El FBI acaba con el grupo de ransomware Hive en una operación encubierta
El Departamento de Justicia de los Estados Unidos (DOJ) junto con socios internacionales destruyeron la Colmena Secuestro de datos Grupo. La operación, que comenzó en julio de 2022, dio como resultado que el FBI penetrara en las redes informáticas de Hive, capturara sus claves de descifrado y las ofreciera a las víctimas en todo el mundo, lo que impidió que las víctimas pagaran el rescate de 130 millones de dólares exigido, dijo el Departamento de Justicia en un comunicado. lanzamiento el jueves.
«Anoche, el Departamento de Justicia desmanteló una red internacional de ransomware responsable de extorsionar y extorsionar a cientos de millones de dólares de víctimas en los Estados Unidos y en todo el mundo», dijo el fiscal general Merrick B. Garland en el comunicado.
Desde que se infiltró en la red de Hive en julio de 2022, el FBI ha entregado más de 300 claves de descifrado a las víctimas de Hive que fueron atacadas. El FBI también distribuyó más de 1000 claves de descifrado adicionales a víctimas anteriores de Hive.
En coordinación con la Policía Criminal Federal Alemana y la Jefatura de Policía de Reutlingen-CID Esslingen y la Unidad Nacional de Delitos de Alta Tecnología de los Países Bajos, el departamento tomó el control de los servidores y sitios web que Hive usaba para comunicarse con sus miembros, interrumpiendo la capacidad de Hive para atacar y chantajear a los víctimas
Grupo de ransomware Hive
El grupo de ransomware Hive se ha centrado en más de 1500 víctimas en más de 80 países de todo el mundo, incluidos hospitales, distritos escolares, empresas financieras e infraestructura crítica. En 2022, el 5,5 % de todos los ataques de ransomware observados se atribuyeron al grupo Hive, lo que los convierte en los cinco ransomware más activos del año según los informes. SOCRadar.
“En 2022, Hive fue la familia más productiva que observamos directamente en las operaciones de respuesta a incidentes, representando más del 15 % de las intrusiones de ransomware a las que respondimos”, dijo Kimberly Goody, gerente sénior de Mandiant Intelligence – Google Cloud, en un comunicado. Alrededor del 50% de todas las víctimas públicas de Hive eran de los Estados Unidos, dijo Mandiant.
Hive ejecutó un modelo de ransomware como servicio, en el que sus desarrolladores vendieron su código de ransomware a los socios que realizaron el ataque real. Hive utilizó un modelo de doble extorsión para su ataque: los socios primero robaron los datos confidenciales de la víctima y luego cifraron los sistemas. Luego, el socio exigiría un rescate por la clave de descifrado necesaria para descifrar el sistema de la víctima y la promesa de no hacer públicos los datos robados.
“Los actores de Hive a menudo se enfocan en los datos más confidenciales en el sistema de una víctima para aumentar la presión de pago. Después de que una víctima paga, los socios y administradores dividen el rescate 80/20. Hive publicó los datos de las víctimas que no pagaron en el sitio de fuga de Hive», dijo el Departamento de Justicia en su comunicado.
Las primeras variantes de las versiones 1 a 4 del ransomware Hive se escribieron en GoLang. Después de que la Agencia de Seguridad e Internet de Corea (KISA) lanzara un descifrador público para las víctimas del ransomware Hive a mediados de 2022, el grupo cambió al lenguaje Rust, específicamente con la versión 5, para desarrollar nuevas variantes para su ransomware, según SOCRadar.
A partir de junio de 2021, el grupo de ransomware Hive ha recibido más de 100 millones de dólares en pagos de rescate.
«Hive es un ejemplo clave de una tendencia que hemos visto con los actores de ransomware que se alejan del ransomware tradicional basado en software y presionan para extorsionar información clave como datos personales o financieros y propiedad intelectual», Jordan LaRose, director de práctica en NCC Das dijo el grupo en un comunicado.
“Este tipo de rescate es mucho más fácil de ejecutar para los atacantes y es posible gracias a plataformas como Hive. Apuntar y destruir estas plataformas es una forma efectiva de combatir estas tácticas más nuevas”, agregó LaRose.
El sitio web Hive Leak mostró un mensaje que decía que había sido incautado por una coalición internacional de aplicación de la ley, incluidos el Departamento y el FBI. “La incautación tanto del DLS como del portal de negociación de víctimas es un revés importante para las operaciones del adversario. Sin acceso a ninguno de los sitios, los socios de HIVE deben confiar en otros medios para comunicarse con sus víctimas y encontrar formas alternativas de divulgar públicamente los datos de las víctimas», dijo Adam Meyers, director de inteligencia de CrowdStrike, en un comunicado.
¿Un ejemplo para los ciberdelincuentes?
El desmantelamiento del Hive Group por parte del FBI ha recibido elogios generalizados de las agencias gubernamentales y las empresas de seguridad cibernética.
«En una vigilancia cibernética del siglo XXI, nuestro equipo de investigación cambió las tornas, robó las claves de descifrado de Hive, las compartió con las víctimas y finalmente evitó más de $130 millones en pagos de ransomware», dijo la fiscal general adjunta Lisa O. Monaco en el comunicado. «Seguiremos haciendo todo lo que podamos para combatir el ciberdelito y poner a las víctimas en el centro de nuestros esfuerzos para contener la ciberamenaza».
El director del FBI, Christopher Wray, dijo que la interrupción coordinada de las redes informáticas de Hive muestra lo que se puede lograr al combinar una búsqueda incesante de información técnica útil para compartir con las víctimas con una investigación destinada a desarrollar operaciones que nuestro… golpean con fuerza al oponente.
Algunos expertos en ciberseguridad creen que la interrupción del servicio Hive no provocará una caída importante en la actividad general de ransomware, aunque es un golpe para un grupo peligroso que incluso ha puesto en peligro vidas al atacar los sistemas de salud.
«Restaurar la infraestructura probablemente retrasará el desarrollo del ‘producto’ Hive, pero el ransomware como servicio permite mover o restaurar algunas de esas capacidades», dijo Justin Fier, vicepresidente sénior de Red Team Operations para Darktrace. una declaración. «Desafortunadamente para las víctimas afectadas, obtener una clave de descifrado no siempre recupera los datos y la recuperación puede ser un proceso largo y agotador que puede costar más que el rescate original».
Derechos de autor © 2023 IDG Communications, Inc.
Nos llegó este contenido de ciberseguridad de: CSO Online
Podrás encontrar la noticia original en el enlace que sigue: https://www.csoonline.com/article/3686652/fbi-takes-down-hive-ransomware-group-in-an-undercover-operation.html#tk.rss_news
