grief
Perfil del Actor
Doppelpaymer es una familia de ransomware que infecta sistemas y encripta datos de usuarios. Se identifica principalmente por el sufijo de archivo .doppeled añadido a archivos cifrados, así como por la creación de un archivo de texto llamado .how2decrypt.txt, que contiene instrucciones para desencriptar los datos. La familia se ha asociado con actividades de ciberataques en múltiples sectores.
Origen y Motivacion
No hay información pública disponible sobre el origen o las motivaciones específicas del actor "grief". Sin embargo, la operación de ransomware generalmente se lleva a cabo por grupos anónimos o cibercriminal que buscan monetizar la encriptación de datos.
Tecnicas y Tacticas (TTPs)
Las tácticas del actor incluyen:
- Cifrado de archivos: Encripta datos críticos de sistemas afectados.
- Creador de archivos de notificación: Genera un archivo
.how2decrypt.txtpara indicar el método de desencriptación. - Uso de dominios maliciosos: Se han asociado con dominios como
griefcameifmv4hfr3auozmovz5yi6m3h3dwbuqw7baomfxoxz4qteid.onion, que podrían ser servidores C2 o puntos de contacto.
Campanas Conocidas
Se reportan al menos 3 campañas asociadas a este actor, aunque no se han detallado específicamente los sectores o organizaciones afectados. Las actividades suelen enfocarse en sistemas con valor económico alto.
Objetivos y Victimas
El objetivo principal del actor es encriptar datos críticos y exigir un rescate para la restoración de archivos. Se han identificado 3 victimas, pero no se disponen de detalles sobre las organizaciones o sectores específicos involucrados.
Indicadores de Compromiso (IOCs)
| Tipo | Valor | Contexto |
| Domain | griefcameifmv4hfr3auozmovz5yi6m3h3dwbuqw7baomfxoxz4qteid.onion | Locations |
No se disponen de otros indicadores de compromiso públicos verificables.
Deteccion y Defensa
Para detectar actividades relacionadas con este actor:
- Montura de archivos: Buscar archivos con extensión
.doppeled. - Verificación de archivos de notificación: Revisar la presencia de
.how2decrypt.txten sistemas afectados. - Bloqueo de dominios sospechosos: Identificar y bloquear dominios como el mencionado anteriormente.
La defensa efectiva incluye la implementación de respaldos regulares, actualizaciones de sistemas y educación continua para usuarios sobre amenazas de ransomware.