Maze

Maze (también conocido como Chacha) es una familia de ransomware y un grupo de ciberdelincuencia que operó activamente entre 2019 y 2020. Es considerado el pionero de la doble extorsión, una táctica que revolucionó el panorama del ransomware al añadir el robo de datos al cifrado de archivos.

El grupo Maze saltó a la fama en mayo de 2019 y se mantuvo activo hasta noviembre de 2020, cuando anunció su "retiro" oficial, aunque muchos de sus miembros se integraron posteriormente en otros grupos como Egregor, LockBit y Conti.

Características principales

Origen y atribución

Maze está atribuido a un grupo de ciberdelincuencia de habla rusa, con miembros operando en países de la Comunidad de Estados Independientes (CEI) .
El grupo utiliza el modelo de Ransomware-as-a-Service (RaaS) , con afiliados que realizan los ataques y comparten las ganancias con los desarrolladores del malware .
Motivación: Exclusivamente financiera. Maze se centró en "big-game hunting" (caza mayor), atacando grandes organizaciones con capacidad de pagar rescates millonarios .

Pionero de la doble extorsión

Maze fue el primer grupo de ransomware en implementar sistemáticamente la estrategia de doble extorsión:

1. **Exfiltración**: Antes de cifrar, robaban datos sensibles de la víctima. 2. **Cifrado**: Cifraban los archivos de la víctima, añadiendo la extensión `.maze` a los archivos afectados . 3. **Extorsión**: Amenazaban con publicar los datos robados en su sitio de leaks (blog de la vergüenza) si no se pagaba el rescate .

Esta táctica fue revolucionaria porque eliminaba la opción de la víctima de restaurar desde copias de seguridad sin pagar. Incluso si tenían respaldos, los datos robados seguían siendo una amenaza.

Sitio de leaks y presión pública

Maze operaba un sitio web en la dark web (accesible a través de Tor) donde:

Publicaban los datos de víctimas que se negaban a pagar.
Mostraban pruebas del robo de datos para presionar a las víctimas.
Anunciaban nuevas víctimas y daban seguimiento a los casos.
Contactaban a los medios de comunicación y a los socios comerciales de las víctimas para aumentar la presión.

Personalización de ataques

Los operadores de Maze personalizaban cada ataque según la víctima:

Realizaban un reconocimiento profundo de la red de la víctima.
Identificaban los sistemas más críticos y los datos más sensibles.
Adaptaban el cifrado y los métodos de extorsión a cada organización.

Técnicas y tácticas avanzadas

Vectores de ataque

Phishing y malspam: Campañas de correo electrónico con documentos de Office que contenían macros maliciosas .
Explotación de vulnerabilidades: Uso de vulnerabilidades conocidas (ej: CVE-2017-0144 - EternalBlue, CVE-2019-0708 - BlueKeep) .
RDP expuesto: Ataques de fuerza bruta contra servicios de Escritorio Remoto expuestos a Internet .
Compra de acceso a brokers (IABs): Adquisición de credenciales y accesos a redes corporativas a través de intermediarios especializados .

Herramientas de post-explotación

Una vez dentro de la red, los operadores de Maze utilizaban un arsenal de herramientas:

Cobalt Strike: Para establecer canales de comando y control (C2) y moverse lateralmente .
Mimikatz: Para robar credenciales y tickets Kerberos .
PowerShell y WMI: Para ejecutar comandos de forma remota y realizar reconocimiento .
PsExec: Para desplegar payloads en sistemas remotos .
Rclone: Para exfiltrar datos a servicios en la nube (ej: Mega.nz, Wasabi, MEGA) .
WinRAR / 7-Zip: Para comprimir los datos robados antes de la exfiltración .

Cifrado y extorsión

Algoritmos de cifrado: Utilizaba una combinación de ChaCha20 (cifrado simétrico) y RSA-2048 (cifrado asimétrico para la clave) .
Cifrado de archivos: Cifraba archivos y añadía la extensión `.maze` a los archivos afectados .
Nota de rescate: Dejaba un archivo llamado `DECRYPT-FILES.txt` con instrucciones para el pago .
Eliminación de respaldos: Utilizaba `vssadmin Delete Shadows /all /quiet` para eliminar las copias de seguridad de volumen (Volume Shadow Copies) .

Colaboración con otros grupos

Maze era conocido por colaborar con otros grupos de ransomware:

**LockBit**: Maze compartió su sitio de leaks con LockBit en un momento dado .
**REvil**: Se reportaron colaboraciones puntuales entre Maze y REvil .
**Egregor**: Tras el retiro de Maze, muchos de sus afiliados se unieron a Egregor .

