369 víctimas de ransomware en una semana, 5 en España: Qilin encabeza la lista

Por Inteligencia QuantumSec · Píldoras de inteligencia · 2 min de lectura

Generada con 0data a partir de lo que ingiere cada día.

Del 27 de octubre al 2 de noviembre, los grupos de ransomware publicaron 369 víctimas en sus sitios de filtración. Es un 64,4 % por encima de una semana normal (la mediana de las ocho anteriores es 224,5). Hubo 41 grupos distintos con al menos una publicación.

369 víctimas publicadas en sitios de filtración esta semana (+64,4 % frente a una semana normal)

1 sep: 66 · 8 sep: 160 · 15 sep: 268 · 22 sep: 155 · 29 sep: 956 · 6 oct: 236 · 13 oct: 253 · 20 oct: 213 · 27 oct: 369

41
grupos activos
5
en España (semana anterior: 3)
21
en Latinoamérica
1.071
víctimas en cuatro semanas (−30,4 % frente a las cuatro anteriores)

Quién

  1. Qilin — 51
  2. N0n — 20
  3. Whitearmor — 17
  4. Booba Project — 17
  5. Emperador — 14
  6. The Gentlemen — 13
  7. SilentRansomGroup — 12
  8. Rhysida — 11

Víctimas publicadas por grupo; la flecha compara con la semana anterior

Nombres nuevos. Sin ninguna publicación en las ocho semanas anteriores: Everstake, Shiba, Crypto24. Un nombre nuevo suele ser un grupo que se rebautiza o un afiliado que se independiza; pocas veces es gente nueva.

A qué sectores

  • Servicios profesionales: 19.7 %
  • Industria: 18.7 %
  • Tecnología: 16.2 %
  • Sanidad: 14.6 %
  • Comercio: 9.6 %
  • Otros: 21.2 %

139 víctimas sin sector conocido no entran en el gráfico

Dónde

  1. Estados Unidos — 93
  2. Alemania — 17
  3. México — 12
  4. Italia — 8
  5. Reino Unido — 8
  6. Malasia — 7
  7. Argentina — 6
  8. Canadá — 6

España, aparte

5 víctimas españolas publicadas esta semana. Es un 25 % por encima de una semana normal (la mediana de las ocho anteriores es 4). En las últimas cuatro semanas, 20 (+33,3 % frente a las cuatro anteriores). Por sector: tecnología (1), energía y suministros (1), educación (1). No publicamos nombres: lo útil aquí es el patrón, no señalar a quien ya está pasando un mal trago.

Cómo trabajan, en ATT&CK

TécnicaATT&CKDónde mirar
Servicios remotos expuestosT1133VPN, escritorio remoto y pasarelas con fallos sin parchear
Cuentas válidasT1078Credenciales robadas por infostealers o compradas a un intermediario
Exfiltración a un servicio webT1567Se llevan los datos ANTES de cifrar: es lo que publican
Impedir la recuperaciónT1490Borran copias de sombra y copias de seguridad accesibles
Cifrado de datosT1486El último paso, cuando ya no queda nada que hacer

Compruébalo en vuestra casa

La entrada más repetida es un acceso remoto expuesto. Esta consulta (Microsoft Defender XDR; adaptadla a vuestro SIEM) lista los inicios de sesión de escritorio remoto que llegan desde internet:

DeviceLogonEvents
| where LogonType == "RemoteInteractive" and RemoteIPType == "Public"
| summarize accesos = count(), cuentas = make_set(AccountName, 10) by DeviceName, RemoteIP
| order by accesos desc

Si sale algo, ese equipo tiene el escritorio remoto abierto a internet. Debería ir detrás de una VPN con doble factor, sin excepciones.

Qué hacer hoy

  1. Copias que el atacante no pueda tocar
    Una copia fuera de línea o inmutable, y una restauración PROBADA este trimestre. Es lo que decide si un ataque es una semana mala o el cierre.
  2. Cerrad la entrada habitual
    Doble factor en el acceso remoto y en el correo, y los equipos de perímetro al día: la mayoría entra por una VPN sin parchear o una credencial robada. Los lunes publicamos qué parchear.
  3. Tened escrito qué hacer las primeras 24 horas
    Quién decide, a quién se llama y qué se desconecta. Tenemos una guía: me han hackeado, ¿qué hago?.

Esta tarde, a las 17:30: IA: lo que sube y lo que se rompe, los fallos del ecosistema de IA y lo que más sube en GitHub.

Cómo lo medimos. Ventana: del 27 de octubre al 2 de noviembre (semana cerrada, hora UTC). Cada víctima cuenta una sola vez, en la semana en que aparece por primera vez. Una víctima publicada no es un ataque de esa semana: los grupos publican días o semanas después, y no todas acaban publicadas (las que pagan no suelen salir). No damos nombres de víctimas. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.

Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras

Servicio relacionado

ejercicio de red team

Temas de este artículo

#El-parte-del-ransomware #Ransomware #Sitios-de-filtración #Amenazas #Qilin

Seguir leyendo

Poned a prueba vuestra defensa