcc5532cztc46qyd.onion\/<\/a>) se conoci\u00f3 que se habr\u00edan hecho con los planos completos de fabricaci\u00f3n de MacBook Air, MacBook Pro y Apple Watch<\/strong> que se encontraban en la infraestructura de Quanta<\/strong>, un importante fabricante y proveedor de Apple, pero tambien de importantes fabricantes como Dell, Hewlett-Packard Inc., Alienware, Amazon, Cisco, Fujitsu, Gericom, Lenovo, LG, Maxdata, Microsoft, MPC, BlackBerry Ltd, Sharp Corp., Siemens AG, Sony, Sun Microsystems, Toshiba, Verizon Wireless y Vizio. <\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Ahora con un ataque masivo del ransomware REvil \/ Sodinokibi, afect\u00f3 a m\u00e1s de 1.000 compa\u00f1\u00edas en al menos 17 pa\u00edses del mundo mediante un ataque de cadena de suministro utilizando un instalador de una actualizaci\u00f3n autom\u00e1tica del software de gesti\u00f3n de IT de la compa\u00f1\u00eda Kaseya, que es utilizado com\u00fanmente por proveedores de servicios administrados. Un proveedor de servicios administrados (MSP, por sus siglas en ingl\u00e9s) es una empresa que ofrece servicios de gesti\u00f3n de tecnolog\u00eda de la informaci\u00f3n (IT) de manera remota. En este caso, la actualizaci\u00f3n con permisos de administrador afect\u00f3 a los MSP y estos a su vez infectaron los sistemas de sus clientes con la amenaza, como fue el caso de una cadena de supermercados en Suecia<\/a> que tuvo que cerrar algunas tiendas y al menos 11 escuelas en Nueva Zelanda<\/a>.<\/p>\n\n\n\n

Luego de los ataques a los servidores de Kaseya VSA en la tarde noche del pasado viernes 2 de julio \u2014que involucraron la explotaci\u00f3n de una vulnerabilidad zero-day que estaba en proceso de ser reparada\u2014, seg\u00fan datos de la telemetr\u00eda de ESET se detectaron v\u00edctimas del ransomware REvil relacionadas con este ataque en: Reino Unido, Sud\u00e1frica, Canad\u00e1, Alemania, Estados Unidos, Colombia<\/strong>, Suecia, Kenia, Argentina, M\u00e9xico, Holanda, Indonesia, Jap\u00f3n, Mauritania, Nueva Zelanda, Espa\u00f1a y Turqu\u00eda.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

ESET a\u00f1adi\u00f3 detecci\u00f3n de esta variante de la ransomware como Win32 \/ Filecoder.Sodinokibi.N troyano el 2 de julio nd<\/sup>  a 15:22 (EDT; UTC-04: 00). Esta detecci\u00f3n incluye tanto el cuerpo principal del ransomware como las DLL que descarga. <\/p>\n\n\n\n

Kaseya, compa\u00f1\u00eda que cuenta con aproximadamente 40.000 clientes, explic\u00f3 en su sitio web<\/a> \u2014el cual ha ido actualizando\u2014 que notific\u00f3 a las personas potencialmente afectadas con la recomendaci\u00f3n de cerrar posibles servidores VSA de manera inmediata hasta tanto se publique el parche. <\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Sin embargo, para muchas empresas hab\u00eda sido tarde y fueron afectadas por el ransomware que cifr\u00f3 su informaci\u00f3n.<\/p>\n\n\n\n

Si bien mucho de los productos de seguridad detectan este malware, hubo un desfase entre el momento en que los servidores comprometidos se vieron afectados por los ataques y el momento en que los equipos de soporte y el software pudieron responder, lo que provoc\u00f3 que las primeras infecciones tuvieran tiempo de hacer su da\u00f1o, explicaron<\/a> los especialistas de ESET Aryeh Goretsky y Cameron Camp.<\/p><\/blockquote><\/figure>\n\n\n\n

Una vez que el ransomware cifra la informaci\u00f3n el fondo del escritorio cambia a una imagen como la que se aprecia en la siguiente Imagen<\/p>\n\n\n\n

\"Figure<\/a>
Fondo del escritorio del equipo comprometido.<\/figcaption><\/figure><\/div>\n\n\n\n

