Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Vice Society
Vice Society, también conocido como DEV-0832 o Vanilla Tempest, es un notorio grupo de ransomware y extorsión identificado por primera vez a mediados de 2021. Este actor con motivación financiera se ha hecho infame por atacar instituciones educativas, proveedores de salud, entidades de manufactura y sectores gubernamentales. Aprovechando un modelo de doble extorsión (cifrar los datos de la víctima mientras amenaza simultáneamente con filtrar información sensible), Vice Society ha demostrado una estructura operativa centralizada en lugar de depender de un modelo basado en afiliados, como se ve en otros grupos de ransomware. A continuación, presentamos un perfil detallado que describe las tácticas, técnicas, objetivos e indicadores de compromiso observados de Vice Society.
Perfil del actor de amenazas
Vice Society
País de origen
El origen exacto de Vice Society sigue siendo desconocido. Sin embargo, la inteligencia de fuentes abiertas sugiere conexiones con entornos de hacking de habla rusa o afiliados a Rusia. A pesar de estas inferencias lingüísticas y conductuales, no hay evidencia concreta de patrocinio estatal ni vínculos directos con actores de estados-nación. La atribución global sigue siendo especulativa y no concluyente.
Miembros
Al igual que su liderazgo, los detalles sobre los miembros de Vice Society siguen siendo difíciles de determinar. La evidencia actual apunta a un modelo de grupo centralizado, donde las operaciones se manejan principalmente de forma interna en lugar de a través de afiliados. Los analistas sospechan que Vice Society emplea un equipo pequeño pero especializado que compra o toma prestadas herramientas de ransomware existentes en lugar de desarrollar payloads propios. Las coincidencias observadas entre Vice Society y el clúster de ransomware Rhysida sugieren una posible evolución o un cambio de marca dentro del mismo ecosistema operativo.
Liderazgo
No existe información pública confirmada sobre el liderazgo de Vice Society. Los investigadores aún no han identificado operadores individuales, títulos ni afiliaciones dentro del grupo. Esta opacidad ha dado lugar a una especulación más amplia sobre la estructura interna del actor, y algunos indicadores sugieren una organización más pequeña y estrechamente controlada en lugar de una red extensa.
TTPs de Vice Society
tácticas
Vice Society busca principalmente cifrar datos para pedir rescate, mientras exfiltra información sensible para aumentar su poder de extorsión. Sus operaciones apuntan a sectores de alto valor como educación, salud y manufactura, donde las interrupciones operativas pueden generar un cumplimiento más rápido de las demandas de rescate.
técnicas
Vice Society utiliza varias técnicas estratégicas para infiltrarse y explotar los sistemas de las víctimas:
Obtener acceso inicial a través de vulnerabilidades de cara al público (p. ej., PrintNightmare) o campañas de phishing.
Implementar tácticas de “living-off-the-land”, aprovechando herramientas como PowerShell, WMI o credenciales legítimas para evadir la detección.
Ejecutar la exfiltración de datos mediante scripts automatizados hacia endpoints de comando y control (C2) o servicios en la cloud como Mega.nz.
Cifrar datos críticos y amenazar con filtraciones para forzar el pago del rescate bajo su modelo de doble extorsión.
Procedimientos
Explota vulnerabilidades como CVE-2021-1675 (PrintNightmare).
Emplea DLL side-loading malicioso para inyectar payloads a través de software legítimo.
Deshabilita los sistemas de recuperación y suprime las defensas mediante modificaciones del registro o manipulación de herramientas antivirus.
Usa herramientas de escaneo de red como Advanced IP Scanner para mapear los entornos de las víctimas y así realizar movimiento lateral.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Septiembre de 2022 — Brecha en LAUSD: Uno de los ataques más significativos de Vice Society, esta brecha afectó datos de estudiantes y empleados a gran escala. El grupo amenazó con más filtraciones de datos cuando no se cumplió su solicitud de rescate.
Ataques a manufactura en 2023: Vice Society fue vinculado a incidentes de ransomware dirigidos a empresas de manufactura en regiones como Brasil, Argentina e Israel, lo que refleja un giro respecto a dirigirse exclusivamente a instituciones educativas.
Aplicación de la ley y arrestos
Hasta la fecha, no se han reportado arrestos ni desmantelamientos públicos de operadores de Vice Society. Sin embargo, agencias de ciberseguridad como CISA y el FBI emitieron advertencias sobre los métodos de Vice Society, en particular dirigidos al sector educativo. Informes recientes sugieren que el grupo podría haber trasladado sus operaciones bajo la marca Rhysida, lo que complica aún más los esfuerzos de aplicación de la ley.
Cómo defenderte de Vice Society
1
Gestión de parches: Aplica actualizaciones con regularidad, en particular para exploits como PrintNightmare.
2
Higiene de credenciales: Aplica contraseñas seguras y autenticación multifactor (MFA).
3
Segmentación de redes: Separa los sistemas sensibles de las redes accesibles para limitar las rutas de ataque lateral.
4
Monitoreo de endpoints: Implementa herramientas para detectar anomalías, como la ejecución inusual de PowerShell o scripts.
5
Estrategias de respaldo: Mantén copias de seguridad inmutables y sin conexión, y prueba los procesos de restauración de datos con regularidad.
Referencias
