Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Perfil del actor de amenazas Avaddon
Avaddon fue una operación de Ransomware as a Service (RaaS) que generó mucho ruido entre 2020 y 2021. Este grupo cibercriminal era conocido por sus tácticas de doble extorsión, que no solo cifraban los datos de las víctimas, sino que también los robaban y amenazaban con filtrarlos en su sitio de la dark web. Incluso recurrían a ataques DDoS para presionar aún más a las víctimas y lograr que pagaran.
Perfil del actor de amenazas
Perfil del actor de amenazas Avaddon
País de origen
Aunque no se confirma el país de origen exacto de Avaddon, su malware fue diseñado para evitar sistemas ubicados en la Comunidad de Estados Independientes (CEI). Esto sugiere fuertemente que los operadores probablemente hablan ruso y residen en esa región.
Miembros
Como modelo de RaaS, Avaddon tenía un grupo central de desarrolladores y un número desconocido de "afiliados" que llevaban a cabo los ataques. El grupo reclutaba a estos afiliados en foros de hacking de habla rusa, ofreciéndoles una parte de las ganancias.
Liderazgo
Se desconocen los líderes o alias específicos detrás de la operación de RaaS de Avaddon. Operaban con un grado de anonimato típico de muchos grupos de ransomware.
TTPs de Avaddon
tácticas
El objetivo principal de Avaddon era simple: ganar dinero. Lo lograban mediante una estrategia de extorsión múltiple. Sus principales tácticas incluían cifrar archivos críticos para interrumpir las operaciones comerciales, robar datos sensibles para usarlos como presión y lanzar ataques DDoS contra las víctimas para aumentar la presión y forzar el pago del rescate.
técnicas
Para entrar a una red, los afiliados de Avaddon usaban algunos trucos favoritos. Eran grandes aficionados a las campañas de phishing y malspam, y a menudo enviaban correos con archivos adjuntos maliciosos en JavaScript disfrazados de imágenes. También explotaban el protocolo de escritorio remoto (RDP) expuesto y servicios VPN vulnerables para obtener acceso inicial. Una vez dentro, usaban herramientas como Cobalt Strike y Mimikatz para el movimiento lateral y el robo de credenciales.
Procedimientos
Los procedimientos del grupo eran bastante estándar para una operación RaaS. Tras obtener acceso, pasaban días, a veces semanas, husmeando en la red para identificar y exfiltrar datos valiosos. Usaban herramientas legítimas como wmic, vssadmin y bcdedit para eliminar copias de seguridad y copias de sombra, lo que hacía que la recuperación fuera una pesadilla. Finalmente, desplegaban el ransomware, a menudo de noche o durante un fin de semana, para cifrar archivos en toda la red.
Ciberataques destacados
El ataque contra las subsidiarias de AXA en Tailandia, Malasia, Hong Kong y Filipinas en mayo de 2021 fue un gran grabber de titulares para Avaddon. El momento fue particularmente audaz, ya que ocurrió poco después de que AXA anunciara que dejaría de emitir pólizas de ciberseguro en Francia que reembolsaban a los clientes los pagos de extorsión por ransomware. Los atacantes afirmaron haber robado 3 TB de datos sensibles, incluidos registros médicos de clientes, tarjetas de identificación e información de cuentas bancarias. Este incidente, junto con un aumento de actividad tras el ataque a Colonial Pipeline (por un grupo diferente), atrajo una atención significativa del FBI y otras agencias internacionales de aplicación de la ley.
Aplicación de la ley y arrestos
El éxito de Avaddon también fue su perdición. La creciente presión de las fuerzas del orden, en particular tras los ataques de alto perfil de mediados de 2021, probablemente asustó a los operadores. En un movimiento sorprendente en junio de 2021, el grupo cerró abruptamente sus operaciones. No solo desaparecieron; enviaron de forma anónima casi 3.000 claves de descifrado a un investigador de seguridad, lo que permitió a muchas de sus víctimas recuperar sus archivos de forma gratuita. Aunque no se ha anunciado públicamente ningún arresto, se cree ampliamente que esta repentina salida fue resultado directo de la intensificación del enfoque de las fuerzas del orden en las bandas de ransomware.
Cómo defenderte de Avaddon
1
Acceso remoto seguro: No dejes RDP y las VPN abiertas a internet. Ponlas detrás de un firewall adecuado, aplica políticas de contraseñas seguras y usa autenticación multifactor
2
Seguridad del correo electrónico: Capacita a tu equipo para detectar intentos de phishing. Una buena solución de filtrado de correo puede bloquear archivos adjuntos y enlaces maliciosos antes de que lleguen a una bandeja de entrada.
3
Las copias de seguridad son tu mejor aliado: Sigue la regla 3-2-1 para las copias de seguridad (3 copias, en 2 medios diferentes, con 1 almacenada sin conexión). Si los atacantes no pueden acceder a tus copias de seguridad, no te verás obligado a pagar un rescate.
4
Detección y respuesta para endpoints (EDR): Necesitas visibilidad de lo que ocurre en tus endpoints. Huntress Managed EDR ofrece monitoreo 24/7 por parte de analistas del SOC que pueden detectar señales de intrusión, como el uso de Cobalt Strike o scripts de PowerShell sospechosos, y detener a los atacantes antes de que puedan desplegar ransomware. Nosotros vigilamos lo que se esconde para que tú no tengas que hacerlo.
Referencias
Otros actores de amenazas de RaaS
BlackCat
BlackCat (también conocida como ALPHV) es un sofisticado grupo de ransomware observado por primera vez a fines de 2021. Ampliamente reconocido por su uso de operaciones avanzadas de ransomware como servicio (RaaS), BlackCat ataca a organizaciones de diversas industrias y recurre a tácticas de doble extorsión para presionar a las víctimas.
