La firma TRM Labs ha publicado un informe donde toma la medida a a Embargo, un grupo de ransomware que opera como un RaaS (ransomware as a service).
Qué es Embargo y su vínculo con BlackCat
Hay muchas evidencias de que esta formación podría ser un rebranding de la conocida operación de ransomware BlackCat o una suerte de spin-off de la misma. Existen varias pruebas que así lo hacen pensar: comparte la utilización del lenguaje Rust en su malware, cuenta con sitios de fuga de datos con diseño muy similar y muestra solapamientos en la infraestructura de wallets con su predecesor.
En diciembre de 2023, el Departamento de Justicia de EE. UU., junto al FBI y agencias internacionales (Europol, España, Alemania, Reino Unido, entre otros), desplegó una operación coordinada para interrumpir sus operaciones. Gracias a la colaboración de un informante infiltrado en ALPHV, las autoridades lograron obtener acceso -de forma silenciosa- a los servidores, claves de descifrado, y paneles utilizados por los afiliados.
Operaciones policiales y descifrado de rescates
El FBI consiguió recolectar casi un millar de pares de claves públicas/privadas utilizados en sitios de negociación, fugas de datos y paneles de afiliados, lo que permitió lanzar un herramienta de descifrado que ayudó a más de 500 víctimas a recuperar sus archivos y evitar pagos de rescate por un valor estimado en 68 millones de dólares.
Cómo opera Embargo
A diferencia de otros grupos de alto perfil como LockBit o Cl0p, Embargo adopta un perfil más discreto, evitando tácticas llamativas como la triple extorsión o el hostigamiento público. Así, evadirían con más facilidad a las fuerzas del orden. No obstante, mantiene una alta capacidad técnica y agresividad operativa.
Así, la banda se sirve de una estrategia de doble extorsión: cifra los sistemas y amenaza con filtrar datos sensibles, a menudo exponiendo públicamente datos personales o incluso identificando directamente a víctimas para presionarlas a pagar.
TRM Labs habla de que el grupo contaría con 18,8 millones de dólares que permanecerían inactivos en wallets no atribuidas, dejando caer que lleva a cabo una estrategia consciente de retención de fondos para dificultar su rastreo. La banda utiliza wallets intermedias, exchanges de alto riesgo y plataformas como Cryptex.net para dificultar el seguimiento de los fondos.
Sectores afectados y rescates
Embargo se ha centrado hasta ahora en entidades del sector sanitario y servicios críticos, como American Associated Pharmacies y hospitales en Georgia e Idaho, exigiendo rescates de hasta 1,3 millones de dólares.
Varias fuentes aseguran que la banda ha movido unos 34 millones de dólares en criptomonedas vinculadas a rescates desde abril del año pasado.
Posibles avances tecnológicos y próximos pasos
TRM sugiere que la banda podría estar incorporando herramientas de IA y aprendizaje automático para automatizar las fases de sus ataques.
Deja una respuesta