El FBI y CISA revelaron en un aviso conjunto que la banda de ransomware Royal ha comprometido las redes de al menos 350 organizaciones en todo el mundo desde septiembre de 2022.
En una actualización al aviso original publicado en marzo con información adicional descubierta durante las investigaciones del FBI, las dos agencias también señalaron que la operación de ransomware está vinculada a más de 275 millones de dólares en demandas de rescate.
"Desde septiembre de 2022, Royal ha dirigido su atención a más de 350 víctimas conocidas en todo el mundo, y las demandas de ransomware han superado los 275 millones de dólares".
"Royal realiza la extracción de datos y extorsión antes del cifrado y luego publica los datos de la víctima en un sitio de filtraciones si no se paga el rescate. Los correos electrónicos de phishing se encuentran entre los vectores más exitosos para el acceso inicial por parte de los actores de amenazas de Royal".
En marzo, el FBI y CISA compartieron por primera vez indicadores de compromiso y una lista de tácticas, técnicas y procedimientos (TTP) para ayudar a los defensores a detectar y bloquear intentos de desplegar cargas útiles de ransomware Royal en sus redes.
El aviso conjunto fue emitido después de que el equipo de seguridad del Departamento de Salud y Servicios Humanos (HHS) revelara en diciembre de 2022 que la operación de ransomware estaba detrás de múltiples ataques contra organizaciones de atención médica en EE. UU.
¿De Royal a BlackSuit?
La actualización del aviso también señala que Royal podría estar planeando una iniciativa de cambio de marca y/o una variante derivada, con el ransomware BlackSuit exhibiendo varias características de codificación compartidas con Royal.
La banda de ransomware Royal estaba probando un nuevo cifrador BlackSuit, que comparte muchas similitudes con el cifrador habitual de la operación.
Aunque se creía que la operación de ransomware Royal cambiaría de marca desde mayo cuando surgió la operación BlackSuit, esto nunca ocurrió. Royal sigue apuntando activamente a organizaciones empresariales utilizando BlackSuit en ataques limitados.
Dado que BlackSuit es una operación independiente, es posible que Royal esté planeando lanzar un subgrupo enfocado en ciertos tipos de víctimas, ya que un cambio de marca ya no tiene sentido una vez que se han descubierto similitudes entre los dos cifradores.
"Creo que podríamos ver más cosas como BlackSuit pronto. Pero hasta ahora, parece que tanto el nuevo cargador como el nuevo bloqueador Blacksuit fueron un experimento fallido", dijo Yelisey Bohuslavskiy, socio y jefe de I+D en RedSense.
Vínculos con la banda de ciberdelincuentes Conti
Royal Ransomware es una operación privada de actores de amenazas altamente capacitados conocidos por trabajar anteriormente con la infame banda de ciberdelincuentes Conti.
A pesar de ser detectados por primera vez en enero de 2022, sus actividades maliciosas solo han aumentado en intensidad desde septiembre del mismo año.
Aunque inicialmente utilizaron cifradores de ransomware de otras operaciones como ALPHV/BlackCat, probablemente para evitar llamar la atención, la banda ha pasado a implementar sus propias herramientas.
Aunque su primer cifrador, Zeon, dejaba notas de rescate reminiscentes de las generadas por Conti, cambiaron al cifrador Royal después de una rebranding a mediados de septiembre de 2022. Más recientemente, el malware ha sido actualizado para cifrar dispositivos Linux en ataques dirigidos a máquinas virtuales VMware ESXi.
A pesar de que generalmente infiltran las redes de los objetivos aprovechando vulnerabilidades de seguridad en dispositivos de acceso público, los operadores de Royal también son conocidos por ataques de phishing de retorno.
Durante estos ataques, cuando los objetivos llaman a los números de teléfono incrustados en correos electrónicos hábilmente disfrazados como renovaciones de suscripción, los atacantes aprovechan tácticas de ingeniería social para engañar a las víctimas para que instalen software de acceso remoto, otorgándoles acceso a la red objetivo.
El modus operandi de los operadores de Royal implica cifrar los sistemas empresariales de sus objetivos y exigir rescates sustanciales que van desde 250,000 hasta decenas de millones por ataque.
Fuente: bleepingcomputer.com