blacknevas

Perfil del Actor

BlackNevas es un grupo de amenaza clasificado como threat-actor, identificado como una variante derivada de la familia de ransomware Trigona. Fue首次 observado en noviembre de 2024, con actividades centradas en el ciberataque a sectores críticos como telecomunicaciones, manufactura, salud y derecho. Su metodología incluye técnicas de doble extorsión con un esquema de cifrado dual (AES/RSA), lo que complica la detección y respuesta.

Origen y Motivación

BlackNevas se derivó de Trigona, una familia de ransomware activa en 2024. Su motivación parece estar relacionada con el robo de datos sensibles, combinado con la extorsión mediante el secuestro de información crítica. La elección de industrias específicas sugiere un enfoque geográfico y sectorial, con un interés por regiones como Asia-Pacífico, Reino Unido, Italia y Lituania.

Técnicas y Tacticas (TTPs)

Los TTPs de BlackNevas incluyen:

• Cifrado dual: Combina AES y RSA para proteger datos, dificultando la descifrado sin claves específicas.
• Extorsión doble: Exige pago de rescate y amenaza con publicar información robada si no se paga.
• Técnicas de ataque: Probablemente usan phishing, ransomware en redes internas o vulnerabilidades en sistemas críticos.

Campanas Conocidas

Hasta ahora, se han reportado 23 victimas afectadas por BlackNevas. Aunque no hay detalles específicos sobre cada campaña, su actividad sugiere un enfoque metodológico para atacar organizaciones con infraestructuras digitales vulnerables.

Objetivos y Victimas

BlackNevas prioriza industrias clave y regiones con alta densidad de objetivos. Sus víctimas incluyen:

• Sectores: Telecomunicaciones, manufactura, salud, derecho.
• Países: Asia-Pacífico, Reino Unido, Italia, Lituania.

Indicadores de Compromiso (IOCs)

Detección y Defensa

Para mitigar el riesgo de BlackNevas, se recomienda:

• Monitoreo de dominios Tor y IP maliciosas en redes internas.
• Actualización de sistemas contra ransomware y cifrado avanzado.
• Barreras de seguridad para prevenir la propagación de amenazas en entornos críticos.
• No hay IOC publicos disponibles para otros componentes del ataque, lo que requiere vigilancia continua.