Una empresa de Fortune 50 paga una demanda récord de rescate de 75 millones de dólares

Una empresa de Fortune 50 pagó a sus ciberatacantes 75 millones de dólares a principios de este año, mucho más que cualquier otro pago de rescate confirmado en la historia. El beneficiario del pago es un grupo llamado Dark Angels. Y Dark Angels no solo es efectivo: de alguna manera, la pandilla le da la vuelta a mucho de lo que pensábamos que sabíamos sobre el ransomware.

Claro, se han pagado otras cantidades importantes en el pasado: en 2021, se informó que CNA Financial, con sede en Illinois, pagó una suma sin precedentes en ese momento. Rescate de 40 millones de dólares para restaurar sus sistemas después de un ataque de ransomware (la empresa nunca confirmó esta cifra). Después en este año JBS admitió haber pagado 11 millones de dólares para poner fin a una perturbación en sus fábricas. El Caesars Palace pagó 15 millones de dólares el año pasado para resolver los problemas de interrupción del ransomware.

Pero estas cifras palidecen en comparación con los 75 millones de dólares que la importante organización antes mencionada pagó en Bitcoin. Zscaler optó por permanecer en el anonimato en su informe de 2024. informe anual de ransomwaredonde se registró por primera vez el pago. El monto en dólares también fue confirmado por Chainalysis.

Conoce a los ángeles oscuros

Dark Angels apareció por primera vez en estado salvaje en mayo de 2022. Desde entonces, su especialidad ha sido derrotar a menos objetivos pero más valiosos que sus hermanos ransomware. Entre las víctimas anteriores se encuentran varias empresas del S&P 500 de una variedad de industrias: atención médica, gobierno, finanzas, educación, manufactura, telecomunicaciones y más.

Por ejemplo, el año pasado se produjo el ataque que acaparó los titulares contra el megalito Johnson Controls International (JCI). el los lastimó Hipervisores VMware ESXila congeló con Ragnar Locker y supuestamente robó 27 Terabytes 51 millones de dólares en datos. No está claro cómo respondió Johnson Controls, pero dada su Más de $27 millones para esfuerzos de limpiezaes probable que la empresa no haya dado marcha atrás.

En ese momento, 27 millones de dólares habrían sido el segundo pago de rescate más alto jamás realizado (después del pago de la CNA informado). Pero hay evidencia que sugiere que esto no fue sólo una elegante táctica de negociación: Dark Angels tiene buenas razones para creer que pueden pasar esta cantidad.

Dark Angels aborda el ransomware de forma diferente

Olvídese de todo lo que sabe sobre ransomware y comenzará a comprender Dark Angels.

Contrariamente a la creencia popular, el grupo no opera un negocio de ransomware como servicio. Tampoco tiene su propia cepa de malware: prefiere tomar prestados cifradores como Casillero Ragnar Y babuk.

Más bien, su éxito se basa en tres factores principales: primero: el mayor cuidado que pueda ejercer al atacar menos objetivos pero más rentables.

En segundo lugar, existe la capacidad de extraer grandes cantidades de datos confidenciales. Brett Stone-Gross, director senior de inteligencia de amenazas de Zscaler, explica: “Si nos fijamos en muchos de estos otros grupos de ransomware, es posible que sus socios estén robando unos cientos de gigabytes de datos. A veces incluso menos de 100 gigabytes de datos. Normalmente alcanzan aproximadamente un terabyte como máximo. Por el contrario, los Dark Angels roban decenas de terabytes de datos”.

En este sentido, los Ángeles Oscuros se diferencian sólo en grado, no en especie. Lo que realmente los diferencia de otros grupos es su sutileza. Su sitio de fuga no se nota. No hace grandes anuncios sobre sus víctimas recientes. Además de los obvios beneficios de seguridad operativa del sigilo (han escapado en gran medida al escrutinio de los medios en los últimos años a pesar de importantes intrusiones), su aversión a ser el centro de atención también les ayuda a lograr mayores retornos de la inversión.

Por ejemplo, el grupo a menudo evita cifrar los datos de sus víctimas, con el objetivo expreso de permitirles operar sin ser molestados. Esto parece contradecir la sabiduría común. Seguramente la amenaza de tiempo de inactividad y el escrutinio de los medios son formas efectivas de lograr que las víctimas paguen, ¿verdad?

«Se podría pensar que sí, pero los resultados dicen lo contrario», dice Stone-Gross.

Dark Angels hace que pagar el rescate sea fácil y silencioso: una perspectiva atractiva para las empresas que simplemente quieren dejar atrás sus violaciones de seguridad. Y evitar la interrupción del negocio es mutuamente beneficioso: sin las altas facturas asociadas con el tiempo de inactividad, las empresas tienen más dinero para pagar a los ángeles oscuros.

¿Se pueden cortar las alas de los Ángeles Oscuros?

En su informe, Zscaler predijo que «otros grupos de ransomware tomarán nota del éxito de los Ángeles Oscuros y pueden adoptar tácticas similares centrándose en objetivos de alto valor y aumentando la importancia del robo de datos para maximizar sus ganancias financieras».

Si esto ocurriera, las empresas se enfrentarían a demandas de rescate significativamente mayores y más convincentes. Afortunadamente, el enfoque de los Ángeles Oscuros tiene un talón de Aquiles.

“Si se trata de un terabyte de datos, [a hacker] Probablemente pueda completar esta transferencia en unos días. Pero cuando se habla de terabytes (ya sabes, decenas de terabytes de datos), ahora se habla de semanas», señala Stone-Gross. Por lo tanto, las empresas que pillen a los ángeles oscuros en el acto pueden detenerlos antes de que sea demasiado tarde.