2024: el año de la caída de LockBit, el crash de CrowdStrike y las grandes filtraciones en Argentina
BlackCat (ALPHV), BreachForums, botnets, servicios de TV pirata, y más operativos contra actividades criminales. Repaso por las noticias, temas y conferencias de ciberseguridad del año.
Dark News es un resumen semanal de noticias de ciberseguridad. Los temas están producidos y seleccionados por Juan Brodersen según estos criterios de edición.
2024
recap
⚡ TL;DR
Se va el año, que estuvo signado por un denominador común en el mundo del ciberdelito: 2024 fue, quizás, uno de los períodos que más caídas de grupos cibercriminales registró, al menos desde que estos ciberataques empezaron a llenar titulares en medios masivos de comunicación de todo el mundo.
Las dos caídas más grandes fueron, sin dudas, las de LockBit y BlackCat (ALPHV), dos icónicos grupos que supieron dominar la escena del modelo RaaS (Ransomware as a Service) y con ellos la de quienes los distribuían.
Pero también cayeron grupos o asociaciones más nuevas como Scattered Spider (responsables de hackear los casinos de Las Vegas -a pura ingeniería social-), foros clandestinos como BreachForums, y se bajaron grandes botnets como las de Volt Typhoon y Fancy Bear.
En América Latina hubo grandes operativos, con resultados como la detención de la base operativa del troyano bancario Grandoreiro, y otros focalizados en la piratería (como sucedió con Magis TV, en el “Operativo 404”).
Sin embargo, el ransomware siguió operando: todas las semanas, acá mismo en Dark News, reportamos casos tanto locales como regionales e internacionales.
Algo interesante que quisiera destacar en este ecosistema es una suerte de migración en el modelo de negocio, de lo que sería el ransomware puro y duro a focalizar sólo en la parte de la extorsión con la publicación de los datos: el “data extortion”.
A poco tiempo del takedown de BlackCat hablé con Mauro Eldritch, una de las fuentes que mejor se mueve en el mundo del underground y lo conoce de primera mano. “El escenario de amenazas del ransomware está cambiando”, me había advertido:
Con el incidente que enfrentó Lockbit durante la Operación Cronos, y los problemas internos que surgieron en ALPHV / BlackCat tras el exit-scam con un rescate de 20 millones de dólares, muchos afiliados decidieron -algunos por su seguridad operativa, otros por su seguridad monetaria- cambiar de rumbos. Algunos comenzaron nuevos proyectos, que son los que vemos surgir hoy de la nada y sin historia previa reclamando víctimas importantes y exigiendo rescates significativos. Otros migraron a modelos como el Data Extortion donde no hay exactamente encriptación pero sí exfiltración de datos. Esto permite permanecer bajo el radar mucho más tiempo en la infraestructura, sifonear más datos y generar lotes más segmentados para públicos y compradores específicos, u ofrecer el acceso a competidos o demás interesados, maximizando el daño.
De alguna manera, estas derivas del mundo del ransomware se pudieron ver en distintos casos que ocurrieron durante la segunda mitad de 2024: el mes pasado, Check Point Research publicó un reporte titulado Ransomware’s Evolving Threat: The Rise of RansomHub, Decline of Lockbit, and the New Era of Data Extortion.
Allí se corrobora esta idea:
El ransomware sigue siendo la amenaza más frecuente y los grupos delictivos con motivaciones económicas despliegan tácticas cada vez más sofisticadas, como los modelos de ransomware como servicio (RaaS) y la doble extorsión.
Sin ir más lejos, luego del hackeo del software de transferencia de archivos Cleo, el grupo Cl0p empezó a extorsionar a 66 compañías que usan el servicio esta semana. Allí no hubo rastros de cifrado de datos. Fueron directamente a la extorsión con la publicación.
En el plano regional, América Latina siguió evidenciando casos de ransomware, pero en Argentina ocurrieron una serie de filtraciones de datos personales que comenzaron con fotos de licencias de conducir y terminaron con una base de datos inmensa del Registro Nacional de las Personas. Hubo pedidos de explicaciones y discusiones sobre la ley de protección de datos, que no llegaron a buen puerto.