Campañas destacadas

1. Ataque a Cognizant (2020)

Impacto: Cognizant, una importante empresa de servicios de TI, sufrió un ataque de Maze que afectó a sus sistemas internos .
Consecuencias: Interrupción de servicios, pérdida de ingresos y daño reputacional.
Datos robados: Información confidencial de clientes y datos internos.

2. Ataque a ST Engineering (2019)

Impacto: ST Engineering, una empresa de defensa de Singapur, fue atacada por Maze .
Consecuencias: Robo de datos de propiedad intelectual y documentos confidenciales.

3. Ataque a Dufry (2019)

Impacto: Dufry, un operador de tiendas libres de impuestos, sufrió un ataque de ransomware .
Consecuencias: Interrupción de operaciones en tiendas de todo el mundo.

4. Ataque a Tyler Technologies (2020)

Impacto: Tyler Technologies, un proveedor de software para gobiernos locales, fue atacado por Maze .
Consecuencias: Robo de datos de agencias gubernamentales y municipios.

5. Ataque a Chubb (2020)

Impacto: Chubb, una aseguradora global, fue víctima de Maze .
Datos robados: Información de clientes y datos corporativos.

Impacto y legado

Revolución del ransomware

Maze popularizó la doble extorsión, una táctica que ahora es estándar en la mayoría de los grupos de ransomware .
Demostró que el robo de datos es tan efectivo como el cifrado para forzar el pago de rescates .
Su modelo de negocio inspiró a otros grupos (REvil, Conti, LockBit, etc.) a adoptar tácticas similares.

Presión sobre las víctimas

Maze demostró que publicar datos robados en sitios de leaks era una herramienta de presión extremadamente efectiva .
Muchas víctimas pagaron el rescate para evitar la filtración de datos sensibles .

Publicidad negativa

Maze contactaba a los medios de comunicación y a los socios comerciales de las víctimas para aumentar la presión .
Esta táctica amplificaba el daño reputacional y forzaba a las empresas a responder públicamente .

Retiro y legado

En noviembre de 2020, Maze anunció oficialmente su retiro .
En una publicación en su sitio de leaks, declararon: "El proyecto Maze está cerrado. Todo el que diga lo contrario está mintiendo" .
Muchos de sus miembros se unieron a otros grupos como Egregor, LockBit y Conti .

Prevención y mitigación

Defensas técnicas

MFA (Autenticación Multifactor): Obligatorio para todos los accesos, especialmente RDP y servicios de administración .
Segmentación de red: Limitar el movimiento lateral mediante microsegmentación .
Copias de seguridad offline: Mantener respaldos fuera de la red principal y probar su restauración regularmente. Aplicar la regla 3-2-1 .
Gestión de parches: Priorizar parches para vulnerabilidades críticas (EternalBlue, BlueKeep) .
EDR y monitoreo continuo: Implementar soluciones de detección y respuesta de endpoints (EDR) con análisis de comportamiento .
Principio de Mínimo Privilegio: Reducir al mínimo los permisos de usuarios y cuentas de servicio .

Concienciación del factor humano

Formación en phishing: Capacitar a los empleados para reconocer correos electrónicos sospechosos .
Simulacros de phishing: Realizar ejercicios periódicos para mantener la concienciación .
Cultura de reporte: Establecer canales claros para que los empleados reporten correos sospechosos .

Respuesta a incidentes

Aislamiento inmediato: Desconectar los sistemas afectados de la red .
Preservación de evidencia: Guardar logs y discos para análisis forense .
No pagar el rescate: El pago no garantiza la recuperación de los datos y financia futuros ataques .
Restauración desde backups: La recuperación desde copias de seguridad limpias es la vía más confiable .
Notificar a las autoridades: Contactar a agencias de aplicación de la ley (FBI, Europol) .

Relación con otros conceptos

Ransomware: Maze es uno de los ejemplos más representativos del ransomware moderno.
Cifrado: Utiliza cifrado de alto nivel (ChaCha20 + RSA-2048).
Ingeniería Social: Los ataques comienzan con phishing y manipulación de empleados.
Gestión de Vulnerabilidades: La explotación de vulnerabilidades demuestra la importancia de los parches.
Defensa en profundidad: Múltiples capas de defensa son necesarias para detener a Maze.
Zero Trust: La capacidad de moverse lateralmente subraya la necesidad de verificación continua.
Factor Humano: La formación es clave para prevenir el acceso inicial mediante phishing.
Conti: Grupo sucesor que adoptó las tácticas de Maze.
Egregor: Grupo que surgió de los restos de Maze.

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.

Véase también

Esta página forma parte de la Categoría:Familias de malware.