Colmena (ransomware)

El ransomware Hive se hizo evidente por primera vez en junio de 2021. ^{[ 15 ]} Dos meses después, ZDNet informó que Hive había atacado al menos a 28 organizaciones de atención médica en los Estados Unidos, incluyendo clínicas y hospitales en Ohio y Virginia Occidental . ^{[ 16 ]} En agosto de 2021, el FBI publicó actualizaciones urgentes advirtiendo sobre los riesgos del ransomware Hive, al igual que INCIBE en España, en enero siguiente. ^{[ 17 ]} También en agosto de 2021, el FBI publicó una alerta flash sobre los ataques del ransomware Hive que incluye detalles técnicos e indicadores de compromiso asociados con las operaciones de la banda. ^{[ 10 ]}

En diciembre de 2021, los analistas de inteligencia de amenazas de Group-IB determinaron que el grupo de ransomware Hive se comunicaba en ruso, aunque sin información sobre su ubicación operativa, y que, al 16 de octubre de 2021, al menos 355 empresas habían sido víctimas del ransomware Hive durante los seis meses anteriores, la mayoría en Estados Unidos, con rescates obtenidos de más de 100 víctimas que se comprometieron a recuperar el control de sus infraestructuras digitales. ^{[ 18 ] [ 19 ]} El panel de administración de Hive mostró que sus afiliados habían vulnerado más de 350 organizaciones durante cuatro meses con un promedio de tres empresas atacadas cada día desde que se revelaron las operaciones de Hive a finales de junio. ^{[ 20 ]}

Chainalysis clasificó a Hive en octavo lugar en la lista de ransomware con mayores ingresos en febrero de 2022. ^{[ 17 ]} En julio de 2022, Malwarebytes clasificó a Hive como el tercer grupo de ransomware más activo, señalando que el grupo estaba evolucionando y que Microsoft había emitido una advertencia indicando que HIVE había actualizado el malware al lenguaje de programación Rust, actualizando a un método de cifrado más complejo.

Según Yelisey Boguslavskiy, experta en Advanced Intelligent Systems, y BleepingComputer, Hive tenía vínculos con el grupo de ransomware Conti desde al menos noviembre de 2021, ^{[ 21 ] [ 22 ]} con algunos miembros de Hive trabajando para ambos grupos. ^{[ 22 ]} Según Boguslavskiy, Hive estaba utilizando activamente el acceso inicial al ataque proporcionado por Conti. ^{[ 21 ]}

En mayo de 2022, BleepingComputer informó que Conti se había asociado con Hive y varias otras bandas de ransomware conocidas, incluidas HelloKitty, AvosLocker, BlackCat y BlackByte, ^{[ 23 ]} con algunos de los hackers de Conti migrando a estas organizaciones, incluida Hive, ^{[ 21 ] [ 24 ]} aunque el grupo rival ^{[ 25 ]} ha negado tener cualquier conexión con Conti a pesar de lo cual, una vez que comenzó el proceso de cierre de operaciones y sus hackers llegaron a Hive, entonces comenzó a emplear la táctica de publicar datos filtrados en la deep web, tal como lo había hecho Conti. ^{[ 21 ]}

Más adelante en mayo, Conti anunció que comenzarían un proceso de cierre, ^{[ 11 ]} días después de que el Departamento de Justicia anunciara dos acusaciones contra un operador activo de Conti y un ciudadano ruso el 16 de mayo de 2022, ^{[ 26 ]} luego se asoció con Hive para atacar el servicio de salud pública de Costa Rica y el Fondo Costarricense de Seguridad Social (CCSS) la semana siguiente. ^{[ 11 ]}

A diferencia del Grupo Conti, Hive no estuvo asociado con el apoyo directo a la invasión rusa de Ucrania , aunque es probable que el pago del rescate a Hive sea recibido por las mismas personas dentro de Conti que afirmaron la alineación colectiva del grupo con el gobierno ruso . ^{[ 21 ]} Boguslavskiy luego le dijo a BleepingComputer que la evidencia de HIVE activa a través de los accesos de ataque inicial obtenidos de Conti, y a través de los servicios de los pentesters de Conti. ^{[ 27 ]}