CrowdStrike marcó, sin lugar a dudas, el outage del año: una empresa de ciberseguridad que impactó en sistemas Windows de todo el mundo, dejando inoperativos bancos, aeropuertos y otras industrias. Esta vez, Microsoft no tuvo la culpa aunque sí pagó el precio de ser (demasiado) grande.
Recapitulando, pasaron muchas más cosas: este posteo funciona como repaso, como archivo y también como un muestreo del trabajo que semana a semana se hace en esta publicación, en relación a las noticias y conceptos del mundo de la ciberseguridad.
Se puede cliquear en cada tema para ir al posteo original.
En cuanto a Dark News, fue un año intenso, con 58 publicaciones, coberturas de conferencias internacionales como Black Hat y DEF CON, otras nacionales como Nerdearla y Ekoparty, nuevos contactos, aprendizajes, fuentes y, sobre todo, conversaciones significativas.
Gracias por leer.
Hasta 2025.
⏰ Substack dice que leer este correo completo lleva 16 minutos
Dark News #120
🎄 El newsletter sale el próximo domingo con una entrevista y entra en un receso hasta el viernes 10 de enero. Una pista sobre el último contenido de 2024:
Enero
Cientos de clientes afectados por el ransomware contra Tigo Paraguay: qué se sabe del ataque contra la telco
La empresa de telecomunicaciones Tigo Business Paraguay dio a conocer “un incidente de seguridad" en su infraestructura que golpeó el suministro de "algunos servicios específicos a un grupo limitado de clientes" corporativos. Si bien no lo confirmó, fue un ataque de ransomware.
Vacían cuentas de Payoneer de argentinos porque la app usa SMS como segundo factor
Usuarios pierden miles de dólares, Argentina logra una nueva adecuación a la UE, Google actualiza términos del modo incógnito y Microsoft es la marca más imitada en ataques de phishing.
Febrero
Grandoreiro: desmantelan uno de los troyanos bancarios más grandes de América Latina
La Policía de Brasil desmanteló la base operativa del troyano bancario Grandoreiro, uno de los más detectados en América Latina. Fue en una operación conjunta con la colaboración de ESET, que encontró una falla de diseño en este conocido malware.
La Universidad de Buenos Aires todavía sufre el ransomware de 2023 y los docentes tienen problemas técnicos
La Universidad de Buenos Aires, que a mediados de diciembre de 2023 sufrió un ataque de ransomware, tardó unos meses en recuperarse. Si bien la casa de estudios había podido parchear el problema para garantizar el cobro de los salarios y el funcionamiento de los sistemas para poder inscribirse a materias y gestionar recursos, todavía quedan dificultades producto de la irrupción en los sistemas que causó el ataque.
Operación Cronos: la trama detrás del golpe a LockBit, uno de los grupos cibercriminales más grandes del mundo
El Departamento de Justicia de EE.UU, la agencia contra el cibercrimen de Reino Unido (NCA) y Europol, junto a otras entidades, lideraron la baja del sitio de LockBit en la dark web y desmantelaron la base operativa. Hubo detenciones y el mapa del ransom se empezó a reconfigurar.
Marzo
Volvió LockBit: a menos de una semana de la baja de su sitio, ya hay nuevas víctimas del grupo de ransomware
Luego de haber visto su infraestructura comprometida, LockBit volvió a realizar ataques a menos de una semana de que una task force conducida por la agencia contra el cibercrimen de Reino Unido (NCA) asegurara que había desmantelado al grupo.
Medifé sufre un ransomware y detectan una nueva campaña de phishing patrocinada por Google: FakeBat
La empresa de salud prepaga de Argentina Medifé sufrió un ataque de ransomware. En Argentina, se suma a la lista de Osde a mediados de 2022 y Avalian a fines del año pasado, entre otras.
Abril
Qué datos hay en las filtraciones masivas en Argentina: análisis de los archivos del Renaper y las licencias de conducir
Abril será recordado como el mes de las filtraciones en el Estado argentino: en tres semanas se leakearon fotos de documentos de ciudadanos, imágenes de licencias de conducir y datos de la base de datos del Registro Nacional de las Personas (Renaper).
