Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Maze
El grupo de ransomware Maze irrumpió en escena alrededor de mayo de 2019 y rápidamente se hizo famoso por ser pionero en la táctica de "doble extorsión". Este grupo de cibercrimen no solo cifraba los datos de sus víctimas; primero los robaba, amenazando con filtrar información sensible en línea si no se pagaba el rescate. Este método convirtió un incidente de ransomware en una filtración de datos en toda regla.
Perfil del actor de amenazas
Maze
País de origen
Aunque no se ha confirmado oficialmente, se cree ampliamente que el país de origen es Rusia. Esta suposición se basa en el hecho de que el código del ransomware Maze está diseñado para evitar atacar sistemas donde el idioma esté configurado en ruso u otros idiomas de antiguos estados de la Unión Soviética.
Miembros
Se desconoce el número exacto de miembros, pero Maze operaba como una red de afiliados. Esto significa que un grupo central de desarrolladores creaba y mantenía el ransomware, mientras que varios grupos criminales (afiliados) llevaban a cabo los ataques y compartían las ganancias. Incluso formaron un "cartel de ransomware" con grupos como LockBit y RagnarLocker.
Liderazgo
La estructura de liderazgo y las identidades específicas de los operadores de Maze siguen siendo desconocidas. Operaban con un alto grado de anonimato, sin dejar un rastro claro hacia ninguna persona.
TTPs de Maze
tácticas
El objetivo principal de Maze era el beneficio económico mediante la extorsión. Maximizaban la presión sobre las víctimas al no solo retener sus sistemas como rehenes, sino también amenazar su reputación y relaciones comerciales. Su táctica era simple pero brutal: paga, o exponemos tus secretos al mundo.
técnicas
Para lograr sus objetivos, los operadores de Maze usaban un enfoque de varias etapas. Obtenían acceso inicial, se movían lateralmente por la red para encontrar datos de alto valor, exfiltraban esos datos a sus propios servidores y solo entonces desplegaban el ransomware para cifrar los archivos de la víctima. Esta técnica de doble golpe los hacía particularmente difíciles de enfrentar.
Procedimientos
Maze usó una variedad de procedimientos para infiltrarse en redes:
Phishing y spam: a menudo iniciaban sus ataques con correos maliciosos que contenían archivos adjuntos infectados de Microsoft Word o Excel.
Kits de explotación: usaban herramientas como Spelevo y Fallout para aprovechar vulnerabilidades de software sin parches.
Ataques de RDP: explotaban credenciales débiles o robadas de protocolo de escritorio remoto (RDP) para obtener acceso directo a las redes.
Escalada de privilegios: una vez dentro, usaban herramientas como Mimikatz para robar credenciales y obtener control a nivel de administrador.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Uno de los ataques más sonados de Maze fue contra el gigante de servicios de TI Cognizant en abril de 2020. El ataque paralizó sus sistemas internos, interrumpió los servicios de sus clientes y le costó a la empresa un estimado de $50 a $70 millones. Otro golpe importante fue contra Canon en agosto de 2020, donde los atacantes afirmaron haber exfiltrado 10 TB de datos, causando interrupciones de servicio y pérdida permanente de datos para algunos usuarios. También vulneraron Xerox, filtrando más de 100 GB de datos para demostrar su punto.
Aplicación de la ley y arrestos
En noviembre de 2020, el grupo Maze publicó un extraño "comunicado de prensa" anunciando que cerraban su operación. Sin embargo, las fuerzas del orden y los expertos en ciberseguridad siguen siendo escépticos. Los grupos de ransomware suelen "renombrarse" para evadir a las autoridades y continuar sus actividades bajo un nuevo nombre. Los investigadores han notado fuertes similitudes entre el código de Maze y variantes de ransomware más recientes como Egregor y Sekhmet, lo que sugiere que los operadores probablemente sigan activos. Hasta la fecha, no se han anunciado públicamente arrestos importantes directamente vinculados al núcleo del grupo Maze.
Cómo defenderte de Maze
1
Aplica parches a todo: a Maze le encantan las vulnerabilidades sin parchear. Mantén actualizados tu sistema operativo, software y firmware.
2
Protege las credenciales: exige contraseñas fuertes y únicas, y habilita la autenticación multifactor (MFA) en todas partes, especialmente para el acceso RDP y VPN.
3
Capacita a tu equipo: tus empleados son la primera línea de defensa. Enséñales a identificar correos de phishing y actividad sospechosa, y a presentar un informe al respecto.
4
Adopta una mentalidad Zero Trust: asume que ningún usuario ni dispositivo es confiable por defecto. Esto ayuda a contener amenazas y evita el movimiento lateral si un atacante logra entrar.
La plataforma de seguridad de Huntress está diseñada para detectar el tipo de comportamiento sigiloso en el que confían Maze y sus sucesores. Nuestro equipo del SOC, disponible 24/7, busca activamente actividades sospechosas como la escalada de privilegios y el movimiento lateral. Podemos detectar malware que evade los antivirus tradicionales y aislar endpoints infectados antes de que ocurra un despliegue de ransomware a gran escala.
Referencias
