El ransomware es, sin duda, una de las peores pesadillas en el mundo de la ciberseguridad, y BlackSuit no se queda atrás. Este tipo de ataque no solo bloquea tus datos, sino que también juega sucio: roba información sensible y amenaza con hacerla pública si no pagas. Suena aterrador, ¿verdad?
Lo cierto es que nadie está completamente a salvo, ya seas una empresa grande, una organización pequeña o un usuario individual. Y, más que preguntarte si podrías ser el próximo objetivo, lo importante es saber si estás preparado para enfrentarlo.
BlackSuit es una nueva familia de ransomware que comenzó a llamar la atención a mediados de 2023, poco después de que otra amenaza importante, conocida como Royal, atacara sistemas informáticos en Dallas, Texas. A partir de mayo de ese año, los investigadores comenzaron a detectar actividad sospechosa relacionada con BlackSuit, el cual tiene la capacidad de atacar tanto sistemas Windows como Linux. Además, algunas conexiones entre BlackSuit y Royal han generado especulación sobre la evolución de estas amenazas.
BlackSuit es una operación de ransomware que apareció en escena entre abril y mayo de 2023. Este grupo se dedica a la doble extorsión: no solo cifran los datos de sus víctimas, sino que también los roban y los amenazan con publicarlos si no se cumplen sus demandas. Para ello, utilizan sitios públicos donde filtran la información de quienes se niegan a pagar.
Aunque su foco principal han sido sectores como la salud y la educación, BlackSuit también ha atacado otras industrias críticas. Una particularidad de este grupo es que opera de forma privada, es decir, no cuentan con afiliados públicos. Además, se ha descubierto que el ransomware BlackSuit tiene muchas similitudes con el ransomware Royal, incluyendo mecanismos de cifrado y parámetros técnicos que funcionan de manera similar.
Sitio web de BlackSuit TOR
El ransomware BlackSuit no discrimina demasiado cuando se trata de elegir a sus víctimas. Desde grandes corporaciones hasta pequeñas y medianas empresas (PYMEs), cualquiera puede estar en su lista. Sin embargo, sectores como la salud, la educación, la tecnología de la información, el comercio minorista, el gobierno y la manufactura parecen ser sus principales objetivos.
Algo curioso es que, al igual que otras operaciones como Royal, BlackSuit parece evitar atacar a organizaciones de la CEI (Comunidad de Estados Independientes). Esto sugiere que podrían estar operando desde esa región o tener algún tipo de conexión que les impida atacar esos territorios.
Podría interesarte leer: Detección de Ataques de Ransomware con Wazuh
BlackSuit es un ransomware diseñado para atacar tanto sistemas operativos Windows como Linux, lo que lo hace especialmente peligroso por su versatilidad. Los atacantes suelen distribuirlo utilizando técnicas clásicas pero efectivas como correos electrónicos de phishing, enlaces maliciosos y marcos de explotación como Empire, Metasploit o Cobalt Strike. Incluso se ha detectado su distribución a través de archivos torrent infectados, lo que demuestra su capacidad para infiltrarse por múltiples vías.
Una vez que BlackSuit se infiltra en el sistema, utiliza una serie de parámetros de línea de comandos que le permiten personalizar y optimizar el ataque según el entorno de la víctima. Aquí algunos de los más importantes:
Para el cifrado de los datos, BlackSuit utiliza la implementación AES (Advanced Encryption Standard) de OpenSSL, un método sólido y rápido. Además, incluye la opción de cifrado parcial (-percent), que cifra solo una parte del archivo, lo que acelera el proceso y asegura que los datos sean inaccesibles, pero con mayor eficiencia.
En sistemas Linux, este ransomware también demuestra habilidades específicas para atacar servidores virtuales, particularmente aquellos que utilizan VMware ESXi. Utilizando el parámetro -killvm, puede detener máquinas virtuales en ejecución mediante comandos vinculados al proceso "esxcli". Este enfoque es especialmente devastador para las empresas que dependen de servidores virtualizados para sus operaciones diarias.
Los comandos observados que usa BlackSuit para atacar servidores VMware ESXi son bastante claros y precisos. Entre ellos se encuentran:
Estos comandos permiten al ransomware listar las máquinas virtuales en ejecución y luego cerrarlas utilizando el comando "kill" con el tipo de apagado "soft". Básicamente, detienen los servidores virtuales para que puedan ser manipulados o cifrados sin interrupciones.
