Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
DarkSide
DarkSide es un grupo de ransomware como servicio (RaaS) que surgió en 2020 y se cree que opera desde Europa del Este, con fuertes indicios de vínculos con Rusia. Especializado en tácticas de doble extorsión, DarkSide ha atacado a diversas industrias, pero en gran medida evita atacar organizaciones en países de la CEI. Sus operaciones se caracterizan por una marca profesional y una selección estratégica de víctimas.
Perfil del actor de amenazas
DarkSide
País de origen
Se entiende ampliamente que DarkSide opera desde Rusia o desde algún otro lugar de Europa del Este. El grupo parece evitar atacar entidades dentro de la Comunidad de Estados Independientes (CEI), lo que sugiere una tolerancia estatal implícita o explícita en estas regiones.
Miembros
El grupo funciona como una operación de RaaS y emplea una red de afiliados para llevar a cabo ataques con sus herramientas de ransomware. El tamaño exacto de esta red no está claro, pero la naturaleza profesional y organizada de sus operaciones indica un modelo estructurado y escalable para el reclutamiento de afiliados.
Liderazgo
Se desconoce el liderazgo exacto de DarkSide. Aunque algunos miembros afiliados o desarrolladores se han rastreado de forma poco precisa hasta Europa del Este, no se han confirmado públicamente identidades concretas de los líderes. Los expertos en ciberseguridad siguen debatiendo si figuras de alto nivel aún dirigen las operaciones o si se mudaron a otras plataformas de ransomware.
Tácticas, técnicas y procedimientos (TTPs) de DarkSide
tácticas
El grupo se enfoca principalmente en el beneficio financiero mediante la doble extorsión. Su método incluye cifrar los datos de las víctimas y exfiltrar información sensible para presionarlas a pagar rescates.
técnicas
Se sabe que DarkSide explota correos de phishing, puntos débiles de acceso remoto, credenciales comprometidas y aplicaciones expuestas públicamente para obtener acceso inicial a la red. Herramientas como Cobalt Strike y Metasploit se usan con frecuencia para el movimiento lateral y la escalada de privilegios.
Procedimientos
Su estrategia procedimental suele incluir el cifrado de archivos con extensiones únicas, el envío de notas de rescate y la oferta de opciones de negociación a través de sitios basados en Tor. Las víctimas que se niegan a pagar pueden enfrentar tácticas de presión adicionales, incluidas filtraciones de datos o ataques de denegación de servicio distribuido (DDoS).
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Ataque a Colonial Pipeline (mayo de 2021): una de las operaciones más infames de DarkSide, que causó una disrupción significativa en la infraestructura de combustible en Estados Unidos. La empresa pagó un rescate de $5 millones.
Toshiba Tec Corp (Francia): se exfiltraron más de 740 GB de datos sensibles.
Brenntag (Alemania): otro ataque importante en el que el grupo utilizó su modelo de doble extorsión de manera efectiva.
Aplicación de la ley y arrestos
Después del ataque a Colonial Pipeline, DarkSide afirmó haber cesado operaciones, citando la pérdida de infraestructura y presiones externas. Las fuerzas del orden incautaron servidores y desconectaron algunas billeteras de criptomoneda. Aunque las operaciones están interrumpidas, siguen surgiendo grupos de ransomware afiliados con nuevas marcas.
Cómo defenderse de DarkSide
1
Acceso remoto / credenciales seguras
Exige autenticación multifactor (MFA) en todos los sistemas de acceso remoto.
Usa contraseñas fuertes y únicas, y limita el protocolo de escritorio remoto (RDP) a endpoints reforzados.
2
Gestión de parches
Actualiza constantemente las aplicaciones de cara al público y los sistemas operativos para evitar la explotación de vulnerabilidades.
3
Segmentación de redes
Segmenta la infraestructura crítica para minimizar el daño causado por el movimiento lateral.
Implementa controles de acceso de privilegio mínimo para todas las cuentas.
4
Copias de seguridad y recuperación
Mantén copias de seguridad fuera de línea y prueba regularmente los procesos de restauración.
Asegúrate de que los sistemas de copia de seguridad estén aislados de la red principal.
5
Detección y monitoreo
Monitorea actividad administrativa inusual, picos de cifrado o la desactivación del antivirus.
Implementa herramientas de Detección y respuesta para endpoints (EDR) para detectar comportamientos de ransomware.6
Estrategia de respuesta ante incidentes
Prepárate para posibles filtraciones de datos y establece estrategias de comunicación con el equipo legal y de relaciones públicas.
Conoce los riesgos de pagar o rechazar rescates, y recurre a las fuerzas del orden cuando sea apropiado.
Referencias
