Ransomware Phobos: Arrestos y Ataques en Sitios de 8base
Publicado hace 2 meses 24-02-2025
El operativo conjunto de fuerzas policiales, denominado “Phobos Aetor”, se llevó a cabo en cuatro ubicaciones distintas con gran éxito. Como resultado, se logró la confiscación de varios dispositivos electrónicos, incluidos laptops, smartphones y billeteras de criptomonedas. Además, se procedió al arresto de dos individuos vinculados al grupo de ransomware Phobos, ambos de origen ruso, quienes están acusados de extorsionar a sus víctimas por un total de 16 millones de dólares en Bitcoin. El operativo contó con la colaboración de diversas entidades internacionales, incluyendo fuerzas de seguridad de Tailandia, Rumania, Baviera (Alemania), Suiza, Japón, Estados Unidos, Europol, España, Francia, Bélgica, Reino Unido y la República Checa.
El grupo de ransomware Phobos apareció en 2019 y rápidamente ganó notoriedad, afectando a numerosas empresas y organizaciones a lo largo de los años. Desde sus inicios, Phobos operaba como un ransomware como servicio (RaaS), lo que contribuyó a su rápida expansión y al aumento de los ataques a organizaciones de todo el mundo. A lo largo del tiempo, surgieron varias variantes de este ransomware, como Elking, Eight, Devos, Backmydata y Faust. Phobos utiliza herramientas de código abierto, como Smokeloader, Cobalt Strike y BloodHound, para ejecutar sus ataques. Sin embargo, en 2024, el grupo perdió protagonismo, siendo superado por otras organizaciones más exitosas, como LockBit y RansomHub.
Además de los arrestos realizados a los integrantes del grupo de ransomware Phobos, también se llevó a cabo el cierre de sitios web vinculados a otro grupo de ransomware conocido como 8Base. En total, se desactivaron 27 servidores, lo que resultó en el cierre del sitio de filtraciones y la eliminación de toda la información almacenada en él. Asimismo, se colocó un mensaje en el sitio indicando que había sido cerrado. El mensaje que apareció explícitamente en el portal fue el siguiente:
"This hidden site and the criminal content have been seized by the Bavarian State Criminal Police Office on behalf of the Office."
(Este sitio web oculto y el contenido delictivo han sido confiscados por la Oficina de Policía Criminal del Estado de Baviera en nombre de la Oficina.)
Imagen del sitio de dado de baja en el operativo.
8base es también un grupo de ransomware que surgió en 2023, este tiene similitudes con Phobos ransomware y Ransomhouse por lo que no es extraño que se haya encontrado en la operación contra el primer grupo. La diferencia de este grupo es que se denominan mas como un grupo de Pentesting que de ransomware ya que dicen tener cierta moral y estar en la línea de lo que se considera hacking ético.
Establecer controles de acceso SSH basados en la red para minimizar el riesgo de ataque
Auditar herramientas de acceso remoto. (NIST CSF, 2024)
Revisar logs para de ejecución de software de acceso remoto. (NIST CSF, 2024)
Limitar estrictamente el uso de los protocolos SMB y RDP.
Realizar auditorías de seguridad. (NIST CSF, 2024)
Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque. (NIST CSF, 2024)
Tener filtros de correo electrónico y spam.
Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
Realizar copias de seguridad, respaldos o back-ups constantemente.
Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
Revisar continuamente los privilegios de los usuarios.
Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
El 23 de marzo de 2023, la firma estadounidense de ciberseguridad Recorded Future alertó sobre la continua actividad del grupo de hackers chinos conocido como RedGolf, presuntamente respaldado por el Estado. Según el informe, este grupo mantiene operaciones activas......
Una nueva vulnerabilidad ha sido descubierta por el equipo interno de Fortinet. Esta vulnerabilidad cuenta con un score CVSS de 9.3, siendo clasificada como de carácter crítico. La vulnerabilidad fue ligada al identificador CVE-2024-48887.
Esta CVE afecta a diver......
Con la creciente efectividad de los grupos de ransomware día con día, nuevos grupos se forman para aprovechar esta modalidad, la cual resulta muy lucrativa para los actores maliciosos. También se ha visto que se crean variantes de operaciones más grand......
.jfif)
