Las autoridades estadounidenses han advertido que las víctimas de una familia de ransomware como servicio (RaaS) podrían necesitar múltiples claves de descifrado únicas para tener una oportunidad de recuperar sus datos.
La Agencia de Ciberseguridad y Seguridad de la Infraestructura de Estados Unidos (CISA) dijo en una nueva alerta que la variante Zeppelin ha estado presente desde al menos 2019, con rescates que van desde varios miles de dólares hasta más de un millón de dólares.
«El FBI ha observado casos en los que los actores de Zeppelin ejecutaron su malware múltiples veces dentro de la red de una víctima, lo que resulta en la creación de diferentes identificaciones o extensiones de archivos, para cada instancia de un ataque», agregó la CISA. «Esto hace que la víctima necesite varias claves de descifrado únicas».
Zeppelin, que se dice que deriva de la familia de malware Vega, basada en Delphi, se ha dirigido a una amplia gama de organizaciones, incluidas las de los sectores de defensa, educación, fabricación y tecnología. Sin embargo, sus principales objetivos han sido los sectores sanitario y médico, según CISA.
«Antes de desplegar el ransomware Zeppelin, los actores pasan de una a dos semanas mapeando o enumerando la red de la víctima para identificar enclaves de datos, incluyendo el almacenamiento en la nube y las copias de seguridad de la red. Los actores de Zeppelin pueden desplegar el ransomware Zeppelin como un archivo .dll o .exe o contenido en un cargador de PowerShell.»
En el escenario de phishing, los actores de la amenaza tienen como objetivo engañar a los usuarios para que hagan clic en un enlace malicioso o abran un archivo adjunto con trampa para ejecutar macros maliciosas, dijo CISA.
Al igual que la mayoría de los actores de ransomware actuales, los afiliados a Zeppelin también intentan exfiltrar datos antes de desplegar su carga útil final y dejar una nota de rescate.
CISA enumeró una larga lista de medidas de mitigación recomendadas para Zeppelin, que van desde las mejores prácticas de gestión de contraseñas y la autenticación multifactorial hasta la aplicación regular de parches, la segmentación de la red, la desactivación de los puertos no utilizados y el mantenimiento de copias de seguridad de los datos sin conexión.