Como no podía ser de otra manera, Estados Unidos encabeza la lista de países más afectados por ataques de ransomware en noviembre de 2024. Así lo confirma un estudio de Bitdefender sobre el alcance de estas amenazas, según el cual Alemania, Reino Unido, Canadá, Italia y Francia, junto con EEUU, lideran la lista de estados con mayor número de ataques. La buena noticia es que España no está en ese ranking, al menos de momento.
Respecto a los principales grupos de atacantes de ransomware por número de víctimas en noviembre destacaron RansomHub, Akira, KillSec, SafePay, Quilin, INC Ramsom, Hunter’s International, Lynx, Play y BlackSuit. No obstante, Bitdefender quiere aclarar que esta información proviene de los propios delincuentes y que este informe solo captura el número de víctimas reclamadas no el informe financiero real de estos ataques.
Respecto a los diferentes criterios de actuación de los diferentes grupos de ataque, Bitdefender asegura que el ransomware Ymir emplea tácticas de ejecución únicas porque aprovecha las funciones de administración de memoria para ejecutar su código, lo que reduce la probabilidad de detección por parte de las soluciones tradicionales de antivirus y detección y respuesta de endpoints (EDR), que a menudo se basan en la identificación de firmas y procesos basados en disco.
Por otro lado, el ransomware Akira experimentó un aumento dramático en la actividad el mes pasado y Bitdefender documentó 90 víctimas solo en noviembre, superando con creces su máximo mensual anterior de 30 ataques en julio. Activo desde marzo de 2023, Akira es un grupo de amenazas en rápida evolución con el potencial de un crecimiento significativo en el próximo año.
Más ataques de ransomware
CyberVolk, un grupo hacktivista alineado con Rusia, ha ampliado sus operaciones adoptando el modelo Ransomware-as-a-Service (RaaS). Además del ransomware, el grupo ha lanzado ataques DDoS contra organizaciones objetivo. A pesar de sus vínculos geopolíticos con los intereses rusos, algunos informes sugieren que las actividades de CyberVolk también pueden involucrar a actores en la India.
Por otro lado, Helldown, un grupo de ransomware activo desde agosto de 2024, ha desarrollado una nueva variante de Linux. El grupo explota las vulnerabilidades de los productos de firewall y VPN de Zyxel, incluido el CVE-2024-42057, que permite ataques de inyección de comandos. Las operaciones de Helldown también incluyen el robo de credenciales. Se recomienda encarecidamente a los usuarios de los productos Zyxel que apliquen los últimos parches y apliquen políticas de contraseñas sólidas, incluidas las actualizaciones periódicas de contraseñas.
