El ransomware se disparó un 150% en 2020 y el importe medio de la extorsión se duplicó, según un nuevo informe de Group-IB.

La firma de seguridad, con sede en Singapur, analizó más de 500 ataques, el año pasado, para compilar su informe Ransomware Uncovered 2020-2021, que mapea por primera vez las tácticas, técnicas y procedimientos (TTPs) más comunes al marco MITRE ATT&CK.

En el último año, la demanda media de rescate se situó en 170.000 dólares, pero grupos como Maze, DoppelPaymer y RagnarLocker pidieron una media de entre 1 y 2 millones de dólares, según el informe.

Esto se debe a que se centran en la «caza mayor», es decir, en organizaciones grandes y generalmente privadas que se consideran lo suficientemente ricas como para pagar grandes sumas para evitar el tiempo de inactividad. De hecho, la víctima media de ransomware sufrió 18 días de interrupciones el año pasado, lo que podría tener un efecto escalofriante en los ingresos y la reputación.

Esta es también la razón por la que la mayoría de los ataques estudiados por Group-IB estaban dirigidos a Norteamérica y Europa, donde se encuentran la mayoría de las empresas de la lista Fortune 500.

Según el informe, incluso grupos de estados nacionales como Lazarus, de Corea del Norte, y APT27, de China, se han visto involucrados.

Sin embargo, fueron los grupos Maze (20%), Egregor (15%) y Conti (15%) los que protagonizaron la mayoría de los ataques analizados por Group-IB.

El modelo Ransomware-as-a-Service (RaaS) representó la mayoría (64%) de los ataques estudiados para este trabajo, y 15 nuevos programas de afiliación aparecieron en 2020.

Aunque el grupo Maze pareció retirarse a finales de 2020 mientras la policía conseguía desbaratar variantes como Egregor y Netwalker, también aparecieron rápidamente durante el año nuevos participantes en el mercado como Conti y DarkSide.

En un reflejo del cambio hacia el trabajo remoto masivo durante la pandemia, más de la mitad (52%) de los ataques estudiados en el informe utilizaron servidores RDP de acceso público para obtener el acceso inicial, seguidos por el phishing (29%) y la explotación de aplicaciones de cara al público (17%).

Con información de: Info Security Magazine.