Sus principales objetivos son el beneficio económico y la disrupción. Toda la operación de Punk Spider se basa en un modelo de doble extorsión.

1. Exfiltración de datos: Roban datos sensibles antes del cifrado para generar la máxima presión.

2. Cifrado para causar disrupción: Cifran sistemas críticos, incluidos servidores y copias de seguridad, para detener las operaciones del negocio.

Extorsión: Exigen el pago de un rescate a cambio de una clave de descifrado y la promesa de no publicar los datos robados.

Este grupo logra sus objetivos mediante la técnica living off the land, donde los atacantes usan software legítimo y herramientas del sistema para mezclarse con la actividad normal de la red. Esto los hace mucho más difíciles de detectar que a los atacantes que usan malware personalizado y ruidoso. Se enfocan en comprometer credenciales, moverse lateralmente con herramientas de administración y luego exfiltrar datos antes de soltar el payload del ransomware.

Punk Spider sigue un procedimiento bastante estándar para sus ataques:

• Acceso inicial: Con frecuencia, obtienen acceso explotando VPN que carecen de autenticación multifactor (MFA). Las credenciales robadas o descifradas por fuerza bruta son su método preferido para entrar por la puerta principal.

• Movimiento lateral: Una vez dentro, usan una larga lista de herramientas comunes de administración y pruebas de penetración para moverse por la red. Esto incluye herramientas como AnyDesk, Rclone, WinRAR y varios scripts de PowerShell para escalar privilegios y encontrar datos valiosos.

• Exfiltración de datos: Antes del evento principal, usan herramientas como Rclone o FileZilla para copiar grandes cantidades de datos a almacenamiento en la nube o servidores FTP.

Implementación de ransomware: Implementan variantes de Akira ransomware tanto para Windows como para Linux. La versión de Linux es particularmente peligrosa porque ataca servidores VMware ESXi, lo que les permite cifrar varias máquinas virtuales a la vez.