chilelocker
Perfil del Actor
ChileLocker, también conocido como ARCrypter, es un actor de amenaza asociado al grupo "threat-actor". Este ransomware se originó en agosto de 2022, cuando atacó a una agencia gubernamental chilena y rápidamente expandió su operación global. El malware utiliza extensiones de archivos ".crypt" para encriptar documentos y sistemas, y opera bajo un modelo RaaS (Ransomware-as-a-Service) en foros criminales.
Origen y Motivación
ChileLocker surgió como una amenaza emergente en 2022, con sus primeras actividades centradas en el sector público de Chile. Su expansión global sugiere un modelo de operación basado en la distribución de herramientas maliciosas a través de redes criminales. La motivación principal parece ser el robo de datos y la extorsión financiera, aprovechando la vulnerabilidad de organizaciones que no implementan medidas de ciberseguridad adecuadas.
Técnicas y Tacticas (TTPs)
ChileLocker utiliza técnicas de ataque basadas en la infección por ransomware. Algunas tácticas incluyen:
- Inyección de código malicioso: Para infectar sistemas a través de correos electrónicos o archivos adjuntos.
- Exploitation de vulnerabilidades: Aprovechando fallas en software o sistemas no actualizados.
- Operación RaaS: Ofreciendo herramientas maliciosas como servicio a otros cybercriminals, mediante foros clandestinos.
- Cifrado de archivos: Encriptando documentos y sistemas con la extensión ".crypt" para exigir rescate.
Campanas Conocidas
La primera campaña documentada involucró a una agencia gubernamental chilena en 2022. Posteriormente, ChileLocker se expandió a otros países, afectando organizaciones de diversos sectores. Las operaciones incluyen la infección masiva de dispositivos y la extorsión de pagos en criptomonedas.
Objetivos y Victimas
ChileLocker dirige sus ataques a entidades gubernamentales, empresas y organizaciones sin fines de lucro. Las víctimas suelen ser sistemas críticos que no poseen protocolos de defensa robustos. El objetivo principal es obtener información sensible o extorsionar con pagos en criptoactivos.
Indicadores de Compromiso (IOCs)
| Tipo | Valor | Contexto |
| Comando y control (C2) | z6vidveub2ypo3d3x7omsmcxqwxkkmvn5y3paoufyd2tt4bfbkg33kid.onion |
Servidor de comando y control operado por el actor en la red Tor. |
Detección y Defensa
Para mitigar el impacto de ChileLocker, las organizaciones deben:
- Monitorear extensiones de archivos: Buscar archivos con extensión ".crypt" que puedan ser encriptados.
- Analizar redes y dominios maliciosos: Usar herramientas de inteligencia de amenazas para rastrear servidores C2.
- Implementar respaldos regularmente: Asegurar la recuperação de datos sin dependencia de sistemas encriptados.
- Educación y concienciación: Enseñar a los usuarios a identificar correos maliciosos y archivos sospechosos.