ThreeAM Ransomware

El ransomware ThreeAM se presenta como una nueva amenaza dentro del panorama de ciberseguridad, revelando un esquema de extorsión que combina la encriptación de archivos con la doble extorsión mediante la exposición de datos en un sitio web dedicado. Asociado al sindicato Conti reorganizado, específicamente con exmiembros del equipo 2 de Conti, ahora denominado Royal, ThreeAM muestra un perfil menos sofisticado pero con un potencial impacto elevado. Su enfoque estratégico se centra en pequeñas y medianas empresas, especialmente en sectores como la manufactura, construcción y minería. La adopción de ransomware basado en Rust y su conexión con infraestructuras compartidas de amenazas anteriores sugieren una evolución en las tácticas de grupos cibercriminales. Además, la identificación de ThreeAM como un fallback tras intentos fallidos con otros ransomwares destaca la necesidad de una preparación integral y medidas de seguridad robustas para hacer frente a esta amenaza en constante evolución.

Funcionamiento

En términos generales, el funcionamiento técnico de un ransomware como ThreeAM sigue un patrón común que involucra varias fases clave:

1. Infección Inicial: ThreeAM probablemente utiliza métodos de entrega comunes, como correos electrónicos de phishing, exploits de software o vulnerabilidades de red, para infiltrarse en los sistemas de las víctimas.
2. Despliegue del Ransomware: Una vez dentro del sistema, el ransomware se ejecuta para llevar a cabo su función principal, que es cifrar archivos específicos en la máquina comprometida.
3. Cifrado de Archivos: ThreeAM emplea algoritmos de cifrado para encriptar los archivos de la víctima. Estos archivos encriptados generalmente se vuelven inaccesibles para el usuario sin la clave de descifrado correspondiente.
4. Extorsión y Doble Extorsión: La característica de doble extorsión implica que, además del cifrado, el ransomware amenaza con exponer los datos robados en un sitio web si la víctima no paga el rescate. Esto aumenta la presión sobre la víctima para que cumpla con las demandas del atacante.
5. Eliminación de Copias de Seguridad: Para complicar la recuperación de archivos, ThreeAM puede intentar eliminar o corromper las copias de seguridad existentes en el sistema. Esto se hace para limitar las opciones de restauración de la víctima.
6. Desactivación de Defensas y Herramientas de Seguridad: El ransomware busca desactivar o evadir las herramientas de seguridad y servicios de respaldo en el sistema comprometido para operar de manera más efectiva y evitar la detección.
7. Generación de Ransom Note: ThreeAM crea y muestra una nota de rescate que informa a la víctima sobre la situación y proporciona instrucciones sobre cómo realizar el pago del rescate para obtener la clave de descifrado.

Impacto y Consecuencias

1. Pérdida de Datos: El impacto principal de ThreeAM Ransomware es la pérdida potencial de datos para las víctimas. La función principal del ransomware es cifrar archivos, lo que hace que estos archivos sean inaccesibles para la víctima hasta que se pague el rescate.
2. Interrupción de Operaciones: La encriptación de archivos puede interrumpir las operaciones normales de la organización, ya que los archivos esenciales para las actividades diarias, como documentos, bases de datos y otros recursos críticos, se vuelven inutilizables.
3. Riesgo de Exposición de Datos: La amenaza de doble extorsión implica que si las víctimas no pagan el rescate, los datos robados serán expuestos públicamente. Esto puede tener consecuencias significativas en términos de pérdida de confidencialidad y daño a la reputación de la organización.
4. Costos Financieros: Además del rescate solicitado, las organizaciones afectadas pueden enfrentar costos adicionales asociados con la restauración de datos, mejora de la seguridad, y posiblemente, acciones legales y multas relacionadas con la pérdida de datos.
5. Impacto en la Continuidad del Negocio: Dependiendo de la rapidez con la que se pueda recuperar la funcionalidad normal después de un ataque de ThreeAM, la continuidad del negocio puede verse comprometida. La interrupción de las operaciones normales puede afectar la productividad y la reputación de la organización.
6. Repercusiones en la Seguridad de la Información: Después de un ataque, las organizaciones deben revisar y mejorar sus medidas de seguridad. Un ataque exitoso indica posibles deficiencias en las defensas existentes que deben abordarse para evitar futuros incidentes.

Origen y Motivación

Según la información recopilada, la motivación y el origen de ThreeAM Ransomware están vinculados a una nueva táctica de extorsión identificada por los analistas de Intrinsec's Cyber Threat Intelligence (CTI). Esta nueva forma de extorsión, llevada a cabo por ThreeAM, involucra el uso de Twitter (anteriormente conocido como X) como plataforma para probar un esquema de extorsión, posiblemente mediante bots que podrían utilizarse para nombrar y avergonzar automáticamente a los seguidores de las cuentas oficiales de las víctimas. El ransomware ThreeAM se presenta como la última etapa de un esquema de doble extorsión, donde los datos exfiltrados de las víctimas que se niegan a pagar rescates se exponen en un sitio web de filtraciones dedicado en la web clara.

Además, se ha identificado una conexión entre ThreeAM y el ecosistema de ransomware de habla rusa, particularmente con el sindicato Conti reorganizado (anteriormente conocido como TEAM 2 de Conti, ahora denominado Royal). La relación con miembros de Zeon (anteriormente TEAM1) también es posible. Se ha observado un intento inicial de despliegue de cargas útiles de ransomware LockBit, con ThreeAM como una alternativa basada en Rust.

La motivación detrás de ThreeAM parece ser principalmente financiera, utilizando tácticas de extorsión y doble extorsión para presionar a las víctimas a pagar rescates. Además, la relación con el sindicato Conti y la posible asociación con miembros de Zeon sugieren una integración en un ecosistema de ransomware más amplio con posibles vínculos con inteligencia rusa y china. Este enfoque sofisticado y coordinado señala la evolución y la adaptación continua de los actores de amenazas en el panorama cibernético.

• Relación de acciones para mitigar el riesgo de esta actividad maliciosa.