Royal
Un ransomware que apareció en 2022 con gente de Conti, que cifra por partes para ir más rápido y que después cambió su nombre a BlackSuit.
Quién es
Royal es un ransomware que apareció a principios de 2022. Los investigadores encontraron parecidos en su cifrado y en sus técnicas con Conti, y una posible conexión entre sus operadores. En febrero de 2023 apareció una versión para servidores ESXi. CISA documentó después su cambio de nombre a BlackSuit.
Cómo entra
Según CISA y el FBI, sobre todo por phishing, y también por escritorio remoto expuesto, aplicaciones expuestas a internet y accesos comprados a brokers.
Qué hace una vez dentro
Cifra solo partes de cada archivo y usa varios hilos para ir más rápido y evadir la detección. Antes de cifrar roba información para la doble extorsión y borra las copias de respaldo.
A quién ataca
Muchos sectores en todo el mundo, incluida la infraestructura crítica. En nuestra base tiene 2 víctimas publicadas en México.
En México
2 víctimas publicadas en su sitio de filtraciones entre el 25-dic-2022 y el 2-feb-2023.
Cifra en agregado: no publicamos nombres de víctimas. Que una organización aparezca en un sitio de filtraciones es lo que dice el grupo, no una confirmación.
Técnicas de MITRE ATT&CK
Acceso inicial 1
- T1566Phishing
Descubrimiento 7
Movimiento lateral 1
- T1021.002SMB/Windows Admin Shares
Comando y control 1
- T1095Non-Application Layer Protocol
Fuente: MITRE ATT&CK v20, software S1073.
Villanos relacionados
Fuentes
- MITRE ATT&CK v20, software S1073
- CISA y FBI, aviso #StopRansomware: Royal Ransomware (AA23-061A)
- Base de Inteligencia de Amenazas QMA: víctimas publicadas en México