Mayo
Worldcoin visitó Argentina: abrieron oficinas, auditaron el “orbe” que escanea el iris y se reunieron con el Gobierno
Dark News habló con Alex Blania, CEO de Tools for Humanity: lobby para pisar fuerte en América Latina tras las prohibiciones en Europa y pentest de una empresa argentina.
Junio
OCASA sufre un ransomware en Argentina y se conocen detalles del robo de datos a Santander
OCASA, empresa de transporte y logística, sufrió un ciberataque que dio de baja el sitio web de la compañía. Dark News confirmó que se trata de un ransomware, un programa malicioso (malware) que ingresa a los sistemas, encripta información y pide un rescate en criptomonedas a cambio.
Ransomware: Akira se atribuye el ataque a OCASA en Argentina, LockBit miente y pierde reputación
Akira fue uno de los grupos más activos en América Latina. En el caso de OCASA, se atribuyeron el ransomware, asegurando que tenían “información personal y financiera, información operacional, datos de clientes, detalles de pagos y más”. Al consultar a OCASA, el equipo de comunicación aseguró: “En función del análisis inicial, no hemos sufrido filtraciones de datos”. Al poco tiempo, se publicaron los datos.
Julio
RegreSSHion: cómo funciona el bug en OpenSSH; aparece una nueva campaña del troyano Mekotio en Argentina
Qualys dio a conocer una nueva vulnerabilidad en OpenSSH, registrada como CVE-2024-6387, que permite correr código en sistemas remotos con privilegios root. Se habla de al menos 14 millones de instancias de servers afectadas, en tanto el bug afecta a sistemas Linux basados en el compilador glibc. Impacta a todas las versiones desde 2020 para acá.
Ariel “Wata” Waissbein: quién es el director de la Agencia de Ciberseguridad que creó el Gobierno de Milei
El Gobierno argentino creó la Agencia Federal de Ciberseguridad (AFC), una entidad dedicada a la ciberdefensa de las instituciones y las infraestructuras críticas del Estado. Se trata de una demanda de hace muchos años del sector infosec local. Al frente, la gestión de Javier Milei designó a Ariel Waissbein, conocido como “Wata”. Perfil técnico del funcionario.
CrowdStrike: post-mortem del crash que derrumbó a una parte del mundo online
Cómo fue, qué pasó y qué alcance tuvo el incidente cibernético más grande del año (que no fue un ataque, sino un error humano en un update).
Agosto
Telegram: explican por qué los chats no están encriptados, la detención y espionaje a Pavel Durov y las polémicas sobre la app
La detención de Pavel Durov, CEO y fundador de Telegram, puso al mundo de la ciberseguridad a discutir la seguridad y los usos de una de las aplicaciones de chat más populares.
Septiembre
Milei limita el acceso a la información, segundo round de Brasil vs. Musk y Microsoft podría tener otro "Recall" entre manos
El Presidente argentino firmó un decreto que cambió la Ley de Acceso a la Información pública. Preocupación en agrupaciones que defienden la libertad de expresión y el periodismo.
Ordenan bloquear Magis TV, la aplicación de televisión pirata más popular de Latinoamérica: "Operación 404"
La Justicia argentina sentenció el bloqueo de Magis TV, un servicio pirata de televisión por internet (IPTV), y le pidió a Google que impida el funcionamiento de la aplicación en el sistema operativo Android. La aplicación, al día de hoy, sigue funcionando.
Octubre
RainbowEX: filtran datos personales de los usuarios y del panel que gestiona las inversiones en San Pedro
La ciudad argentina de San Pedro, ubicada al norte de la Provincia de Buenos Aires, se vio envuelta en una estafa tipo ponzi con una plataforma de compraventa de criptomonedas: Rainbowex. Pero además, desde el fin de semana, aparecieron datos internos de la compañía filtrados.
Worldcoin: Argentina es el país con más escaneos de iris en el mundo y la empresa trabaja en un ID global con gobiernos
Uno de cada tres iris que escaneó Worldcoin vino desde Argentina. Son más de 2 millones, de los seis que tiene el controversial proyecto que busca poder distinguir si un usuario es un humano o no tomando los datos biométricos del ojo.