<\/a><\/p>\n\n\n\n

El archivo README.TXT, que contiene la nota de los atacantes es aleatoria.<\/a><\/p>\n\n\n\n

\"\"<\/a>
Nota del rescate.<\/figcaption><\/figure>\n\n\n\n

Seg\u00fan reportes<\/a> del 3 de julio son cerca de 1.000 las compa\u00f1\u00edas afectadas en este ataque de cadena de suministro y est\u00e1n trabajando con la mayor rapidez posible para contener el ataque y notificar a los equipos de TI.<\/p>\n\n\n\n

El pago solicitado a cada v\u00edctima de este ataque es distinto para cada caso, llegando a 5 millones de d\u00f3lares el monto m\u00e1s elevado que algunos investigadores aseguran haber visto. Como muchas veces hemos mencionado, los montos solicitados por los atacantes var\u00edan de acuerdo con la empresa afectada, siendo generalmente las cifras m\u00e1s elevadas exigidas a compa\u00f1\u00edas que cuentan con mayores ganancias.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Seg\u00fan explica el sitio BleepingComputer<\/a>, este ataque de REvil solo cifr\u00f3 los archivos de las v\u00edctimas y no rob\u00f3 informaci\u00f3n previo al cifrado para extorsionar a las v\u00edctimas que no paguen con filtrar la informaci\u00f3n secuestrada, algo que suele hacer este ransomware as\u00ed como otras bandas<\/a>. Adem\u00e1s, el hecho de que no se hubiera robado informaci\u00f3n sugiere que los atacantes no accedieron a la red de la victima, sino que abusaron de la vulnerabilidad de Kaseya VSA para distribuir y ejecutar el malware.<\/p>\n\n\n\n

En las \u00faltimas horas el grupo REvil public\u00f3 en su sitio de la dark web que ofrece a las v\u00edctimas de Kaseya un descifrador para que puedan recuperar los archivos del cifrado a cambio de 70 millones de d\u00f3lares. <\/p>\n\n\n\n

\"\"<\/a>
Nota que dej\u00f3 el grupo REvil<\/figcaption><\/figure>\n\n\n\n

Seg\u00fan el grupo, m\u00e1s de un mill\u00f3n de sistemas fueron comprometidos. Sin embargo, los operadores detr\u00e1s del grupo parecen abiertos a negociar por un precio m\u00e1s bajo el descifrador<\/a>.<\/a><\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Por su parte, el instituto holand\u00e9s para la divulgaci\u00f3n de vulnerabilidades (DIVD, por sus siglas en ingl\u00e9s) que fue quien descubri\u00f3 la zero-day<\/a> y la report\u00f3 a Kaseya, public\u00f3 informaci\u00f3n<\/a> el 4 de julio en la que afirma que en las \u00faltimas 48 horas el n\u00famero de instancias de Kaseya VSA a las cuales se puede acceder desde Internet baj\u00f3 de 2.200 a menos de 140.<\/p>\n\n\n\n

Como funciona REVIL \/ SODINOKIBI<\/h3>\n\n\n\n

En la siguiente imagen se muestra como funciona el ransomware REVIL \/ SODINOKIBI a nivel general, el cual tuvo su aparici\u00f3n en abril de 2019 y que se caracteriza por robar la informaci\u00f3n antes de cifrarla y pedir el rescate.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Se recomienda que aquellas empresas que tienen servidores que pueden haber sido comprometidos por este ataque que se mantengan informadas y que apaguen las m\u00e1quinas potencialmente vulnerables o que al menos las a\u00edslen de la red hasta que aparezca m\u00e1s informaci\u00f3n, mencionaron Goretsky y Camp.<\/p>\n\n\n\n

Por su parte, la Agencia Nacional de Ciberseguridad de Estados Unidos junto al FBI\u00a0publicaron una gu\u00eda<\/a>\u00a0para los proveedor de servicios administrados afectados por este ataque as\u00ed como para sus clientes, que incluye, entre otros puntos, descargar la\u00a0herramienta de detecci\u00f3n de Kaseya VSA<\/a>, la cual analiza un sistema e indica si se detecta la presencia de alg\u00fan\u00a0Indicador de compromiso<\/a>.<\/p>\n\n\n\n

Este tipo de ataques fueron presentados como uno de las tendencias de los ciberdelicuentes para el 2021:<\/p>\n\n\n\n

\n