Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Ryuk
Ryuk es un grupo de ransomware prolífico identificado por primera vez en 2018. Conocido por atacar a grandes empresas, servicios públicos e industrias críticas como la salud y el gobierno, Ryuk ganó notoriedad con su estrategia de alto riesgo de "big game hunting". Aprovechando cadenas de ataque sofisticadas de varias etapas y malware comercial como TrickBot, Ryuk provocó graves interrupciones operativas y generó pagos de rescate significativos. Las actividades del grupo resaltan el peligro persistente y cambiante de las campañas de ransomware con motivación financiera.
Perfil del actor de amenazas
Ryuk
País de origen
Las operaciones de Ryuk se han vinculado constantemente con ecosistemas cibercriminales de habla rusa. La inteligencia de fuentes abiertas y los analistas de la industria generalmente atribuyen el grupo a cibercriminales organizados radicados en, o conectados con, la Federación Rusa. No hay evidencia que sugiera vínculos entre Ryuk y grupos de hackers patrocinados por un estado; su enfoque sigue siendo principalmente financiero.
Miembros
Ryuk parece operar con una estructura descentralizada. El acceso inicial suele conseguirse a través de intermediarios de acceso externos que usan cargadores como TrickBot, Emotet y BazarLoader. Las operaciones posteriores al compromiso las llevan a cabo equipos de explotación dedicados. Al subcontratar varias etapas de sus campañas, los operadores de Ryuk mantienen flexibilidad, lo que dificulta determinar el tamaño exacto o la composición de su organización.
Liderazgo
El liderazgo de Ryuk sigue siendo desconocido. Las fuentes de inteligencia públicas y privadas no han revelado evidencia que identifique a individuos o alias específicos como líderes clave. Esta opacidad es característica de las organizaciones cibercriminales modulares, donde las responsabilidades se compartimentan entre equipos y afiliados.
TTPs de Ryuk
tácticas
Ryuk emplea una táctica de "big game hunting", dirigida específicamente a organizaciones con recursos financieros significativos y dependencias operativas. Su objetivo es maximizar los pagos de rescate al aprovechar el impacto crítico de sus ataques en la continuidad del negocio.
técnicas
Los actores de Ryuk suelen usar correos de phishing con adjuntos maliciosos para entregar cargadores como TrickBot y BazarLoader. Estos cargadores facilitan la implementación de payloads adicionales, incluidas herramientas de recolección de credenciales y el framework Cobalt Strike. Una vez dentro de la red, el movimiento lateral y el reconocimiento permiten la implementación del ransomware Ryuk.
Procedimientos
Los procedimientos típicos incluyen explotar debilidades del protocolo de escritorio remoto (RDP), usar credenciales robadas para obtener acceso privilegiado, establecer persistencia mediante herramientas como PowerShell y tareas programadas, y exfiltrar manualmente datos confidenciales. La etapa final implica el cifrado de archivos, junto con una nota de rescate que exige el pago en criptomoneda.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
- Ataque a Tribune Publishing (2018): uno de los primeros incidentes notables de Ryuk, este ataque interrumpió las operaciones de impresión de varios periódicos importantes.
- Campaña de ransomware en el sector salud (2020): se advirtió a instalaciones de salud de EE. UU. sobre amenazas inminentes de ransomware vinculadas a Ryuk, lo que generó interrupciones críticas en los servicios y pérdidas financieras significativas.
Aplicación de la ley y arrestos
Si bien los esfuerzos de las fuerzas del orden a gran escala apuntaron a varios componentes de la cadena de ataque de Ryuk, los arrestos específicos vinculados directamente con los operadores de Ryuk son limitados. Las interrupciones destacadas incluyen el desmantelamiento de TrickBot y otros cargadores clave en las campañas de Ryuk. La colaboración entre firmas privadas de ciberseguridad y agencias como el FBI y la CISA sigue siendo clave para mitigar su impacto.
Cómo defenderte de Ryuk
1
Reforzar los sistemas: Aplica parches a las vulnerabilidades críticas en los sistemas expuestos a internet.Restringe o desactiva el RDP; aplica MFA para el acceso remoto.Mejora el filtrado de correo electrónico y el análisis de adjuntos.
2
Monitorear y detectar cargadores tempranos: Busca comportamientos asociados con TrickBot, Emotet y BazarLoader.Implementa herramientas de Detección y respuesta para endpoints (EDR) con monitoreo de PowerShell y Cobalt Strike.
3
Resiliencia de las copias de seguridad:Crea copias de seguridad fuera de línea e inmutables, y prueba periódicamente los procesos de recuperación.
4
Respuesta a incidentes: Implementa guías detalladas para ransomware y realiza ejercicios de simulación con regularidad.
5
Campañas de concientización para usuarios: capacita a los empleados para reconocer intentos de phishing y seguir las mejores prácticas de ciberseguridad
Las soluciones de Huntress ayudan a proteger a las organizaciones al monitorear endpoints, detectar intrusiones y mitigar las amenazas de Ryuk con tecnología de nivel empresarial.
Referencias
- Ransomware Attack Trends 2023
- MITRE ATT&CK Framework - Ransomware