Pero lo que realmente hace a BlackSuit tan peligroso es su velocidad. Una vez que se ejecuta, identifica rápidamente las unidades lógicas locales y empieza a procesar archivos y carpetas a toda máquina en todos los volúmenes accesibles. Esto significa que en cuestión de minutos, una gran cantidad de datos críticos pueden quedar cifrados y fuera de tu alcance.
En sistemas Windows, BlackSuit también se asegura de que no puedas recuperar tus archivos fácilmente. ¿Cómo lo hace? Inhabilita las copias de seguridad del sistema eliminando las instantáneas de volumen (VSS, por sus siglas en inglés). Esto lo logra ejecutando un comando oculto con VSSADMIN.EXE, utilizando las opciones /ALL y /Quiet para eliminar todas las copias de seguridad sin que te des cuenta.
Cuando BlackSuit ataca, deja su "nota de rescate" en todas las carpetas donde hay archivos cifrados. En sistemas Windows, este mensaje aparece con el nombre "README.BlackSuit.txt", y sirve como una especie de "manual" para seguir las instrucciones de los atacantes y pagar el rescate.
En las variantes de Linux, las notas de rescate son prácticamente iguales, pero hay un pequeño cambio en el nombre del archivo: lo encontrarás como "README.blacksuit.txt", con todas las letras en minúsculas después del punto.
En cualquier caso, estas notas son la manera en la que los ciberdelincuentes te informan de lo que han hecho, cuánto debes pagar y cómo hacerlo. Es su forma de asegurarse de que sepas que tienen el control, lo cual es, francamente, la parte más frustrante y desesperante de todo esto.
Conoce más sobre: Evita el Pago de Ransomware: Riesgos del Rescate
Nuestro SOC as a Service es una herramienta poderosa para identificar y detener cualquier actividad maliciosa relacionada con el ransomware. Gracias a su enfoque integral y sus características de detección y respuesta extendida (XDR), permite monitorear tu red en tiempo real y reaccionar de forma inmediata ante cualquier amenaza.
Si no cuentas con SOC, detectar el ransomware BlackSuit puede ser más complicado, pero no imposible. Requiere una combinación de medidas técnicas y operativas que te ayuden a identificar actividades sospechosas en tu red. Esto no solo te permitirá actuar rápido, sino también prevenir o mitigar el impacto de un posible ataque. Para detectar BlackSuit sin esta solución avanzada, necesitas adoptar un enfoque de seguridad en varias capas. Aquí te dejamos algunos pasos clave para hacerlo:
Las actualizaciones no son solo un recordatorio molesto en tu pantalla; son esenciales para mantener tus sistemas seguros.
Tener copias de seguridad confiables es tu mejor arma para recuperar tus datos sin depender de los atacantes.
No subestimes el poder de una buena contraseña. Unas credenciales débiles son como dejar la puerta abierta para los atacantes.
No importa cuán sofisticado sea tu sistema de seguridad, si tu equipo no está preparado, puedes estar en problemas.
La tecnología puede ser tu mejor aliado contra el ransomware.
El cifrado es una excelente defensa. Si los atacantes logran acceder a tus archivos, un buen cifrado hará que sean prácticamente inútiles para ellos.
Nadie quiere enfrentarse a un ataque, pero estar preparado es clave.
Podría interesarte leer: ¿Cómo Desarrollar un Plan de Respuesta a Incidentes?
BlackSuit es, sin duda, una de las amenazas más serias en el mundo de la ciberseguridad. Su capacidad para cifrar datos importantes y chantajear a sus víctimas lo convierte en una herramienta peligrosa para los ciberdelincuentes. Pero no todo está perdido: con las medidas preventivas correctas, puedes reducir enormemente el riesgo de convertirte en su próxima víctima.
La clave está en estar siempre un paso adelante. Mantén tus sistemas actualizados, haz copias de seguridad con frecuencia, capacita a tu equipo para detectar posibles ataques y ten un plan claro de respuesta para actuar si algo ocurre. Además, contar con un servicio como nuestro SOC as a Service puede marcar una gran diferencia, ya que monitorea tu red en tiempo real, detecta amenazas antes de que causen daño y te permite reaccionar rápidamente.