El miembro promedio del grupo de ransomware Conti gana un salario de $ 1,800 por mes, una cifra que podría considerar baja considerando el éxito de la banda criminal.
El miércoles, Secureworks publicó un conjunto de hallazgos basados en los registros de chat internos del grupo, filtrados a principios de este mes y analizados por los investigadores de seguridad cibernética desde entonces.
Los registros de mensajes internos se filtraron en línea después de que Conti, rastreada como Gold Ulrick por Secureworks, declarara su apoyo público a la invasión rusa de Ucrania, un conflicto en curso.
Conti es un prolífico grupo de ransomware sospechoso de ser de origen ruso que se ha cobrado cientos de organizaciones víctimas en todo el mundo. El grupo se infiltrará en una red, ya sea de forma independiente o mediante la compra de acceso inicial a través de foros clandestinos, robará datos, cifrará redes y luego exigirá un rescate. Las víctimas que se niegan a pagar pueden encontrar su información filtrada en línea.
La demanda promedio de ransomware de Conti es de aproximadamente $ 750,000, pero dependiendo del tamaño y los ingresos anuales de una víctima, los pagos de chantaje pueden establecerse mucho más altos, a veces llegando a millones de dólares.
Los investigadores de Check Point examinaron previamente los registros de chat de Conti y expusieron una operación bastante «mundana», del tipo que esperaría que ejecutara un negocio típico de desarrollo de software.
Esto incluía una infraestructura comercial que ofrecía opciones de trabajo remoto, híbrido o de oficina, revisiones de desempeño, bonificaciones y un proceso de contratación para codificadores, evaluadores, administradores de sistemas y recursos humanos.
Mientras se entrevista a los nuevos miembros, no se les dice a todos que están postulando para trabajar con un equipo criminal, como han revelado algunos mensajes de ‘empleados’. Sin embargo, se les puede ofrecer salarios mucho más altos que el promedio local para quedarse cuando se sepa la verdad.
Según el análisis de Secureworks de los registros, que contienen 160 000 mensajes intercambiados entre casi 500 personas entre enero de 2020 y marzo de 2022, había 81 personas involucradas en la nómina, con un salario promedio de $1800 por mes.
Mensaje de nómina al líder del grupo Stern (traducción al ruso) Trabajos seguros
Si bien es probable que los operadores centrales se lleven una porción mucho mayor del pastel, se estima que el hogar ruso promedio gana $ 540 por mes, por lo que el «salario» ofrecido por los grupos de ciberdelincuentes podría ser un gran atractivo. Además, con el valor del rublo cayendo debido a las sanciones internacionales, esto puede atraer a más personas a ingresar a este mercado.
Además, Secureworks ha encontrado filtraciones entre el «líder designado» de Conti, apodado «Stern», y otros grupos de ciberdelincuentes.
Stern es una figura descrita como alguien que toma «decisiones organizacionales clave, distribuye la nómina, gestiona las crisis e interactúa con otros grupos de amenazas». El equipo sospecha que también ocupan una posición de liderazgo en Gold Ulrick (Trickbot/BazarLoader).
Secureworks también encontró conexiones con los grupos ciberdelincuentes Gold Crestwood (Emotet), Gold Mystic (LockBit) y Gold Swathmore (IcedID), aunque esto puede ser solo para fines de comunicación o colaboración.
«Los chats revelan un ecosistema de ciberdelincuencia maduro en múltiples grupos de amenazas con colaboración y apoyo frecuentes», dicen los investigadores. «Los miembros de grupos que antes se creía que eran distintos colaboraron y se comunicaron con frecuencia con miembros de otros grupos de amenazas. Esta interconectividad muestra las motivaciones y relaciones de estos grupos. Destaca su ingenio y capacidad para aprovechar la experiencia en la materia dentro de los grupos».
El 20 de marzo, un investigador anónimo, que se cree que proviene de Ucrania, también publicó una versión reciente del código fuente del ransomware Conti. El paquete se cargó en VirusTotal en beneficio de los equipos de defensa de ciberseguridad, pero también puede adaptarse para que lo usen los actores de amenazas.
Ver también
¿Tienes un consejo? Póngase en contacto de forma segura a través de WhatsApp | Señal al +447713 025 499, o más en Keybase: charlie0
