El grupo de cibercrimen BlackFile mantiene el ciberataque a las agencias de rating y sigue buscando víctimas, según Google Threat Intelligence.
Google Threat Intelligence Group rastrea la actividad de este actor como UNC6671 y lo vincula, de forma más amplia, con The Com. BlackFile lleva activo desde comienzos del año y ha ido desplazando su foco de un sector a otro: primero firmas de capital riesgo, después despachos de abogados y ahora agencias de calificación crediticia.
Hemos visto ataques continuados contra el sector financiero y también contra otro tipo de organizaciones, incluidas empresas de tecnología médica’, explica Austin Larsen, analista principal de amenazas de Google Threat Intelligence, en declaraciones recogidas por CyberScoop. La lectura es clara: el grupo no se detiene.
La técnica de arranque no es nueva, pero sí efectiva. El grupo suplanta al soporte técnico mediante ataques de vishing y de ingeniería social para robar las primeras credenciales de acceso. Después extorsiona con los datos sustraídos y, desde hace poco, ha dividido sus operaciones en cuatro marcas: Redact, Pink, Helix y Falcon. Todas comparten infraestructura.
Según Google, varias organizaciones recibieron nuevas demandas de extorsión de Redact en la última semana. La estructura de marcas es una pantalla: los distintos nombres permiten negociar pagos y desviar la atribución, pero los datos de intrusión apuntan a que todo responde al mismo clúster de amenaza.
BlackFile no persigue pequeñas empresas: es caza mayor contra despachos, fondos y agencias que califican la deuda de medio mundo.
En el negocio del ransomware, eso se llama big-game hunting. El grupo busca explícitamente a los mayores objetivos de cada sector. Las demandas suelen arrancar en tres millones de dólares y, en la práctica, varios pagos de las últimas semanas se han negociado por debajo del millón.
Así opera BlackFile: vishing, extorsión y cuatro marcas bajo una misma infraestructura
El engranaje es más artesanal de lo que parece. Menos de doce operadores nucleares controlan las cuatro marcas bajo el paraguas de BlackFile, según la estimación de Larsen. Por debajo, cientos de llamadores se encargan de la primera línea: personas de bajo perfil reclutadas por una tarifa modesta o por la promesa de ganarse un hueco en el grupo.
Ese ejército de voces realiza las llamadas de vishing para obtener el acceso inicial. Una vez dentro, el grupo se mueve lateralmente, localiza datos sensibles y cierra la trampa con la extorsión. La media es de 1,5 nuevas víctimas al día, un ritmo sostenido que explica por qué Mandiant ha tenido que intervenir en más de dos docenas de organizaciones comprometidas desde enero.
Los incidentes no siempre acaban con un pago. Varias víctimas recientes han recibido mensajes amenazantes y han sufrido incidentes de swatting, la táctica de denunciar falsamente emergencias graves para enviar cuerpos policiales a su domicilio. Es una escalada adoptada por varios subgrupos de The Com, que convierte el chantaje económico, en intimidación física.
De Blackstone a Moody’s: la campaña contra los grandes del sector financiero
Investigadores de Flashpoint han observado infraestructura maliciosa dirigida contra Blackstone, Bain Capital, Moody’s, CME y Apollo. No hay confirmación de que alguna de esas firmas fuera comprometida, pero el simple señalamiento en la telemetría del ataque ya marca el nivel de ambición del grupo.
La presión sobre el sector financiero no es una casualidad. BlackFile busca información con valor de mercado: datos de transacciones, documentación legal y calificaciones crediticias que pueden mover cotizaciones o facilitar nuevas intrusiones. A principios de agosto, nuevas víctimas del sector financiero seguían llamando a Mandiant para pedir ayuda.
El informe de CyberScoop, recogido por esta redacción, cita a Larsen para resumir la esencia del problema: ‘Están atacando la debilidad humana’. No hay exploits de día cero ni un malware espectacular; hay una llamada, un empleado que confía y una cuenta corporativa que cae.
Dossier Merca2: el eslabón humano sigue siendo la puerta de entrada
Lo que enseña BlackFile es incómodo para el sector financiero español. Las agencias de rating, los fondos y los despachos que asesoran grandes operaciones siguen dependiendo de que un empleado cuelgue o no una llamada. La ingeniería social rentable es un riesgo de primer orden, no una amenaza residual.
El grupo no ha reventado firewalls con un ataque de día cero; ha montado una fábrica de llamadas. Ese es el vector de amenaza real: explotar la confianza humana a escala industrial. Las agencias implicadas son privadas, pero el daño tiene alcance sistémico: una calificación manipulada o unos datos de transacción filtrados pueden alterar el coste de financiación de una empresa cotizada.
Mi lectura es que el regreso de la extorsión con base telefónica no es un retroceso, sino una adaptación. Los cibercriminales van a por lo que funciona, y en los últimos meses lo que funciona es llamar por teléfono. Las marcas Redact, Pink, Helix y Falcon son solo la fachada de un mismo actor que ha entendido que el capital riesgo y las agencias de calificación viven de la información.
El precedente histórico del oficio es claro: antes del ransomware masivo, los grupos de extorsión telefónica ya operaban contra pymes con campañas de falsos secuestros. Ahora la técnica vuelve sofisticada y con objetivos del IBEX o del S&P. La pregunta no es si habrá la próxima víctima, sino si la próxima víctima tendrá los protocolos de verificación que BlackFile ya conoce.
La caza no ha terminado.
