Ragnarok Ransom Gang Cierra la Tienda, Libera el Descifrador Gratuito
La misma página web fue utilizada anteriormente por los ciberdelincuentes de Ragnarok para publicar información exfiltrada de víctimas que se negaron a seguir el juego y ceder ante las amenazas de doble extorsión.
El pequeño conjunto de archivos de descifrado viene con instrucciones muy simples en el sitio web de la pandilla Ragnarok. Se supone que las víctimas deben pegar la identificación de su dispositivo en un archivo de texto sin formato y luego ejecutar dos ejecutables consecutivos, uno llamado 'decode_deviceID.exe' y el otro, 'decrypt.exe'.
Según los informes, el kit de herramientas de descifrado proporcionado por Ragnarok ya ha sido probado por varios investigadores de seguridad diferentes y se confirma que funciona según lo previsto en archivos codificados por el ransomware Ragnarok / Ragnar Locker. Además de esto, el conjunto de herramientas de descifrado está siendo examinado en detalle y realizado por expertos en ingeniería inversa. El objetivo es producir una versión oficial y potencialmente más segura del descifrador que pueda distribuirse oficialmente a través del portal internacional Europol dedicado a combatir el ransomware y ayudar a las víctimas de ransomware en todo el mundo.
La banda de ransomware Ragnarok apareció en el radar de los investigadores de seguridad en la segunda mitad de 2019 y se volvió más activa en 2020. Como muchos otros actores de amenazas de ransomware en los últimos años , Ragnarok comenzó a filtrar archivos de redes comprometidas antes de cifrarlos. Esto se ha convertido en una táctica de doble extorsión ampliamente utilizada, que amenaza con filtrar información confidencial y archivos en línea si no se paga el rescate, como un ataque adicional además del cifrado.
El ransomware Ragnarok se utilizó en ataques que explotaban una vulnerabilidad de día cero en el firewall y tenían como objetivo las puertas de enlace Citrix ADC. La vulnerabilidad estaba en un producto de Sophos y, afortunadamente, los equipos de Sophos lograron evitar que la carga útil de cifrado real del ransomware arruinara los sistemas de sus clientes, incluso si los piratas informáticos inicialmente lograron ingresar usando el día cero.
Parece haber una tendencia constante entre los actores de amenazas de ransomware a retirarse silenciosamente del panorama digital y pasar silenciosamente a un segundo plano. Solo en el verano de 2021, otras dos bandas de ransomware conocidas por los alias de SynAck y Avaddon también empacaron sus maletas y lanzaron sus herramientas maestras de descifrado de forma gratuita.
Suponiendo otros dos grandes actores de amenazas de ransomware, DarkSide y REvil también realmente cerraron sus operaciones y no están cambiando de marca y reorganizándose silenciosamente con un nuevo nombre. Esta es una gran noticia para todos y podría indicar que las fuerzas pueden estar en juego, endureciendo el control legal alrededor del cuello de los equipos de ransomware lo suficiente como para asustarlos y hacer que cierren la tienda para siempre.