El grupo de ransomware detrás del gran ataque en Indonesia usa muchas máscaras

El actor amenazador detrás de un gran ataque a los servicios del gobierno de Indonesia es sólo una manifestación de una operación conocida por al menos otros tres nombres.

El 20 de junio, una operación de ransomware llamada “Brain Cipher” se extralimitó cuando derribó el centro de datos nacional de Indonesia. Se formaron colas de horas en el cuarto país más grande del mundo mientras los pasajeros del ferry esperaban a que los sistemas de reserva volvieran a estar en línea y las llegadas internacionales quedaban varadas en los mostradores de control de pasaportes. El impacto se sintió en más de 200 agencias gubernamentales nacionales y locales. Bajo presión y sin promesa de pago, el grupo abandonó su demanda de rescate de 8 millones de dólares y liberó su descifrador de forma gratuita.

Desde entonces, los investigadores del Grupo IB han estudiado Brain Cipher y han descubierto que conectado con al menos otros tres gruposo quizás simplemente operen bajo cuatro nombres diferentes. Juntas, estas entidades con distintos nombres han llevado a cabo ataques en todo el mundo, pero a menudo sin mayores consecuencias.

TTP de Brain Cipher

La evidencia de la existencia de Brain Cipher se remonta a su ataque al gobierno de Indonesia. A pesar de ser tan joven, ya se ha extendido a Israel, Sudáfrica, Filipinas, Portugal y Tailandia. Sin embargo, esto no es necesariamente evidencia de ningún nivel de sofisticación.

El malware utilizado se basa en el constructor Lockbit 3.0 filtrado. También se utilizó una variante del babuk en el caso de al menos una víctima indonesia. «Al utilizar diferentes programas de cifrado, los actores de amenazas pueden apuntar a múltiples sistemas operativos y entornos», dijo Tara Gould, directora de investigación de amenazas de Cado Security. «Se pueden optimizar diferentes programas de cifrado para diferentes sistemas operativos, ampliando el alcance de los objetivos potenciales y, en última instancia, maximizando el impacto».

Lo que a las notas de rescate les falta de personalidad, lo compensan con claridad: contienen instrucciones breves paso a paso sobre cómo pagar por la recuperación de datos. Este proceso incluye todas las trampas habituales de ransomware: un portal para víctimas, servicios de atención al cliente y un sitio de filtración.

Sin embargo, cabe destacar que el grupo no compartió datos sobre la mayoría de sus víctimas rastreadas por Group-IB. Esto llevó a los investigadores a concluir que Brain Cipher en realidad no extrae datos como promete.

Las muchas identidades de Brain Cipher

Brain Cipher también tiene problemas con Opsec. Sus notas de rescate, información de contacto y sitio web Tor se superponen con otros grupos supuestamente independientes, incluidos Reborn Ransomware, EstateRansomware, SenSayQ y otra entidad sin nombre de guerra cuyos artefactos se remontan a abril.

Juntas, estas operaciones supuestamente independientes han llevado a cabo ataques de ransomware superpuestos en todo el mundo. Reborn ha registrado víctimas en China, Francia, Indonesia y Kuwait, y los otros grupos tienen en sus listas a Francia, Hong Kong, Italia, Líbano, Malasia y Estados Unidos.

“Operar con varios nombres y utilizar diferentes métodos de cifrado ofrece a los actores de amenazas varias ventajas”, explica Sarah Jones, analista de investigación de inteligencia sobre amenazas cibernéticas en Critical Start. “Al evolucionar continuamente sus tácticas, estos actores dificultan que los investigadores de seguridad y las fuerzas del orden rastreen sus actividades. El uso de múltiples identidades oscurece la atribución, prolonga las investigaciones y permite atacar a diferentes sectores o regiones sin dañar la reputación”.

«La flexibilidad para adoptar rápidamente nuevas personas protege contra la interrupción del negocio en caso de identidades comprometidas», dice Jones.

Gould de Cado Security añade que estos personajes también serán los del futuro Salir de las estafas.