Ucraniano se declara culpable de ataques ransomware Nefilim contra grandes empresas internacionales
Introducción
El pasado viernes, un ciudadano ucraniano se declaró culpable de participar activamente en campañas de ransomware Nefilim dirigidas a empresas de alto volumen de ingresos en Estados Unidos y otros países. Este caso pone de relieve la persistente amenaza del ransomware dirigido (“big game hunting”) y la sofisticación de los operadores que, como en este caso, han conseguido vulnerar infraestructuras críticas y extraer importantes sumas económicas a través de la doble extorsión. Este artículo analiza en profundidad el contexto, los detalles técnicos y el impacto de estos ataques, así como las lecciones aprendidas y recomendaciones para los profesionales de la ciberseguridad.
Contexto del Incidente
El acusado, cuya identidad responde a la nacionalidad ucraniana y que operaba como parte de una célula internacional, ha admitido su implicación en la distribución y gestión del ransomware Nefilim entre 2020 y 2022. Nefilim, conocido por su enfoque en organizaciones con ingresos anuales superiores a los 100 millones de dólares, ha estado detrás de múltiples incidentes de alto perfil que han afectado a sectores como manufactura, logística, sanidad y servicios financieros, principalmente en EE. UU., Europa Occidental y Australia.
Las campañas atribuidas a esta amenaza han seguido la tendencia de la doble extorsión: además de cifrar los sistemas de las víctimas, los atacantes exfiltraban datos sensibles para presionar a las empresas a pagar rescates que, en ocasiones, superaban los 10 millones de dólares por incidente. Según datos de Coveware, el 70% de las víctimas de Nefilim se concentraban en Norteamérica y Europa, con un aumento del 35% en pagos de rescate durante el periodo de actividad atribuido al acusado.
Detalles Técnicos
Nefilim opera habitualmente mediante la explotación de vulnerabilidades en servicios expuestos a Internet, siendo los RDP sin protección (Remote Desktop Protocol) y vulnerabilidades en VPNs (por ejemplo, CVE-2019-11510 en Pulse Secure) los principales vectores de acceso inicial. Una vez obtenida la entrada, los atacantes desplegaban herramientas de movimiento lateral como Cobalt Strike y Mimikatz, además de scripts personalizados en PowerShell para la exfiltración y persistencia.
Entre los TTPs (Tactics, Techniques and Procedures) observados, destacan los siguientes mapeados a MITRE ATT&CK:
– Initial Access: Exploit Public-Facing Application (T1190), Valid Accounts (T1078).
– Lateral Movement: Remote Desktop Protocol (T1021.001), Pass-the-Hash (T1550.002).
– Credential Access: Credential Dumping (T1003).
– Exfiltration: Exfiltration Over C2 Channel (T1041).
– Impact: Data Encrypted for Impact (T1486), Data Destruction (T1485).
En cuanto a IoCs (Indicators of Compromise), se han identificado hashes de archivos Nefilim y direcciones de C2 asociadas a dominios en Europa del Este y servidores en bulletproof hosting. El ransomware cifraba archivos con la extensión .NEFILIM y dejaba notas de rescate en cada directorio afectado.
Impacto y Riesgos
Las consecuencias de las intrusiones de Nefilim han sido graves: interrupción total de operaciones, exposición de datos confidenciales (PII, IP, contratos), daños a la reputación y sanciones regulatorias según GDPR y, en el caso de infraestructuras críticas, NIS2. En al menos un 20% de los casos, los datos filtrados acabaron publicados en foros de la dark web, exponiendo a las empresas a riesgos de ingeniería social, fraude y litigios.
Según estimaciones del FBI y Europol, el grupo ha obtenido más de 100 millones de dólares en pagos de rescate desde 2020. La colaboración internacional ha sido clave para identificar y extraditar al acusado, cuya actividad se relaciona con otros grupos afines (por ejemplo, DoppelPaymer).
Medidas de Mitigación y Recomendaciones
Para los equipos de seguridad, es fundamental adoptar un enfoque multicapa y proactivo. Entre las medidas técnicas recomendadas:
– Deshabilitar RDP y otros servicios expuestos si no son estrictamente necesarios o restringir su acceso mediante VPNs y MFA.
– Parchear sistemas críticos, especialmente VPNs y servicios expuestos (priorizar CVEs explotados por Nefilim).
– Monitorizar logs de autenticación y uso de herramientas como Cobalt Strike, Mimikatz y transferencias anómalas de datos.
– Implementar EDRs y soluciones antimalware actualizadas capaces de detectar técnicas de living off the land.
– Preparar y probar playbooks de respuesta ante ransomware y doble extorsión.
Opinión de Expertos
Expertos de SANS y ENISA señalan que la profesionalización de grupos como Nefilim exige a las empresas fortalecer su postura de ciberresiliencia. “La cadena de ataque de Nefilim demuestra un conocimiento avanzado de entornos Windows y AD, haciendo imprescindible la segmentación de redes y la formación continua del personal”, afirma un analista de SANS. Desde ENISA, se recomienda revisar los acuerdos de ciberseguro y la coordinación con CERTs nacionales ante incidentes de este tipo.
Implicaciones para Empresas y Usuarios
El caso subraya la importancia de la colaboración internacional en la lucha contra el ransomware y la necesidad de que las empresas adapten sus prácticas de seguridad a un entorno regulatorio cada vez más estricto (GDPR, NIS2). Las organizaciones deben considerar la doble extorsión en sus análisis de riesgo y reforzar sus capacidades de detección y respuesta. Para los usuarios, la concienciación sigue siendo una línea de defensa fundamental frente a ataques dirigidos vía phishing y credenciales comprometidas.
Conclusiones
La condena de este actor ucraniano es una victoria parcial en la lucha contra el ransomware, pero no supone el fin de la amenaza. Los profesionales de la ciberseguridad deben permanecer alerta ante la evolución de estos grupos y priorizar la mitigación de vectores de acceso conocidos, la protección de datos críticos y la respuesta coordinada ante incidentes. La cooperación internacional y el cumplimiento normativo serán claves para reducir el impacto de futuras campañas.
(Fuente: www.bleepingcomputer.com)