Los investigadores de seguridad cibernética de Flashpoint, el equipo de investigación de fotones de Digital Shadows y otras empresas han confirmado que XSS, un popular foro de ciberdelincuentes, ha prohibido por completo las ventas de ransomware, el alquiler de ransomware y los programas afiliados de ransomware en su plataforma, según un anuncio publicado en ruso.
La medida se produce después de que aumentara el escrutinio global de los grupos de ransomware luego de un ataque dañino en Colonial Pipeline que dejó partes de los Estados Unidos con escasez de gas durante días.
Flashpoint informó que el jueves por la noche, un administrador de XSS dijo que la decisión de prohibir las actividades de ransomware de grupos activos como REvil, Babuk, Darkside, LockBit, Nefilim y Netwalker se debió a «diferencias ideológicas», así como a la mayor atención de los medios resultante. de los últimos ataques de alto perfil.
La declaración dijo que la «masa crítica de tonterías, exageraciones y ruido» estaba generando preocupaciones entre los miembros del foro sobre la aplicación de la ley. Citaron un comentario reciente de Dmitry Peskov, secretario de prensa del presidente ruso Vladimir Putin, que decía que el estado ruso no estuvo involucrado en el ataque al Oleoducto Colonial.
«Peskov se ve obligado a poner excusas frente a nuestros ‘amigos’ en el extranjero; esto es demasiado», decía el comunicado, según la traducción de Flashpoint. La compañía señaló que a las 7 am del viernes, todas las publicaciones de DarkSide en el foro habían sido eliminadas.
DarkSide supuestamente está sintiendo la presión de otras maneras, según Flashpoint, y el grupo envió una declaración en otro foro de ciberdelincuentes, Exploit, afirmando que algunas de sus herramientas fueron interrumpidas.
En una publicación ahora eliminada, los representantes de DarkSide escribieron que el grupo había «perdido el acceso a la parte pública de nuestra infraestructura», que incluía el blog del grupo, su servidor de pago y los servidores DOS.
El grupo afirmó que «los fondos del servidor de pagos (nuestros y de los clientes) se retiraron a una dirección desconocida». Algunos analistas de seguridad cuestionaron si las afirmaciones eran reales y se preguntaron si el mensaje era simplemente una artimaña para reducir el escrutinio gubernamental de sus acciones.
La situación de DarkSide también estaba teniendo un efecto en otras pandillas de ransomware como REvil, que lanzó un nuevo conjunto de «directrices» instando a sus miembros a mantenerse alejados de las instituciones educativas y de atención médica, así como de las organizaciones gubernamentales. Las nuevas reglas exigen que todos los nuevos objetivos deben ser acordados por los líderes del grupo, según el mensaje encontrado por Flashpoint.
Los representantes del ransomware Avaddon publicaron pautas similares sobre Exploit, según Digital Shadows. En la última semana, tanto el FBI como el Centro de Seguridad Cibernética de Australia han publicado avisos específicos sobre Avaddon.
«Después del cierre de DarkSide, el panorama del ransomware está dominado por cuatro colectivos principales: REvil, LockBit, Avaddon y Conti. Flashpoint evalúa con confianza moderada que los colectivos de ransomware bien establecidos, incluidos REvil, LockBit, Avaddon y Conti, continuarán. para operar en modo privado», agregó el informe de Flashpoint.
«Además, es probable que los colectivos de ransomware comiencen a anunciar el reclutamiento de nuevos afiliados a través de sus propios sitios de filtración, ya que muchos foros de ciberdelincuentes, como XSS, y otras plataformas similares utilizadas para anuncios de ransomware ahora probablemente se negarán a alojar sus actividades».
Digital Shadows señaló que DarkSide todavía tiene un hilo de reclutamiento en Exploit, aunque no se ha actualizado desde abril.
Roger Grimes, evangelista de defensa basado en datos en KnowBe4, dijo que el temor entre los investigadores de seguridad es que gran parte de esto es un escaparate para que las principales potencias involucradas puedan decir que se hizo algo.
Señaló que uno de los principales problemas con el ransomware, que las personas detrás de él no pueden ser arrestadas, sigue siendo un problema importante que conducirá a más ataques.
«Además de eso, muchos países son absolutamente refugios seguros contra el ciberdelito. Muchos países no tienen ningún problema con los ciberdelincuentes que se originan en su país, siempre y cuando los delincuentes no ataquen a sus propios países y acepten tácitamente hacer favores al gobierno, si se les solicita. «, explicó Grimes, y agregó que algunas naciones usan dinero robado para ayudar a financiar servicios gubernamentales.
«Lo financia directamente porque los perpetradores están pagando costosos sobornos locales y políticos para mantenerse en el negocio, e indirectamente porque gastan el dinero en bienes y servicios en el país. En muchos países, los funcionarios casi celebran a los ciberdelincuentes».
Debido a la atención no deseada que genera el ataque a un oleoducto crítico como el de Colonial, Grimes dijo que algunos de los involucrados en DarkSide pueden ser castigados o arrestados, pero los países no dejarán de servir como refugios para el ciberdelito debido a lo lucrativo que es.
«La única lección aprendida en este caso es que se ha establecido un nuevo límite. No haga algo que cause escasez de energía que moleste al gobierno de la otra nación», dijo Grimes. «¿Pero impedirá que roben decenas de miles de millones de dólares de decenas de miles de empresas e individuos? No».
Agregó que era necesario tomar medidas drásticas a escala mundial para evitar que los países protegieran a las pandillas de ransomware que operaban con impunidad, y señaló que la ONU ya ha iniciado un esfuerzo para lograr que los países firmen algo similar a una «Convención de Ginebra digital», aunque es poco probable que llegue muy lejos, dijo Grimes.
El defensor de la conciencia de seguridad de KnowBe4, Erich Kron, dijo que XSS envió una fuerte señal al prohibir a estos jugadores de su foro, pero señaló que hasta que los países se unan para hacer algo con respecto al ransomware, poco cambiará.
«Entre el problema del oleoducto, los ataques a los hospitales que cerraron los centros de traumatología y los departamentos de emergencia, y la pérdida de vidas sufrida cuando se derribó un hospital alemán, no es de extrañar que estos ciberdelincuentes estén en el punto de mira», dijo Kron.
«Se ha vuelto dolorosamente obvio que el ransomware representa una seria amenaza para la vida y el bienestar de las personas, incluso fuera de las organizaciones que son rescatadas. En última instancia, para sacar un bocado de estas pandillas, los gobiernos de todo el mundo deben unirse y cerrar. derribar las infraestructuras ilícitas y arrestar a los jugadores. Debemos hacer que el riesgo sea mayor que la recompensa si queremos poner fin a esta peligrosa tendencia».
El gigante de la ciberseguridad FireEye envió un aviso en Twitter el viernes por la tarde diciendo que DarkSide cerraría su servicio por completo y proporcionaría descifradores a «empresas que no han pagado, posiblemente a sus afiliados para distribuir». La compañía dijo que «no ha validado de forma independiente estas afirmaciones y hay algunas especulaciones de otros actores de que esto podría ser una estafa de salida».
