LockBit<\/strong>, uno de los grupos de ciberdelincuentes m\u00e1s grandes del mundo, fue desarticulado a comienzos de esta semana luego de la operaci\u00f3n conjunta de once pa\u00edses contra el cibercrimen m\u00e1s grande de la historia.<\/p>\n<\/div>\n El Departamento de Justicia de EE.UU, la agencia contra el cibercrimen de Reino Unido y Europol, junto a otras entidades, lideraron la baja el sitio en la dark web el lunes y, desde entonces, empezaron a desplegar una serie de medidas que podr\u00edan cambiar el mapa global del negocio del ransomware.<\/p>\n<\/div>\n El ransomware, un programa malicioso que encripta archivos para pedir un rescate a cambio y extorsionar a sus v\u00edctimas, tuvo a LockBit como principal protagonista durante estos \u00faltimos cinco a\u00f1os. El cartel se gan\u00f3 el lugar de la organizaci\u00f3n m\u00e1s prol\u00edfica<\/strong> en cuanto a la profesionalizaci\u00f3n del cibercrimen cimentada en un s\u00f3lido c\u00f3digo fuente para su programa malicioso y un elevado nivel de organizaci\u00f3n para estudiar, infectar y atacar a sus v\u00edctimas.<\/p>\n<\/div>\n Seg\u00fan la informaci\u00f3n oficial de las fuerzas del orden, infectaron a m\u00e1s de 2 mil v\u00edctimas y recolectaron no menos de 120 millones de d\u00f3lares<\/strong>. El grupo, conocido en todo el mundo, tambi\u00e9n puso un pie en Argentina durante estos a\u00f1os, cuando atac\u00f3 a empresas de la envergadura de Osde e Ingenio Ledesma.<\/p>\n<\/div>\n Pero esta semana, una \u201ctask force\u201d liderada por la National Crime Agency (NCA) de Gran Breta\u00f1a, dio a conocer la llamada Operaci\u00f3n Cronos, que termin\u00f3 con un tremendo golpe a LockBit: incautaron la infraestructura de los servidores, congelaron wallets de criptomonedas <\/strong>donde cobran sus pagos, lanzaron herramientas para desencriptar a v\u00edctimas, impusieron sanciones internacionales y arrestaron a dos miembros.<\/p>\n<\/div>\n Aunque muchos hablan del \u201cfinal\u201d de LockBit, debido al gran poder de fuego de la operaci\u00f3n de las fuerzas de seguridad, especialistas advierten que la disrupci\u00f3n de la operaci\u00f3n actual podr\u00eda no indicar necesariamente la desaparici\u00f3n de la banda.<\/strong><\/p>\n<\/div>\n Ac\u00e1, un repaso por la historia del grupo, la situaci\u00f3n actual y qu\u00e9 podr\u00eda pasar tanto con sus miembros como con el c\u00f3digo fuente de su ransomware, que muchas veces se reutiliza bajo un relanzamiento.<\/p>\n<\/div>\n \u201cLockBit es uno de los grupos de ransomware m\u00e1s prominentes en la escena del cibercrimen. Como otros grupos, se dedica a infectar sistemas inform\u00e1ticos y cifrar archivos importantes, luego exigen un rescate a cambio de proporcionar la clave de descifrado necesaria para restaurar el acceso a los archivos. Lo que distingue a LockBit es su enfoque sofisticado <\/strong>y su capacidad para llevar a cabo ataques dirigidos a organizaciones de gran tama\u00f1o\u201d, explic\u00f3 a Clar\u00edn <\/strong>Mario Micucci, Investigador de Seguridad Inform\u00e1tica de ESET Latinoam\u00e9rica.