El auge de la nueva versión del Ransomware Knight en los hospitales

El mundo está alarmado por una serie de ataques de ransomware llevados a cabo por Ransomhub. Sólo en abril, hubo 26 informes de ataques a hospitales y otras organizaciones, como la casa de subastas Christie's. Los hospitales londinenses tuvieron que detener las transfusiones de sangre y las cirugías debido a estos ataques.

¿Qué es Ransomhub? Se trata de una versión actualizada del programa ransomware Knight. A principios de 2024, el código fuente de Knight se puso a la venta en la web oscura. El nuevo propietario(o posiblemente el mismo) ha mejorado el programa y ahora lo ofrece como Ransomware-as-a-Service (RaaS). Este servicio atrae activamente a afiliados. Muchos antiguos usuarios de Lockbit se están pasando a Ransomhub porque el funcionamiento de Lockbit se ha visto recientemente muy afectado por la aplicación de la ley. La persona detrás de Lockbit sigue en libertad y activa.

El sector sanitario bajo fuego

En el pasado, varias operaciones de RaaS declararon que los ataques al sector sanitario eran inaceptables, especialmente durante la pandemia. Sin embargo, recientemente, Ransomhub ha dirigido sus ataques contra instituciones sanitarias y sus proveedores.

Doble extorsión: Además del modelo de negocio tradicional del Ransomware, en el que se pide un rescate para restaurar el acceso a los datos cifrados, los delincuentes utilizan ahora también el método de la "doble extorsión". Primero roban los datos y luego amenazan con venderlos o divulgarlos públicamente.

Másrápido que antes: El rápido crecimiento y desarrollo de este nuevo servicio RaaS sugiere que Ransomhub desempeñará un papel importante en el mundo de la ciberdelincuencia. Esto es preocupante porque el tiempo entre el initial access y el despliegue del Ransomware es cada vez más corto.

Lainvestigación de muestra que desde 2023, el ransomware se ha desplegado en más de la mitad de los casos en el plazo de una semana. En un tercio de los casos, ocurre en menos de 48 horas. La mayoría del ransomware se activa fuera del horario laboral, a menudo a primera hora de la mañana.

Métodos utilizados

Como es habitual en los ataques de Ransomware, el initial access suele producirse a través de credenciales obtenidas mediante phishing o spearphishing. Por lo tanto, es esencial que su organización se centre continuamente en la awareness de ciberseguridad de sus empleados, por ejemplo, a través del programa SAFE.

Los piratas informáticos instalan malware y, cada vez más, también software de acceso remoto. Piense en programas como TeamViewer, VNC, Atera y Splashtop. También suelen explotar vulnerabilidades conocidas de la red interna.

¿Qué vulnerabilidades conocidas?

Nunca podremos saber con exactitud qué es lo que intentan los afiliados al ransomware. Pero basándonos en nuestra investigación, podemos indicar qué es lo que falla con regularidad en la ciberseguridad en la sanidad. Los propios atacantes a veces dan consejos, como se ve en la siguiente imagen.