Noviembre
Campaña en contra del reconocimiento facial en Buenos Aires: la respuesta del Gobierno de la Ciudad
Una campaña en contra del uso de sistemas de reconocimiento facial en la Ciudad de Buenos Aires cubrió la calle de afiches en contra de su uso. Se trata de "reconoceme.org", liderada por las organizaciones Democracia en Red y el Observatorio de Derecho Informático Argentino (O.D.I.A.), que apunta a concientizar a través del escaneo de un código QR.
Diciembre
Hackean tres centros de estudios médicos de Argentina: qué se sabe sobre el ransomware contra Grupo Rossi
El Grupo Rossi, que nuclea los centros médicos Rossi, Stamboulian y Laboratorio Hidalgo, sufrió un ciberataque de ransomware que paralizó los sistemas, bajó los sitios web e impidió a pacientes hacerse estudios y sacar turnos.
Ciberataque contra la Comisión Nacional de Energía Atómica en Argentina: qué se sabe del ransomware y qué dice el Gobierno
La Comisión Nacional de Energía Atómica (CNEA) sufrió un ciberataque a fines de noviembre y el Gobierno Nacional reconoció el “incidente” de manera oficial esta semana. El evento afectó a todas las sedes del organismo y, además de dejar a la entidad sin red administrativa, generó preocupación por los planos del reactor nuclear CAREM (Central Argentina de Elementos Modulares).
Hackeo contra el sitio oficial de Argentina: entrevista con el atacante
Hicieron un defacement contra el sitio web argentina.gob.ar. Aseguran que no es político usaron una clave filtrada porque el sistema no tenía segundo factor (MFA). Dicen tener datos personales.
Conferencias: Black Hat USA 2024, DEF CON 32, Ekoparty
Black Hat USA 2024: “La IA va a intensificar los riesgos sobre las elecciones pero no va a crear nuevos”
Jen Easterly, directora de la agencia de ciberdefensa de Estados Unidos, se refirió a Argentina en la charla de apertura de Black Hat USA 2024, una de las conferencias de hackers más importantes del mundo: “Hemos visto usos de inteligencia artificial (IA) generativa en Moldavia, Eslovaquia y Argentina y si bien esto tuvo un impacto en las elecciones, la IA va a intensificar los riesgos pero no va a crear nuevos”.
Black Hat USA 2024: cómo las aplicaciones más descargadas ocultan su falta de privacidad
“La privacidad de una aplicación significa que lo que se ve en la pantalla sea transparente con el usuario. Si enviás un mensaje a una persona, sólo esa persona tiene que ver el mensaje. Y creo que muchas aplicaciones no buscan tener esa consistencia entre cómo se ven y cómo funcionan”, dijo Moxie Marlinspike, fundador de la aplicación de mensajería Signal y uno de los creadores de los mensajes encriptados en aplicaciones de chat. Fue en el segundo día de la edición 2024 de la conferencia de ciberseguridad Black Hat USA.
DEF CON 32: advertencias sobre la IA, "enshittification" de internet y el videojuego tipo Pokémon del badge
“La inteligencia artificial alimenta la incertidumbre laboral en el sector tecnológico mientras envenena a la gente con sinsentidos y alucinaciones”. Con esas palabras abrió Jeff Moss la edición 32 de DEF CON.
DEF CON 32: exponen una vulnerabilidad grave en AMD y un exploit en routers DrayTek
Un argentino descubrió una falla en todos los procesadores de AMD fabricados desde al menos 2006 hasta la actualidad, que brinda más privilegios a un hacker para tener control de un equipo ajeno. Enrique Nissim, un ingeniero en sistemas de la UTN, presentó junto a su colega polaco Krzysztof Okupski los resultados del research en DEF CON 32.
Ekoparty 20, día 1: Chema Alonso advirtió sobre los riesgos de la inteligencia artificial en la apertura de la conferencia
Chema Alonso, reconocido hacker español, abrió la edición 20 aniversario de Ekoparty Security Conference, una de las conferencias de ciberseguridad y hackers más importantes de América Latina, con una advertencia sobre la inteligencia artificial: “Con la IA tenemos retos muy grandes como sociedad: la desinformación, las fake news, la viralización de cosas que no son verdad y la manipulación de las sociedades, todo esto nos está llevando a separarnos en vez de a unirnos”.