En febrero de 2022, cuatro investigadores de la Universidad Kookmin en Corea del Sur descubrieron una vulnerabilidad en el algoritmo de cifrado del ransomware Hive, lo que les permitió obtener la clave maestra y recuperar la información secuestrada. ^{[ 28 ] [ 17 ]} En mayo, un informe de Cisco indicó que los delincuentes de Hive demostraron poca seguridad al revelar detalles operativos, incluso sobre su proceso de cifrado , y emplean todos los medios posibles para convencer a sus víctimas de pagar, incluyendo ofrecer sobornos a los negociadores de las víctimas después de que se paga el rescate. ^{[ 29 ]}

En julio de 2022, el FBI se infiltró en Hive. Agentes encubiertos de la oficina de campo de Tampa, Florida , obtuvieron acceso completo y actuaron como una filial en la red de Hive sin ser detectados durante siete meses, mientras reunían pruebas y generaban secretamente claves de descifrado para que las víctimas recuperaran sus datos. El FBI trabajó con las víctimas para identificar los objetivos de Hive y luego ingresó a los sistemas de Hive tras obtener órdenes judiciales y órdenes de registro antes de la eventual incautación de la infraestructura digital de Hive, ^{[ 30 ]} que sus miembros utilizaban para comunicarse y llevar a cabo los ataques. ^{[ 31 ]}

En noviembre de 2022, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) emitió un Aviso de Ciberseguridad que detallaba los métodos de mitigación del ransomware Hive, señalando que el grupo, desde junio de 2021, había victimizado a más de 1300 empresas en todo el mundo y había recaudado aproximadamente 100  millones de dólares en pagos de rescate. ^{[ 32 ]} Dos meses después, cuando fue desmantelado por las fuerzas del orden, Hive había añadido 200 empresas más a las víctimas en 80 países. ^{[ 7 ]}

El 26 de enero de 2023, el Fiscal General de los Estados Unidos, Merrick Garland, anunció personalmente ^{[ 4 ] [ 5 ]} que, en colaboración con las fuerzas del orden de 13 países, ^{[ 3 ]} incluyendo Europol y las agencias policiales alemanas y neerlandesas, Hive había sido infiltrado y desmantelado con éxito mediante la incautación de servidores, tras haber obtenido más de 1000 claves de descifrado, ^{[ 33 ]} que la agencia había proporcionado a 336 víctimas antes de cerrar la infraestructura digital de Hive. La investigación del FBI había descubierto dos servidores informáticos backend utilizados por el grupo para almacenar datos en Los Ángeles, los cuales fueron incautados. La Fiscal General Adjunta, Lisa Monaco, explicó que la investigación había "hackeado legalmente a los hackers". El director del FBI, Christopher A. Wray, informó que solo alrededor del 20% de las empresas estadounidenses víctimas habían denunciado las brechas. No se recuperaron fondos de rescate ni se realizaron arrestos. La investigación continúa. ^{[ 2 ] [ 4 ] [ 5 ] [ 31 ] [ 33 ]} Ese mismo día, el Departamento de Estado de EE. UU. anunció una  recompensa de 10 millones de dólares estadounidenses por información que vinculara al ransomware Hive con gobiernos extranjeros, en el marco de su Programa de Recompensas contra el Crimen Organizado Transnacional (TOCRP). ^{[ 9 ]}

En el marco de una investigación de Europol, el 21 de noviembre de 2023, las autoridades ucranianas registraron 30 propiedades en el oeste de Ucrania y detuvieron a 5 hombres, entre ellos el presunto líder del grupo, de 32 años. Confiscaron una cantidad indeterminada de bitcoins, equivalente a una suma de seis cifras en euros , a uno de los sospechosos. Europol declaró que otros sospechosos seguían bajo investigación. ^{[ 34 ]}

CNA pagó más de 40  millones de dólares a finales de marzo para recuperar el control de su red tras un ataque de ransomware de Hive. La empresa con sede en Chicago pagó a los hackers aproximadamente dos semanas después de que se robara una gran cantidad de datos de la compañía y los funcionarios de CNA quedaran sin acceso a su red. ^{[ 35 ]} En 2022, se informó que fue el mayor pago de rescate por ransomware divulgado hasta ese momento. ^{[ 36 ]}