<\/p>\n<\/div>\n La din\u00e1mica bajo la que opera este grupo es lo que se conoce como Ransomware as a Service (RaaS)<\/strong>, e implica un modelo de negocio con afiliados. Los l\u00edderes de LockBit desarrollan el c\u00f3digo malicioso y lo ponen a disposici\u00f3n para que diversos socios (partners<\/strong>), a cambio de un porcentaje de la eventual ganancia, se queden con una tajada del bot\u00edn (siempre y cuando la v\u00edctima pague). En general, LockBit ofrec\u00eda comisiones de alrededor de un 20%.<\/p>\n<\/div>\n Esta din\u00e1mica se da generalmente a trav\u00e9s de la dark web, donde el partner o afiliado accede a un \u201cpanel\u201d para interactuar con el grupo, ofrecer accesos a sistemas de terceros y otras operaciones. Una vez desplegado el ransomware, arranca la extorsi\u00f3n y la negociaci\u00f3n, v\u00eda un soporte t\u00e9cnico<\/strong> (as\u00ed se llama) oficial del grupo.<\/p>\n<\/div>\n \u201cEste grupo ha demostrado estar muy organizado y ser t\u00e9cnicamente competente, lo que le ha permitido llevar a cabo ataques altamente efectivos contra empresas y organizaciones en todo el mundo. Adem\u00e1s, LockBit a menudo utiliza t\u00e1cticas de doble extorsi\u00f3n<\/strong>, lo que significa que no solo cifran los archivos de la v\u00edctima, sino que tambi\u00e9n amenazan con filtrar datos confidenciales si el rescate no se paga\u201d, agreg\u00f3 el analista de ESET.<\/p>\n<\/div>\n Las primeras operaciones de LockBit se registraron en 2019. Desde aquel entonces, el grupo atraves\u00f3 distintos momentos de crecimiento, con algunas turbulencias como la filtraci\u00f3n de su c\u00f3digo fuente en 2022, cuando los desarrolladores del c\u00f3digo fuente se reagruparon y lanzaron LockBit 3, un sitio que incluso permit\u00eda navegar archivos robados sin descargarlos, dentro del browser. En total, hasta el final de sus operaciones, LockBit lleg\u00f3 a reunir 193 afiliados a su servicio de ransomware.<\/p>\n<\/div>\n \u201cConcretamente LockBit representa una seria amenaza<\/strong> para la seguridad cibern\u00e9tica global debido a su capacidad para llevar a cabo ataques sofisticados y su disposici\u00f3n a utilizar t\u00e1cticas agresivas para extorsionar a las v\u00edctimas\u201d, cierra Micucci.<\/p>\n<\/div>\n Entre sus v\u00edctimas m\u00e1s famosas est\u00e1n entidades bancarias como el ICBC de China hasta TSMC, uno de los fabricantes de electr\u00f3nica m\u00e1s grandes del mundo y tambi\u00e9n infraestructura cr\u00edtica de sistemas industriales (OT) como el puerto de Lisboa.<\/p>\n<\/div>\n El grupo siempre tuvo reglas: tras la negociaci\u00f3n, no s\u00f3lo se devuelve la informaci\u00f3n, sino que se destruye la copia de la entidad afectada. Sin embargo, las fuerzas de seguridad que llevaron adelante la operaci\u00f3n descubrieron informaci\u00f3n de v\u00edctimas que hab\u00edan pagado, lo que verific\u00f3 que, al menos en ciertos casos, el grupo no cumpl\u00eda con su palabra.<\/p>\n<\/div>\n Otra regla no permit\u00eda a afiliados encriptar informaci\u00f3n cr\u00edtica de hospitales y hab\u00edan llegado a expulsar a un afiliado que arremeti\u00f3 contra una entidad de salud en Alemania. Pero hace unas semanas, LockBit se atribuy\u00f3 el ataque a un hospital de Chicago, cruzando los l\u00edmites establecidos en su propio sitio en la dark web.