Wizard Spider
Wizard Spider, también conocido como Trickbot o Wizard Spider Cyber Cartel, es un grupo de ciberdelincuentes con base en Erbil y en los alrededores de Kurdistán y San Petersburgo en Rusia.[1][2] Algunos miembros pueden estar recidiendo en Ucrania.[2] Se estima que son alrededor de 80, algunos de ellos pueden no saber que estar adscritos a una organización criminal.[1][3]
El grupo ha sido rastreado por la Europol, Interpol, FBI y también de la Agencia Nacional del Crimen en el Reino Unido.[1]
Se sospecha que criminales clave están relacionados en ataques en línea utilizando el software Dyre.[1]
Historia
[editar | editar código]En 2018, los grupos comenzaron a usar los ransomware Trickbot, Ryuk y Conti como sus herramientas principales.[1]
También han desarrollado el software de espionaje Sidoh que solo recopila información y no la pide rescate.[2][4]
Modus operandi
[editar | editar código]PRODAFT redactó un informe técnico sobre ellos que describía sus ataques y organización.[5]
Los ataques generalmente comienzan enviando grandes cantidades de spam a los objetivos para engañar a las víctimas para que descarguen malware.[5] Usan malware Qbot y SystemBC, además de escribir los suyos propios.[5] Un equipo separado identifica objetivos valiosos y usa Cobalt Strike para atacarlos.[5] Si obtienen el control del sistema, implementan ransomware.[5]
Han transferido simultáneamente Bitcoin de los ataques del ransomware Ryuk y Conti a sus propias billeteras, lo que implica que están llevando a cabo varios ataques con diferentes programas maliciosos.[2]
Son muy conscientes de su propia seguridad y no publican abiertamente en la darknet.[1] Solo trabajarán o venden acceso a delincuentes en los que confían.[1] Se sabe que menosprecian a sus víctimas a través de un sitio de fuga.[1] El sitio de fuga también se utiliza para publicar datos que han robado.[2] Las agencias de inteligencia dicen que el grupo no ataca objetivos en Rusia, ni las figuras clave viajan fuera del país por temor a ser arrestadas.[1][2] Su software está programado para desinstalarse solo si detecta que el sistema usa el idioma ruso o si el sistema tiene una dirección IP en la antigua Unión Soviética.[2]
Se sospecha que Rusia tolera a Wizard Spider e incluso los ayuda.[2]
Supuestos ataques
[editar | editar código]El Wizard Spider es sospechoso de llevar ataques al ataque cibernético Health Service Executive en la República de Irlanda.[6][1] Es el mayor ataque conocido contra un sistema informático de un servicio de salud.[2]
Complinces
[editar | editar código]Están relacionados y vinculados a UNC1878, TEMP.MixMaster, CordueneWarez y Grim Spider.[3] Según un informe de Jon DiMaggio titulado Ransom Mafia: Analysis of the world's first ransomware cartel, el grupo forma parte de una colección de delincuentes conocida como Ransom Cartel o Maze Cartel'.[2] Son los grupos más grandes activos en el cártel.[2][4]
Todos usan ransomware para extorsionar dinero.[2][4] (SunCrypt se retiró .[4]) Los autores del informe PRODAFT descubrieron que Wizard Spider a veces hacía copias de seguridad de los datos en un servidor y que el servidor contenía datos de sistemas que también habían sido atacados por REvil, aunque los autores no pudieron concluir cuál de los dos grupos había tomado los datos.[5]
Referencias
[editar | editar código]- ↑ 1,00 1,01 1,02 1,03 1,04 1,05 1,06 1,07 1,08 1,09 Reynolds, Paul (18 de mayo de 2021). «'Wizard Spider': Who are they and how do they operate?». RTÉ News. Consultado el 18 de mayo de 2021.
- ↑ 2,00 2,01 2,02 2,03 2,04 2,05 2,06 2,07 2,08 2,09 2,10 2,11 Lally, Conor (18 de mayo de 2021). «Wizard Spider profile: Suspected gang behind HSE attack is part of world’s first cyber-cartel». Consultado el 19 de mayo de 2021.
- ↑ 3,0 3,1 «Mapping To Wizard Spider». MITRE Shield. Mitre Corporation. Archivado desde el original el 28 Jan 2021. Consultado el 18 de mayo de 2021.
- ↑ 4,0 4,1 4,2 4,3 DiMaggio, Jon. «Ransom Mafia - Analysis of the World's First Ransomware Cartel». Analyst1. Analyst1. Consultado el 19 de mayo de 2021.
- ↑ 5,0 5,1 5,2 5,3 5,4 5,5 Burt, Jeff (18 de mayo de 2022). «Meet Wizard Spider, the multimillion-dollar gang behind Conti, Ryuk malware». Consultado el 20 de mayo de 2022.
- ↑ «Cyber experts hunt hidden hacking in all Government departments as Russian hackers target Health». Irish Independent. Consultado el 25 de junio de 2022.