La aseguradora declaró que su investigación concluyó que los piratas informáticos responsables del ciberataque pertenecían a un grupo llamado Phoenix. Habían utilizado un malware llamado Phoenix Locker, una variante del ransomware Hades utilizado por el grupo cibercriminal ruso Evil Corp. ^{[ 37 ]}

Memorial Healthcare System se vio obligado a que sus hospitales utilizaran registros en papel, cancelaran procedimientos y derivaran pacientes a otros centros que no se vieron afectados. La organización pagó un rescate a Hive para recuperar el acceso a sus sistemas. ^{[ 16 ]}

Una investigación realizada por una empresa de ciberseguridad reveló, en abril de 2022, que una filial del grupo de ransomware Hive estaba atacando servidores Microsoft Exchange con vulnerabilidades a problemas de seguridad de ProxyShell, desplegando una variedad de puertas traseras, como la baliza Cobalt Strike, y posteriormente realizando reconocimiento de red para robar credenciales de cuentas de administrador, extraer datos valiosos y desplegar la carga útil de cifrado de archivos. ^{[ 38 ]}

También en mayo de 2022, Hive atacó a la Comunidad de Navarra , España, obligando a un centenar de instituciones a utilizar papel y bolígrafo mientras se recuperaban los sistemas. ^{[ 39 ] [ 40 ]}

Cuando Hive atacó el Banco de Zambia ^{[ 41 ]} en mayo de 2022, se negó a pagar el rescate, afirmando que tenía medios para recuperar sus sistemas, y publicó un enlace a una foto de un pene en el chat de los extorsionadores. ^{[ 42 ] [ 41 ] [ 43 ]}

Conti anunció que comenzarían un proceso de cierre ^{[ 11 ]} días después de que el DOJ anunciara sus dos acusaciones contra un operador activo de Conti y un ciudadano ruso el 16 de mayo de 2022. ^{[ 26 ]} Después de que la infraestructura digital de Conti se reiniciara el 19 de mayo, se hizo evidente que Conti, alegando un objetivo de derrocar al gobierno, se asoció con Hive para atacar el servicio de salud pública de Costa Rica y el Fondo Costarricense de Seguro Social (CCSS). ^{[ 11 ]} El 31 de mayo alrededor de las 2:00  a. m. ( UTC -6:00), el Fondo Costarricense de Seguro Social (CCSS) detectó flujos de información anómalos en sus sistemas e inmediatamente procedió a apagar todos sus sistemas críticos, incluido el Expediente Digital Único en Salud (EDUS) y el Sistema Centralizado de Recopilación. Algunas impresoras de la institución imprimieron mensajes con códigos o caracteres aleatorios, ^{[ 44 ]} mientras que otras imprimieron instrucciones predeterminadas del grupo de ransomware Hive sobre cómo recuperar el acceso a los sistemas. ^{[ 45 ]} Durante el ataque, parecía que Hive por sí solo era responsable de la caída de 800 servidores gubernamentales y miles de terminales de usuario. ^{[ 13 ]} El presidente del CCSS, Álvaro Ramos Chaves, declaró que las bases de datos con información sensible no se vieron comprometidas, aunque al menos 30 de los 1500 servidores de la institución habían sido infectados con ransomware. ^{[ 45 ]}

La filial de la compañía de telecomunicaciones Bell Canada, Bell Technical Solutions, fue atacada por el ransomware Hive en agosto de 2022. ^{[ 46 ]} Hive filtró los datos robados de la compañía. ^{[ 14 ]}

Según informó Numerama , el fabricante suizo de artículos deportivos Intersport , con más de 700 tiendas, sufrió un ataque informático en noviembre a manos de Hive. Los detalles del ataque solo se pudieron consultar en la dark web. Hive exigió el pago de una cantidad no revelada el mismo día. Un archivo de muestra, supuestamente filtrado en la dark web por Hive y analizado por Numerama, contiene pasaportes, nóminas y otra información personal de clientes de Intersport, una práctica habitual entre las bandas de ransomware. Normalmente, estas bandas bloquean o cifran todos los datos de la empresa antes de amenazar con publicarlos en línea si no se cumple el rescate. ^{[ 47 ]}