Wizard Spider

En 2018, los grupos comenzaron a usar los ransomware Trickbot, Ryuk y Conti como sus herramientas principales. [3]

También han desarrollado el software de espionaje Sidoh que solo recopila información y no la pide rescate. [4] [6]

PRODAFT redactó un informe técnico sobre ellos que describía sus ataques y organización.[7]

Los ataques generalmente comienzan enviando grandes cantidades de spam a los objetivos para engañar a las víctimas para que descarguen malware.[7] Usan malware Qbot y SystemBC, además de escribir los suyos propios.[7] Un equipo separado identifica objetivos valiosos y usa Cobalt Strike para atacarlos.[7] Si obtienen el control del sistema, implementan ransomware.[7]

Han transferido simultáneamente Bitcoin de los ataques del ransomware Ryuk y Conti a sus propias billeteras, lo que implica que están llevando a cabo varios ataques con diferentes programas maliciosos. [4]

Son muy conscientes de su propia seguridad y no publican abiertamente en la darknet.[3] Solo trabajarán o venden acceso a delincuentes en los que confían.[3] Se sabe que menosprecian a sus víctimas a través de un sitio de fuga.[3] El sitio de fuga también se utiliza para publicar datos que han robado. [4] Las agencias de inteligencia dicen que el grupo no ataca objetivos en Rusia, ni las figuras clave viajan fuera del país por temor a ser arrestadas.[3][4] Su software está programado para desinstalarse solo si detecta que el sistema usa el idioma ruso o si el sistema tiene una dirección IP en la antigua Unión Soviética.[4]

Se sospecha que Rusia tolera a Wizard Spider e incluso los ayuda.[4]

El Wizard Spider es sospechoso de llevar ataques al ataque cibernético Health Service Executive en la República de Irlanda.[8][3] Es el mayor ataque conocido contra un sistema informático de un servicio de salud.[4]

Están relacionados y vinculados a UNC1878, TEMP.MixMaster, CordueneWarez y Grim Spider.[5] Según un informe de Jon DiMaggio titulado Ransom Mafia: Analysis of the world's first ransomware cartel, el grupo forma parte de una colección de delincuentes conocida como Ransom Cartel o Maze Cartel'.[4] Son los grupos más grandes activos en el cártel.[4][6]

Todos usan ransomware para extorsionar dinero.[4][6] (SunCrypt se retiró .[6]) Los autores del informe PRODAFT descubrieron que Wizard Spider a veces hacía copias de seguridad de los datos en un servidor y que el servidor contenía datos de sistemas que también habían sido atacados por REvil, aunque los autores no pudieron concluir cuál de los dos grupos había tomado los datos. .[9]