Un nuevo ataque de ransomware de DragonForce ha tenido como objetivo a organizaciones en Arabia Saudita.
El ataque, que afectó a una importante empresa inmobiliaria y de construcción con sede en Riad, resultó en la exfiltración de más de 6 TB de datos confidenciales.
Según un nuevo aviso de Resecurity, los actores de amenazas anunciaron por primera vez la violación el 14 de febrero de 2025, exigiendo un rescate antes de publicar la información robada. La fecha límite se fijó para el 27 de febrero, un día antes del inicio del Ramadán.
Tras la expiración de la fecha límite del rescate, DragonForce publicó los datos robados a través de un sitio de filtración dedicado (DLS), separado de su plataforma principal.
El grupo de ransomware, que opera con un modelo de Ransomware como servicio (RaaS), continúa expandiendo su red de afiliados, brindando herramientas y recursos a los ciberdelincuentes a cambio de una parte de los pagos de rescate. Cabe destacar que su DLS cuenta con mecanismos CAPTCHA avanzados para evitar el seguimiento automatizado por parte de las empresas de ciberseguridad.
DragonForce ha estado activo desde diciembre de 2023, y su primera víctima conocida fue el Centro MHMR de la Región del Corazón de Texas. Desde entonces, el grupo ha evolucionado, aprovechando sofisticadas técnicas de cifrado, comunicaciones basadas en TOR y métodos de pago seguros, incluidas billeteras Bitcoin y sistemas de chat privados.
El grupo recluta afiliados a través del foro clandestino RAMP, que ofrece una de las tasas de comisión más altas del mercado de delitos cibernéticos: hasta el 80 % de las ganancias del rescate.
Los afiliados se comunican a través de mensajería instantánea basada en TOR (TOX) y deben demostrar su capacidad demostrando el acceso a las redes de las víctimas. Para mejorar la seguridad, DragonForce ha reforzado su proceso de investigación después de que una filtración anterior expusiera las URL de los afiliados.
Los afiliados también reciben servicios de soporte, como:
«Servicios de llamadas» para intimidación directa a las víctimas.
Descifrado de hash NTLM/Kerberos para ayudar en las operaciones posteriores a la vulneración.
Un generador de ransomware altamente flexible que permite la personalización de las configuraciones de cifrado.
DragonForce emplea ataques de phishing y explota vulnerabilidades en los servicios de Protocolo de escritorio remoto (RDP) y Red privada virtual (VPN) para obtener acceso inicial.
El grupo también emplea tácticas de extorsión dual, cifrando los datos de las víctimas mientras amenaza con publicar la información robada si no se cumplen las demandas de rescate. Además, se sabe que DragonForce publica grabaciones de audio de negociaciones de rescate, lo que aumenta la presión sobre las víctimas para que cumplan.