Ransomcartel

Perfil del Actor

Ransomcartel es un operativo de ransomware-as-a-service (RaaS) que emergió en diciembre de 2021. Se ha identificado como una organización de amenaza con conexiones técnicas y de código compartido con el defunct REvil, según análisis de Palo Alto Unit 42. Esta relación sugiere que los operadores de Ransomcartel podrían haber tenido acceso previo a la base de código de REvil, lo que indica una posible herencia técnica o colaboración entre grupos. La operativa utiliza tácticas de doble extorsión, comprometiendo tanto sistemas críticos como datos sensibles para exigir pagos.

Origen y Motivación

Aunque no se han revelado detalles sobre su formación o ubicación geográfica, Ransomcartel parece operar con una estructura centralizada, basada en el uso de redes anónimas como Tor. Su motivación principal es el robo y extorsión de datos corporativos, con el objetivo de obtener dinero a través de pagos criptográficos. La conexión con REvil sugiere que su operativa podría tener una base técnica semejante, aunque no se han confirmado vínculos directos entre ambas entidades.

Técnicas y Tacticas (TTPs)

Ransomcartel utiliza tácticas de doble extorsión, combinando ataques de ransomware con la publicación de datos secuestrados. Su modelo RaaS implica que actores no técnicos puedan comprar o usar herramientas de ransomware sin conocimientos avanzados. Además, parece aprovechar redes anónimas para evitar rastreo y operar en un entorno de alta anonimia. Las tácticas incluyen la inyección de código malicioso a través de correo electrónico o vulnerabilidades web, con el objetivo de comprometer infraestructuras corporativas.

Campanas Conocidas

No se han reportado campañas específicas atribuidas directamente a Ransomcartel. Sin embargo, su operativa sugiere que podría estar asociada a ataques en sectores críticos como finanzas, salud o tecnología. La conexión con REvil implica posibles interacciones con otras entidades de amenaza, aunque no se han confirmado casos específicos de colaboración.

Objetivos y Víctimas

Ransomcartel apunta a organizaciones de alto valor, especialmente empresas que poseen datos sensibles o sistemas críticos. Las víctimas incluyen probablemente empresas con infraestructuras de TI vulnerables, con el objetivo de extorsionarlas mediante pagos en criptomoneda. La doble extorsión implica no solo secuestrar datos, sino también exigir que se pague un rescate para evitar su divulgación.

Indicadores de Compromiso (IOCs)

Tipo	Valor	Contexto
DNS	cartelirsn5l54ehcbalyyqtfb3j7be2rpvf6ujayaf5qqmg3vlwiayd.onion	Servicios de red asociados a la operativa.
DNS	cartelraqonekult2cxbzzz2ukiff7v6cav3w373uuhenybgqulxm5id.onion	Servicios de red asociados a la operativa.
DNS	u67aylig7i6l657wxmp274eoilaow	Identificador de red o servicio anónimo.

Detección y Defensa

Para mitigar amenzas como Ransomcartel, es crucial monitorear tráfico en redes anónimas y detectar anomalías en accesos a sistemas críticos. Las organizaciones deben implementar herramientas de detección de endpoints, actualizar software y mantener respaldos regularmente. Además, la educación del personal sobre phishing y seguros de red puede prevenir inyecciones maliciosas. No se han reportado datos públicos adicionales para análisis en tiempo real.