Desmantellada una infraestructura del grup criminal HIVE dirigida a realitzar atacs de ransomware per tot el món
Els autors del ransomware Hive han atacat a més d'1.300 empreses a tot el món, així com sectors d'infraestructura crítica com a instal·lacions governamentals, de tecnologies de la informació i de salut pública
Este tipus de ciberatac seguix un model -“ransomware com a servici (RaaS)”- en el qual els desenvolupadors creen, i actualitzen el malware, i els afiliats duen a terme els atacs de ransomware
L'operació, en la qual han participat agents de la Policia Nacional al costat de l'oficina del FBI en Tampa (Florida) i la Policia d'Alemanya, entre altres països, ha permès recuperar les claus de desxifrat i compartir-les amb moltes de les víctimes perquè pogueren accedir a les seues dades sense pagar el rescat
27/01/23
Agents de la Policia Nacional, en el marc d'una investigació internacional coordinada per EUROPOL, i en col·laboració amb el FBI i la Policia d'Alemanya, han participat en una operació que ha permès desmantellar la infraestructura utilitzada pel grup criminal Hive, autor de milers d'atacs de tipus Ransomware per tot el món. L'operació ha impedit l'ús del ransomware Hive, del que s'haurien servit per a atacar a més d'1.300 empreses a tot el món, així com a sectors d'infraestructura crítica com a instal·lacions governamentals, de tecnologies de la informació i de salut pública.L'operació a Espanya va començar a l'octubre de l'any 2021 amb la recepció d'una denúncia interposada per una empresa del nostre país, víctima d'un atac patit per un ransomware de la família HIVE, procedent del grup criminal del mateix nom.
Amb la investigació ja en marxa, es van produir atacs a noves víctimes a Espanya, motiu pel qual especialistes en la lluita contra la ciberdelinqüència de la Policia Nacional van dur a terme una profunda labor d'investigació, anàlisi de dades, recopilació d'informació, mostres de malware i de ferramentes utilitzades durant els atacs. Açò va permetre als nostres agents l'accés a un grup de treball, coordinat per EUROPOL, en el qual participaven un gran nombre de països, també afectats per atacs d'esta família de ransomware amb l'objectiu de desarticular l'entramat criminal.
Dins del grup de treball, la Policia Nacional és l'agència que més casos d'atacs documentats ha aportat, amb un total de 18 des de l'inici de la investigació. A més, el grup de Ciberatacs ha comptat amb l'assessorament de l'INCIBE-CERT i d'empreses privades de ciberinteligencia com KELA en labors d'anàlisi tècnica forense així com de tècniques avançades d'anàlisis de fonts obertes i xarxes socials.
Gràcies a la labor d'intel·ligència efectuada entre tots els països cooperants (13 en total), el FBI de Tampa (Florida) i la Policia d'Alemanya van determinar la ubicació del servidor principal utilitzat pels atacants, establint-se un operatiu per a desmantellar aquesta infraestructura, inhabilitant per complet l'activitat delictiva del grup criminal HIVE.
Han atacat a més d'1.300 empreses a tot el món, així com a sectors d'infraestructura crítica
La modalitat de ciberdelinqüència de ransomware ha evolucionat molt ràpidament en els últims anys, aconseguint alts nivells de sofistificación a nivell tècnic, i produint-se diversos nivells d'extorsió per a la víctima. El primer es produïx quan l'atacant xifra els sistemes d'una empresa i sol·licita el rescat econòmic per a desxifrar aquesta informació. Per a açò, amenacen a les víctimes amb una doble extorsió en la qual advertix que si no realitza el pagament sol·licitat, aquesta informació serà publicada en Internet i posada a la venda en diferents fòrums o mercats il·legals. A més, s'arriba a produir una triple extorsió quan l'atacant ha aconseguit informació sensible de tercers afectats i contacta amb els mateixos de forma directa per a extorsionar-los mitjançant l'amenaça de fer públics les seues dades personals si no paguen un rescat per a impedir-ho.
En l'últim any, el ransomware HIVE ha suposat una greu ciberamenaza empleada per a comprometre i xifrar les dades i els sistemes informàtics de grans multinacionals tant en la Unió Europea com en els EE. UU. Concretament, des de juny de 2021, més d'1.500 empreses de més de 80 països de tot el món han sigut víctimes d'este ransomware i han perdut prop de 100 milions d'euros en pagaments de rescat.
Des de juny de 2021 fins a novembre de 2022, els investigats van utilitzar el ransomware HIVE per a apuntar a una àmplia gamma d'empreses i sectors d'infraestructura crítica, incloses instal·lacions governamentals, empreses de telecomunicacions, fabricació, tecnologia de la informació i atenció mèdica i salut pública. En un dels seus majors atacs, els afiliats d'HIVE van atacar un hospital, pertorbant greument el funcionament del mateix durant la pandèmia de Covid-19.
Els afiliats atacaven a les empreses de diferents maneres. Alguns actors d'HIVE van obtindre accés a les xarxes de les víctimes mitjançant l'ús de credencials compromeses d'accés a servicis d'escriptori remot amb un sol factor d'autenticació, xarxes privades virtuals i altres protocols de connexió de xarxa remota. En altres casos, van eludir l'autenticació multifactor i van obtindre accés mitjançant l'explotació de vulnerabilitats. Finalment, també van obtindre accés inicial a les xarxes de les víctimes distribuint correus electrònics de phishing amb arxius adjunts maliciosos.
L'operació ha evitat el pagament de 120 milions d'euros en rescats
Europol va impulsar els esforços de mitigació amb altres països de la UE per a impedir el desplegament d'efectes perniciosos en les víctimes, amb el que es va evitar que les empreses privades foren víctimes del ransomware HIVE. Les autoritats policials van proporcionar la clau de desxifrat a les empreses compromeses per a ajudar-les a desxifrar les seues dades sense recórrer al pagament del rescat. Este esforç ha impedit el pagament de més de 130 milions de dòlars, la qual cosa equival a uns 120 milions d'euros en pagaments per rescat.
Europol, a més de facilitar l'intercanvi d'informació, ha recolzat la coordinació de l'operació i ha finançat reunions operatives a Portugal i els Països Baixos. En el marc de l'operació, Europol ha brindat suport per a l'anàlisi d'informació tècnica sobre casos judicializados dins i fora de la UE, així com per a l'estudi d'operacions amb criptomonedas, malware, desxifrat i anàlisis forense.
D'altra banda, també ha col·laborat el Grup de Treball Conjunt d'Acció contra el ciberdelito (J-CAT) d'Europol. Este equip operatiu, amb caràcter permanent, està format per oficials d'enllaç de delictes cibernètics de diferents països que treballen en investigacions de delictes altament tecnificats o d'High “Tech Crim”.
Últimes notícies
-
La Policia Nacional deté a Tarragona a un fugitiu reclamat per Països Baixos per abusar sexualment d'una menor d'edat
28/08/24
-
Desmantellat un laboratori de producció de cocaïna instal·lat baix una plaça de bous en una finca de la Pobla de Montalbán
25/08/24
-
Intervenuts 4.200 quilos d'òxid nitrós o “gas del riure” en tres operacions a Màlaga
22/08/24
-
Desarticulada una organització criminal dedicada a la introducció de cocaïna oculta en caixes de pinyes
21/08/24