Actor de amenazas
¿Qué es ALPHV/BlackCat?
Los operadores del ransomware ALPHV/BlackCat comenzaron su actividad en diciembre de 2021, con publicaciones en foros de la Dark Web para promover su programa de afiliados, en las que ofrecían a otros actores la oportunidad de participar en una "nueva familia de ransomware" desarrollada desde cero con el lenguaje de programación Rust. Algunas pruebas claras indican que los actores detrás de este nuevo ransomware no son nuevos en el cibercrimen, y se detectaron vínculos con otros programas de afiliados como DarkSide, BlackMatter y REvil. (Después de varios ataques contra grandes empresas, estos grupos enfrentaron presión y arrestos, lo que los obligó a poner fin a sus operaciones). Como medida de seguridad, los operadores de ALPHV establecieron como requisito para la ejecución del payload del ransomware el uso de un "token de acceso", que los dueños del Ransomware-as-a-Service proporcionan al afiliado. Este token se agrega a la nota de rescate de la víctima para que pueda contactar al actor de amenazas responsable de cifrar los datos. Los afiliados de ALPHV emplean técnicas de doble y triple extorsión, es decir, la publicación del nombre de la empresa en sitios de filtración, amenazas de filtración de datos y, por último, amenazas de ataques DDoS contra la organización. Fuente: https://github.com/crocodyli/ThreatActors-TTPs
Si ALPHV/BlackCat atacó a tu organización, no pagues el rescate sin hablar antes con un especialista. Confirma primero la variante con el identificador gratuito.
- Víctimas en México
- 7
- Última víctima publicada
- 3 de marzo de 2024
- Sector más afectado
- Servicios financieros
- En seguimiento desde
- 9 de septiembre de 2021
- Alias
- blackcat
Si ALPHV/BlackCat cifró tus sistemas
- Aísla, no apagues todavía. Desconecta los equipos afectados de la red y del almacenamiento compartido para frenar el cifrado. Apagar de golpe puede destruir claves que aún viven en memoria y que, en algunas familias, permiten recuperar archivos.
- Preserva la evidencia. No borres ni reinstales los equipos cifrados, y conserva las notas de rescate y los archivos con la extensión añadida. Sin esos datos ya no se puede identificar la variante después, y la variante es la que decide si hay recuperación.
- Confirma la variante. El nombre del grupo no basta: los descifradores dependen de la versión exacta. Usa el identificador gratuito con la nota de rescate y la extensión de los archivos.
- Revisa todos los respaldos antes de negociar. Copias offline, instantáneas de volumen, versiones en la nube y respaldos de buzones. En muchos incidentes aparece una copia utilizable que nadie había revisado.
- No pagues bajo el contador. Pagar no garantiza la recuperación y financia el siguiente ataque. Si vas a considerarlo, hazlo con asesoría y después de agotar las vías técnicas.
Descifrador para ALPHV/BlackCat
Solo algunas familias de ransomware tienen un descifrador gratuito publicado, y casi siempre cubre versiones concretas y no la familia completa. Antes de ejecutar cualquier herramienta, confirma la variante y trabaja siempre sobre una copia de los archivos cifrados: un descifrador de la familia equivocada puede dañar de forma permanente archivos que hoy todavía son recuperables.
Consulta la lista de familias con descifrador gratuito conocido y su fuente oficial, y qué hacer cuando no existe ninguno.
¿Tu organización o un proveedor aparece en la lista de ALPHV/BlackCat?
Que ALPHV/BlackCat publique a una organización en su sitio de filtraciones suele significar que ya sacó datos de su red. Si reconoces un nombre en la tabla, todavía hay cosas que revisar en tu propia red.
Cuéntanos qué viste y te decimos qué significa: si la publicación es reciente, qué datos suele filtrar ese grupo y qué revisar primero.