Ekoparty 20, día 2: exponen vulnerabilidades en los sistemas de reservas de pasajes aéreos
El segundo día de Ekoparty tuvo dos platos fuertes: por un lado, dos hackers mostraron lo simple que es acceder a reservas de pasajeros de más de 50 aerolíneas del mundo, lo que permite ver datos personales, además de conocer sus itinerarios y hasta modificar o cancelarlas. Y, por el otro, otra dupla cerró el día explicando cómo vulnerar procesadores AMD, uno de los principales fabricantes de microchips del mundo.
Ekoparty 20, día 3: SUBE vs. Flipper Zero, intentan hackear la tarjeta de transporte para viajar gratis
Dan Borgogno, un investigador de ciberseguridad, intentó vulnerar el sistema informático de la tarjeta SUBE este viernes durante su charla en Ekoparty, durante el tercer día de la conferencia de hackers. En su exposición, mostró cómo con un Flipper Zero, un pequeño aparato diseñado para testear la seguridad de redes y dispositivos, es posible viajar gratis, aunque el rédito que se puede sacar es muy bajo: es difícil de realizar y la tarjeta se bloquea cuando detecta el ataque.
Bonus (fuera de agenda)
Flipper Zero, sin hype: "El dispositivo habla de las tecnologías que usamos"
Dark News contactó a cinco hackers para hablar de la "navaja suiza" para robar contraseñas, abrir puertas y violar sistemas de seguridad. La conclusión: mucho marketing y culpas mal repartidas.
Backup: cuándo, dónde y por qué funciona la regla "3, 2, 1"
El 31 de marzo es el "día del backup" y, además de ser una cuestión comercial, es una buena excusa para recordar cuáles son los soportes y las tecnologías actuales para respaldar información.
Werner Vogels, CTO de Amazon: desinformación, IA y la adicción a los celulares, bajo la lupa
Werner Vogels es una eminencia de la tecnología. Durante los días que duró AWS re:Invent, la conferencia anual de la división de computación en la nube de Amazon, hubo gran expectativa por su charla. Fue el jueves pasado, frente a más de 10 mil personas, en el centro de exposiciones del hotel Venetian en Las Vegas. Y lo que todos esperaban de esa charla fue lo mismo de cada año: sus predicciones. Habló con Dark News.
🔓 Breaches y hacks
Hackean la el store de la Agencia Espacial Europea y roban medios de pago
El FBI conecta un robo de 308 millones de dólares en cripto a hackers norcoreanos
Hackean Japan Airlines
🔒 Ransomware
Akira anuncia al diario Río Negro como víctima
Acusan a un ciudadano ruso-isrealí como el desarrollador de LockBit mientras el grupo anuncia la versión 4.0
Arrestan a un miembro de Netwalker, el grupo que hackeó Migraciones de Argentina en 2020
💣 Exploits y malware
Nuevo infostealer detectado: NunuStealer
The Apache Foundation lanzó un update de seguridad para una inyección SQL en Apache Traffic Control CDN
Un bug en Windows 11 causa una falla de seguridad en los updates
🔍 Threat intel
Chainalysis dice que hackers norcoreanos robaron 1.3 mil millones en criptoactivos en 2024
BellaCPP, una variante del malware BellaCiao en C++
Conectan el robo de 308 millones de dólares en criptomonedas por actores norcoreanos
🛠️ Tools y updates
Microsoft arregla un bug en Office 365 que desactivaba cuentas
Apache parchea el bypass de RCE en Tomcat
Un update en Cybertruck brickea los automóviles
📋 Privacidad y regulaciones
La FTC les ordena a Marriot y Starwood que implementen una política de datos estricta
La Justicia falla a favor de WhatsApp en un litigio con NSO Group
Tor Project trabaja en una integración más amplia con otros servicios
Este newsletter fue escrito por un humano. Para cualquier comentario, corrección o sugerencia de cobertura de temas, podés responder este mail. Se acepta (y agradece) todo tipo de feedback.
