Nueva acción internacional contra una gigantesca estructura de ransomware

Corte de suministro eléctrico en LockBit: cuatro nuevos detenidos y sanciones económicas contra integrantes

Un desarrollador, un administrador del servicio de alojamiento Bulletproof y otros dos secuaces detenidos en una serie de acciones coordinadas por Francia, Reino Unido y España

Oipol & Oijust Operación Global | Agencia Europea para la Cooperación Policial (Europol) comunicación y fotos, Octubre 01 de 2024 | Oipol & Oijust Cooperación traducción, edición, Octubre 01 de 2024 – Europol apoyó una nueva serie de acciones contra los actores de LockBit, que involucraron a 12 países, cómo así también a Eurojust y condujeron a cuatro arrestos e incautaciones de servidores críticos para la infraestructura de LockBit. Un supuesto desarrollador de LockBit fue arrestado a petición de las autoridades francesas, mientras que las autoridades británicas arrestaron a dos personas por apoyar la actividad de una filial de LockBit. Los oficiales españoles incautaron nueve servidores, parte de la infraestructura del ransomware y arrestaron a un administrador de un servicio de alojamiento Bulletproof, utilizado por el grupo de ransomware. Además, Australia, el Reino Unido y los Estados Unidos implementaron sanciones contra un actor que la Agencia Nacional contra el Crimen había identificado como un afiliado prolífico de LockBit y fuertemente vinculado a Evil Corp. Esto último se produce después de la afirmación de LockBit de que los dos grupos de ransomware no trabajan juntos. El Reino Unido sancionó a otros quince ciudadanos rusos por su participación en las actividades delictivas de Evil Corp, mientras que Estados Unidos también sancionó a seis ciudadanos y Australia sancionó a dos.

La infraestructura completa de LockBit en la mira de las fuerzas del orden

Estos son algunos de los resultados de la tercera fase de la Operación Cronos, un esfuerzo colectivo de larga data de las autoridades policiales de 12 países*, Europol, junto a Eurojust, que unieron sus fuerzas para interrumpir de manera efectiva y a todos los niveles las operaciones criminales del grupo de ransomware LockBit. Estas operaciones siguen a la interrupción masiva de la infraestructura de LockBit en febrero de 2024, así como a la gran serie de sanciones y acciones operativas que se llevaron a cabo contra los administradores de LockBit en mayo de 2024 y los meses posteriores.

Entre 2021 y 2023, LockBit fue la variante de ransomware más utilizada a nivel mundial, con un número notable de víctimas en su sitio de filtración de datos. Lockbit operaba con el modelo de rescate como servicio. El grupo principal vendía el acceso a afiliados y recibía parte de los pagos de rescate recaudados.

Las entidades que implementaron ataques de ransomware LockBit habían apuntado a organizaciones de varios tamaños que abarcaban sectores de infraestructura crítica como servicios financieros, alimentos y agricultura, educación, energía, servicios gubernamentales y de emergencia, atención médica, fabricación y transporte.

Como reflejo de la considerable cantidad de afiliados independientes involucrados, los ataques de ransomware LockBit muestran una variación significativa en las tácticas, técnicas y procedimientos observados.

No más rescates para descifrar  los archivos

Con el apoyo de Europol, la Policía japonesa, la Agencia Nacional Contra el Crimen de Reino Unido (NCA) y la Oficina Federal de Investigaciones de Estados Unidos (FBI) han concentrado su experiencia técnica en el desarrollo de herramientas de descifrado diseñadas para recuperar archivos cifrados por el ransomware LockBit.

El apoyo del sector de la ciberseguridad también ha resultado crucial para minimizar los daños causados por los ataques de ransomware, que siguen siendo la mayor amenaza de la ciberdelincuencia. Muchos socios ya han proporcionado herramientas de descifrado para varias familias de ransomware, a través del sitio web «No More Ransom».

Las soluciones señaladas se han puesto a disposición de forma gratuita en el portal ‘No More Ransom’ , disponible en 37 idiomas. Hasta el momento, más de 6 millones de víctimas de todo el mundo se han beneficiado de «No More Ransom», que contiene más de 120 soluciones capaces de descifrar más de 150 tipos diferentes de ransomware.

El apoyo de Europol

La Agencia Europea para la Cooperación Policial (Europol) facilitó el intercambio de información, apoyó la coordinación de las actividades operativas, como así también proporcionó apoyo analítico operativo, como además  impusó rastreo de criptomonedas y apoyo forense. El flujo de trabajo de análisis propuesto, después de la primera operación, permitió un trabajo conjunto centrado en la identificación de los actores de LockBit.

Las avanzadas capacidades de desmezcla, del Centro de Ciberdelincuencia de Europol, permitieron la identificación de varios objetivos. Tras las operaciones de inicio contra la infraestructura de LockBit a principios de 2024, Europol organizó siete sprints técnicos, tres de los cuales se dedicaron íntegramente al rastreo de criptomonedas.

Durante los días de acción, Europol envió un experto para brindar apoyo in situ a las autoridades nacionales.

La operación contó con el apoyo del Grupo de Trabajo Conjunto sobre Ciberdelincuencia (J-CAT) de Europol. Este equipo operativo permanente está formado por oficiales de enlace cibernético de distintos países que trabajan desde la misma oficina en investigaciones de ciberdelincuencia de alto perfil.

Autoridades participantes en la Operación Cronos

* Australia

Policía Federal Australiana.

* Canadá

Real Policía Montada de Canadá/ Gendarmería Real de Canadá.

* Francia

Gendarmería – (Gendarmerie Nationale – Unité nationale cyber C3N); Tribunal de París JUNALCO (Jurisdicción Nacional contra el Crimen Organizado) Unidad de Delitos Cibernéticos.

* Alemania

Oficina Estatal de Investigación Criminal (Landeskriminalamt Kiel) y Oficina Federal de Policía Criminal (Bundeskriminalamt).

* Japón

Agencia de Policía Nacional de Japón (警察庁).

* España

Guardia Civil Española.

* Suecia

Autoridad Policial Sueca.

* Suiza

Suiza Fedpol – Policía del estado de Zúrich.

* Países Bajos

Policía Nacional (Politie) Dienst Regionale Recherche Oost-Brabant.

* Rumanía

Unidad Central de Delitos Cibernéticos de la Policía Nacional.

* Reino Unido

Agencia Nacional Contra el Crimen (NCA), Unidad Regional Contra el Crimen Organizado del Suroeste (ROCU del Suroeste).

* Estados Unidos

Oficina Federal de Investigaciones (FBI) de Newark.

La Plataforma Multidisciplinar Europea contra las Amenazas Delictivas ( EMPACT ) aborda las amenazas más importantes que plantea la delincuencia organizada y grave internacional que afecta a la Unión Europea (UE). EMPACT refuerza la cooperación estratégica, operativa y de inteligencia entre las autoridades nacionales, las instituciones y organismos de la UE y los socios internacionales. EMPACT funciona en ciclos de cuatro años y se centra en las prioridades comunes de la UE, en materia de delincuencia.