DarkSide (grupo de hackers)

DarkSide es un grupo de ciberdelincuentes , presuntamente con sede en Rusia , que ataca a sus víctimas mediante ransomware y extorsión ; se cree que está detrás del ciberataque Colonial Pipeline . ^{[ 1 ] [ 2 ] [ 3 ] [ 4 ]} El grupo ofrece ransomware como servicio. ^{[ 4 ] [ 5 ] [ 6 ]}

DarkSide afirma ser apolítico. ^{[ 7 ]}

Se cree que DarkSide tiene su base en Europa del Este , probablemente en Rusia, pero a diferencia de otros grupos de hackers responsables de ciberataques de alto perfil, no se cree que esté directamente patrocinado por el Estado (es decir, operado por los servicios de inteligencia rusos ). ^{[ 3 ] [ 8 ]} DarkSide evita objetivos en ciertas ubicaciones geográficas comprobando la configuración de idioma de su sistema. Además de los idiomas de los 12 países actuales, antiguos o fundadores de la CEI, la lista de exclusión contiene el árabe sirio . ^{[ 9 ]} Los expertos afirman que el grupo es "uno de los muchos grupos de ransomware con fines de lucro que han proliferado y prosperado en Rusia" con al menos la sanción implícita de las autoridades rusas, que permiten que la actividad ocurra siempre que ataque objetivos extranjeros. ^{[ 8 ]} La función de comprobación de idioma se puede deshabilitar cuando se crea una instancia de ransomware. Se observó una de estas versiones en mayo de 2021. ^{[ 10 ]} Además, DarkSide no ataca centros de salud , escuelas ni organizaciones sin fines de lucro . ^{[ 11 ]}

El código de ransomware utilizado por DarkSide se asemeja al software de ransomware utilizado por REvil , otro grupo de hackers; el código de REvil no está disponible públicamente, lo que sugiere que DarkSide es una ramificación de REvil ^{[ 12 ]} o un socio de REvil. ^{[ 4 ]} DarkSide y REvil utilizan notas de rescate con una estructura similar y el mismo código para comprobar que la víctima no se encuentre en un país de la Comunidad de Estados Independientes (CEI). ^{[ 13 ]}

Según datos de Trend Micro Research, Estados Unidos es, con diferencia, el país más atacado por DarkSide, con más de 500 detecciones, seguido de Francia , Bélgica y Canadá . ^{[ 13 ]} De los 25 países observados por McAfee, los más afectados por los ataques de DarkSide en términos de número de dispositivos afectados por millón de dispositivos son Israel (1573,28), Malasia (130,99), Bélgica (106,93), Chile (103,97), Italia (95,91), Turquía (66,82), Austria (61,19), Ucrania (56,09), Perú (26,94) y Estados Unidos (24,67). ^{[ 14 ]}

A junio de 2021, DarkSide solo había publicado datos de una empresa; la cantidad de datos publicados supera los 200 GB. ^{[ 15 ]}

El ransomware DarkSide inicialmente elude el UAC mediante la interfaz COM CMSTPLUA. ^{[ 15 ]} El software luego verifica la ubicación del sistema para evitar máquinas en países de la antigua Unión Soviética; ^{[ 15 ]} la lista de idiomas permitidos son ruso , ucraniano , bielorruso , tayiko , armenio , azerbaiyano , georgiano , kazajo , kirguís , turcomano , uzbeko , tártaro , rumano moldavo y árabe sirio . ^{[ 15 ]}

El software crea un archivo llamado LOG.{userid}.TXT , que funciona como archivo de registro . ^{[ 15 ]} El software elimina los archivos de la papelera de reciclaje uno por uno, desinstala ciertos programas de seguridad y copia de seguridad, y finaliza procesos para permitir el acceso a los archivos de datos del usuario. ^{[ 15 ]} Durante el proceso de cifrado propiamente dicho, se genera un ID de usuario basado en una dirección MAC y aparece añadido a los nombres de archivo, y los datos del archivo se cifran con Salsa20 y una clave de matriz generada aleatoriamente (que, cifrada con una clave RSA codificada , se añade al archivo). ^{[ 15 ]} Sin embargo, el software evita cifrar ciertas carpetas, archivos y tipos de archivo. ^{[ 15 ]}

Finalmente, el ransomware deja una nota de rescate titulada README.{userid}.TXT , que dirige al usuario a acceder a un sitio con Tor; este sitio luego solicita al usuario que verifique su identidad y realice un pago utilizando Bitcoin o Monero . ^{[ 15 ]}

DarkSide utiliza hackers intermediarios 26c3weq ("afiliados"). ^{[ 16 ]} Utiliza "ransomware como servicio" ^{[ 4 ] [ 5 ] [ 6 ]} — un modelo en el que DarkSide otorga a sus suscriptores "afiliados" (que son evaluados mediante una entrevista) acceso al ransomware desarrollado por DarkSide, a cambio de darle a DarkSide una parte de los pagos de rescate (aparentemente 25% para pagos de rescate inferiores a US$500,000 y 10% para pagos de rescate superiores a US$5 millones). ^{[ 4 ]} Los afiliados tienen acceso a un panel de administración en el que crean compilaciones para víctimas específicas. El panel permite cierto grado de personalización para cada compilación de ransomware. La empresa de ciberseguridad Mandiant , una subsidiaria de FireEye , ha documentado cinco grupos de actividad de amenazas que pueden representar diferentes afiliados de la plataforma DarkSide RaaS, y ha descrito tres de ellos, denominados UNC2628, UNC2659 y UNC2465. ^{[ 10 ]}

Algunos investigadores han sostenido que el modelo de negocio de DarkSide es comparable a una franquicia , lo que significa que los compradores pueden usar la marca DarkSide en sus ataques. Además, DarkSide es conocido por operar con un alto grado de profesionalismo, ya que los analistas han señalado que el grupo de hackers cuenta con una sala de prensa, una lista de correo y una línea directa de atención a las víctimas en su sitio web. ^{[ 17 ]}

En abril de 2022, el Buró Federal de Investigaciones (FBI) emitió un aviso indicando que varios desarrolladores y blanqueadores de dinero de BlackCat tenían vínculos con dos grupos de ransomware como servicio (RaaS) desaparecidos: DarkSide y BlackMatter. ^{[ 27 ]} Según algunos expertos, BlackCat podría ser un cambio de nombre de DarkSide, tras su ataque a Colonial Pipeline . ^{[ 28 ]}