La Oficina Federal de Investigación (FBI) afirma que la banda de ransomware Play ha vulnerado unas 300 organizaciones de todo el mundo entre junio de 2022 y octubre de 2023, algunas de ellas entidades de infraestructuras críticas.
La advertencia llega en forma de aviso conjunto emitido en colaboración con CISA y el Centro Australiano de Ciberseguridad de la Dirección Australiana de Señales (ASD's ACSC).
"Desde junio de 2022, el grupo de ransomware Play (también conocido como Playcrypt) ha afectado a una amplia gama de empresas e infraestructuras críticas en América del Norte, América del Sur y Europa", advirtieron hoy las tres agencias gubernamentales.
"En octubre de 2023, el FBI tenía conocimiento de aproximadamente 300 entidades afectadas presuntamente explotadas por los actores del ransomware".
La operación de ransomware Play surgió en junio de 2022, después de que las primeras víctimas pidieran ayuda en foros.
A diferencia de las operaciones típicas de ransomware, los afiliados al ransomware Play optan por la comunicación por correo electrónico como canal de negociación y no proporcionan a las víctimas un enlace a la página de negociaciones Tor en las notas de rescate dejadas en los sistemas comprometidos.
Sin embargo, antes de desplegar el ransomware, roban documentos confidenciales de los sistemas comprometidos, que utilizan para presionar a las víctimas para que paguen el rescate bajo la amenaza de filtrar los datos robados en Internet.
La banda también está utilizando una herramienta de copia VSS personalizada que ayuda a robar archivos de las instantáneas de volumen, incluso cuando esos archivos están siendo utilizados por las aplicaciones.
Entre las víctimas más recientes del ransomware Play se encuentran la ciudad californiana de Oakland, el gigante de la venta de automóviles Arnold Clark, la empresa de computación en nube Rackspace y la ciudad belga de Amberes.
En las directrices publicadas hoy por el FBI, el CISA y el ACSC de la ASD, se insta a las organizaciones a dar prioridad a la solución de las vulnerabilidades conocidas que han sido explotadas para reducir su probabilidad de ser utilizadas en ataques de ransomware Play.
También se recomienda encarecidamente a los defensores de la red que implanten la autenticación multifactor (MFA) en todos los servicios, centrándose en el correo web, la VPN y las cuentas con acceso a sistemas críticos.
Además, la actualización periódica del software y las aplicaciones a sus versiones más recientes y las evaluaciones rutinarias de vulnerabilidades deben formar parte de las prácticas de seguridad estándar de todas las organizaciones.
"El FBI, CISA y ACSC de ASD animan a las organizaciones a implementar las recomendaciones en la sección Mitigación de este CSA para reducir la probabilidad y el impacto de los incidentes de ransomware", dijeron las agencias.
"Esto incluye requerir autenticación multifactor, mantener copias de seguridad offline de los datos, implementar un plan de recuperación y mantener todos los sistemas operativos, software y firmware actualizados".
Fuente: bleepingcomputer.com