<\/p>\n<\/div>\n El grupo tuvo un historial de ataques en Argentina. En febrero de 2022, LockBit sum\u00f3 a su lista de v\u00edctimas a Grupo Albanesi, principal comercializador de gas natural de Argentina y proveedor de suministro el\u00e9ctrico, un enclave estrat\u00e9gico para la zona industrial entre el sur de Rosario y San Nicol\u00e1s.<\/p>\n<\/div>\n Menos de un mes m\u00e1s tarde, atacaron a Ingenio Ledesma, uno de los polos azucareros m\u00e1s grandes de Am\u00e9rica Latina, perteneciente a la hist\u00f3rica y multimillonaria familia Blaquier.<\/p>\n<\/div>\n En agosto de 2022, LockBit realiz\u00f3 el golpe m\u00e1s grande a nivel p\u00fablico en Argentina: la prepaga de salud OSDE, al publicar 140 GB de informaci\u00f3n interna con archivos con referencias a historias cl\u00ednicas, datos personales de afiliados y documentos con nombres de personajes p\u00fablicos. Ped\u00edan 300 mil d\u00f3lares<\/strong> para no exponer la seguridad de la compa\u00f1\u00eda, OSDE no pag\u00f3, y la informaci\u00f3n sensible de sus clientes qued\u00f3 a disposici\u00f3n de cualquiera que supiera llegar al sitio de LockBit en la dark web.<\/p>\n<\/div>\n En marzo de 2023, la aseguradora La Segunda vio comprometida su infraestructura, quedando expuestos expedientes judiciales, pericias y datos m\u00e9dicos sensibles de afiliados, entre otros.<\/p>\n<\/div>\n En chats privados y un posteo en un foro de hacking, \u201cLockbitSupp\u201d<\/strong>, administrador principal del sitio, explic\u00f3 que las fuerzas de la ley aprovecharon una vulnerabilidad cr\u00edtica para hackear sus servidores. Este \u201cexploit\u201d permiti\u00f3 tomar control remoto del sitio, algo que LockBit conoce muy bien debido a que es un ataque que explota mucho con sus v\u00edctimas.<\/p>\n<\/div>\n Sin embargo, a pesar de esta explicaci\u00f3n t\u00e9cnicas, diversos analistas se mostraron esc\u00e9pticos respecto de que esta sea la causa principal: al ser una operaci\u00f3n que llevaba meses, es muy probable que LockBit haya ca\u00eddo presa de un infiltrado<\/strong> que, desde dentro de los sistemas, recopil\u00f3 informaci\u00f3n para usarla a favor de la ley.<\/p>\n<\/div>\n El resultado de la Operaci\u00f3n Cronos<\/strong> fue contundente, tecnicismos aparte. Como resultado, dej\u00f3 un saldo jugoso para la ley:<\/p>\n<\/div>\n El fiscal general de los Estados Unidos, Merrick Garland<\/strong>, emiti\u00f3 un comunicado en el que destac\u00f3 la operaci\u00f3n conjunta y repasa algunos de los ataques que m\u00e1s resonaron en Estados Unidos, incluyendo una cl\u00ednica en Florida:<\/p>\n<\/div>\nEl modelo de negocio de LockBit<\/h2>\n<\/p>\n
![\"El](\"https:\/\/www.clarin.com\/img\/2023\/04\/05\/KBmmrSz2u_720x0__1.jpg\"\/)
El mensaje de encriptado de LockBit. Foto Lockbit Blog<\/span><\/span><\/picture><\/div>\nV\u00edctimas de LockBit en Argentina<\/h2>\n<\/p>\n
![\"Ingenio](\"https:\/\/www.clarin.com\/img\/2017\/05\/11\/HJaHLBfxb_720x0.jpg\"\/)
Ingenio Ledesma fue v\u00edctima de LockBit. Foto Archivo<\/span><\/span><\/picture><\/div>\nC\u00f3mo cay\u00f3 el grupo: una vulnerabilidad bien aprovechada<\/h2>\n<\/p>\n
![\"LockBit:](\"https:\/\/www.clarin.com\/img\/2024\/02\/22\/ZqLJOaVTp_720x0__1.jpg\"\/)
LockBit: dan de baja el sitio. Foto LockBit (Dark Web)<\/span><\/span><\/picture><\/div>\n\n
\n
\n
\n
\n