La llegada del ransomware Ymir pone las cosas aún más difíciles en el mundo de la ciberseguridad. Este grupo usa tácticas avanzadas que le dan la vuelta a muchas defensas tradicionales. Su truco inicial es entrar a través de malware ladrón (Infostealer) y luego moverse de forma silenciosa en la memoria del sistema, lo que lo convierte en un dolor de cabeza para los equipos de seguridad.
El nombre "Ymir" puede sonar épico, como ese gigante helado de la mitología nórdica, pero lo único que este ransomware congela es tu sistema, ¡y créeme, no es un tipo de congelación que quieras experimentar! En este artículo, vamos a explorar cómo funciona Ymir, cuáles son sus señales de alerta (o IoC, para los que aman los términos técnicos) y te daremos tips para mitigar sus impactos, tanto en tus sistemas como en tu negocio.
Ymir es una nueva y peligrosa variante de ransomware que lleva la sofisticación de los ataques cibernéticos a otro nivel. Descubierto por los expertos de Kaspersky mientras investigaban un incidente, este malware se destaca por su habilidad para ejecutarse directamente en la memoria del sistema, evitando dejar rastros en el disco duro. Esto lo hace mucho más difícil de detectar y manejar. Ymir hizo su primera aparición en julio de 2024 y, desde entonces, ha estado atacando empresas de todo el mundo a un ritmo alarmante, lo que deja claro que no es un problema menor.
Lo más interesante (y preocupante) de Ymir es cómo comienza sus ataques. Este ransomware aprovecha sistemas ya infectados por RustyStealer, un malware diseñado para robar información, y usa esa puerta de entrada como trampolín para desplegar su ataque. Esta "alianza" entre diferentes tipos de malware muestra cómo los ciberdelincuentes están colaborando cada vez más para maximizar su impacto.
Ymir no solo es peligroso, también tiene sus peculiaridades. Por ejemplo, utiliza comentarios en lingala (un idioma africano) en su código, algo que ha desconcertado a los expertos. Además, en lugar de las típicas notas de rescate en texto, deja archivos PDF, lo que complica aún más su análisis.
Aunque tiene la capacidad de conectarse a servidores externos, lo que sugiere que podría estar planeando robar datos en el futuro, hasta ahora no se ha visto que lo haga por sí mismo. Esto podría significar que sus creadores aún están perfeccionando su funcionalidad o que dependen de otras herramientas para la exfiltración de datos.
Conoce más sobre: Nuevo Ransomware Ymir se Combina con RustyStealer en Ataques
Ymir no aparece de la nada, tiene un compañero de crimen: el malware ladrón RustyStealer. Este software malicioso se encarga de robar credenciales e información sensible, abriendo la puerta para que Ymir entre sin ser invitado. Con estas credenciales robadas, los atacantes pueden saltarse muchas medidas de seguridad y colarse directamente en los sistemas comprometidos. Es como si un ladrón tuviera una copia de tus llaves: difícil de detener.
Cuando Ymir logra entrar, no se queda quieto. Se ejecuta directamente en la memoria del sistema, lo que lo hace mucho más difícil de detectar. Para lograrlo, utiliza funciones del sistema como malloc, memmove y memcmp (que son básicamente herramientas que manipulan la memoria). Este truco le permite operar en las sombras, sin dejar rastro en el disco duro, lo que significa que muchas soluciones antivirus ni siquiera saben que está ahí. Es un maestro del sigilo.
Aunque Ymir opera principalmente en la memoria, no se confía del todo. Para asegurarse de que sigue activo, incluso después de que reinicies el sistema, puede configurar tareas programadas o registrarse como un servicio del sistema. Así, se asegura de estar siempre presente en el equipo infectado.
Y no solo eso: Ymir también tiene la capacidad de moverse dentro de la red. Usando las credenciales robadas por RustyStealer, puede saltar a otros dispositivos conectados, imitando actividades legítimas del usuario para no levantar sospechas.
Una vez que Ymir está bien instalado, pasa a lo que mejor sabe hacer: cifrar tus archivos. Utiliza un algoritmo llamado ChaCha20, que es rápido y eficiente para bloquear todo lo que considera importante (generalmente documentos críticos para empresas). Luego, añade una extensión única a los archivos cifrados y los vuelve completamente inaccesibles. Este enfoque no es casual: busca generar el mayor caos posible y presionar a la víctima para que pague el rescate.
Cuando Ymir termina su trabajo, no deja el "escenario del crimen" lleno de pistas. Elimina rastros de su entrada inicial, borra registros del sistema y hasta sobrescribe ciertos archivos para dificultar cualquier análisis forense. En pocas palabras, hace todo lo posible para que sea casi imposible rastrear cómo comenzó el ataque o deshacerlo.
Cifrado ChaCha20 (Fuente: Kaspersky)
Podría interesarte: Detección de Ataques de Ransomware con Wazuh
El ransomware Ymir ya ha demostrado que su alcance es global. Según los expertos, sus ataques han afectado a varias regiones clave, dejando una huella preocupante. Por ejemplo, en Colombia se detectó su implementación activa, mientras que en Pakistán apareció una muestra de prueba que podría ser un indicio de sus primeras etapas de desarrollo. Por otro lado, países como Australia y Ucrania también han sido vinculados a través de servidores de comando y control (C2), lo que deja claro que Ymir no discrimina fronteras.
Un detalle curioso es el uso del idioma lingala en los comentarios del código de Ymir, lo que podría señalar una conexión con países de África Central como la República Democrática del Congo, Angola, la República Centroafricana o el Congo. Aunque esto aún no ha sido confirmado, no deja de ser una pista interesante sobre el posible origen o las influencias detrás de este ransomware.
A pesar de su expansión y de lo sofisticado de sus ataques, los investigadores han notado algo peculiar: el grupo detrás de Ymir todavía no ha lanzado un sitio web para filtrar datos robados, algo que suele ser común en campañas de ransomware. Esto podría indicar que están en una fase inicial o simplemente que tienen una estrategia diferente. En cualquier caso, Ymir ya está dando de qué hablar en varias partes del mundo.
Nota de rescate de Ymir (Fuente: Kaspersky)
El ransomware Ymir y su cómplice RustyStealer usan varias técnicas del marco MITRE ATT&CK para llevar a cabo sus ataques. Estas técnicas ayudan a entender cómo operan y a identificar puntos débiles en las defensas. Aquí tienes un desglose de lo que hacen:
Podría interesarte leer: Defensa Cibernética TTP: Técnicas y Procedimientos
Si quieres detectar actividad de Ymir, presta atención a estos hashes de archivos asociados con sus ataques:
Estos indicadores pueden ser usados por equipos de seguridad para rastrear y bloquear cualquier actividad sospechosa relacionada con este ransomware.
Defenderse de ransomware como Ymir no es cuestión de suerte: necesitas una estrategia de seguridad sólida, bien pensada y con varias capas de protección. Aquí te dejamos algunas medidas clave que puedes implementar para minimizar el riesgo y mantener tus sistemas a salvo:
TecnetOne ofrece un conjunto de herramientas avanzadas que pueden marcar la diferencia a la hora de detectar, prevenir y mitigar ataques de ransomware como el temido Ymir. Aquí te contamos cómo sus funciones clave pueden ayudarte: