Este fin de semana, el sistema HackManac alertó sobre un ataque masivo de ransomware contra la Agencia Tributaria de España (AEAT). Según la alerta, un grupo de ciberdelincuentes habría robado y cifrado 560 GB de datos sensibles, exigiendo un rescate de 38 millones de dólares con fecha límite del 31 de diciembre de 2024. El ransomware responsable de este ataque es Trinity, una amenaza emergente detectada por primera vez en mayo de 2024.

¿Qué es Trinity y cómo funciona?

Trinity es un tipo de malware diseñado para cifrar datos y dejarlos inaccesibles para sus propietarios a menos que paguen un rescate. Este ransomware añade la extensión «.trinitylock» a los archivos afectados, haciéndolos inutilizables sin una clave de descifrado. Sin embargo, lo que diferencia a Trinity de otros ransomware es su capacidad para robar datos antes de cifrarlos, lo que permite a los atacantes amenazar con publicar o vender la información robada si no se paga el rescate.

Métodos de ataque

Trinity utiliza varios vectores de ataque para infiltrarse en sistemas:

• Phishing: Correos fraudulentos que engañan a los usuarios para que descarguen el malware.
• Sitios web maliciosos: Páginas que instalan el ransomware al ser visitadas.
• Explotación de vulnerabilidades: Fallos en el software que permiten la entrada del ransomware.

Una vez dentro, Trinity analiza el sistema en busca de información clave, como características del hardware y unidades conectadas. Además, intenta ganar privilegios para ejecutarse como un proceso legítimo y expandirse por la red, infectando múltiples dispositivos.

Cifrado y robo de datos

El ransomware lleva a cabo dos acciones principales:

1. Exfiltra datos: Roba información y la transfiere a los servidores de los atacantes.
2. Cifra los datos: Utiliza algoritmos avanzados como ChaCha20, inutilizando los archivos en el sistema de la víctima sin la clave correspondiente.

Al finalizar el ataque, Trinity deja una nota de rescate en texto y formato HTML (.hta), además de modificar el fondo de escritorio de la víctima como recordatorio del ataque.

Similitudes con otros ransomware

Trinity comparte características con otros ransomware como Venus y 2023Lock, lo que sugiere que podría ser un derivado o «fork» de estos. Al igual que Venus, utiliza el algoritmo ChaCha20 para el cifrado, y sus notas de rescate son similares a las de 2023Lock. Estas similitudes refuerzan la teoría de que Trinity fue desarrollado a partir de código base existente, adaptándolo con nuevas funciones y métodos.

¿Qué opciones tienen las víctimas?

Por el momento, no existen herramientas para descifrar los archivos afectados por Trinity, lo que limita las opciones de las víctimas. Los atacantes exigen el pago en criptomonedas y proporcionan métodos de contacto a través de correos electrónicos o enlaces en la Deep Web accesibles con el navegador Tor.

Prevención y recomendaciones

Aunque no hay una solución directa para revertir los efectos de Trinity, se pueden tomar medidas para prevenir este tipo de ataques:

• Mantener los sistemas actualizados para evitar vulnerabilidades.
• Utilizar soluciones de seguridad robustas, como antivirus y firewalls.
• Capacitar a los empleados para identificar correos y sitios sospechosos.
• Realizar copias de seguridad periódicas para minimizar el impacto de un ataque.

Conclusión

El ransomware Trinity representa una amenaza significativa debido a su capacidad para combinar cifrado y robo de datos. Ataques como el reportado contra la Agencia Tributaria de España destacan la creciente sofisticación de los ciberdelincuentes y la necesidad de implementar medidas de ciberseguridad proactivas. Con una fecha límite de rescate establecida para finales de 2024, este incidente subraya la importancia de estar preparados para enfrentar ataques de este tipo.

Thomas Handley

Thomas Handley es editor y co-fundador de Oasis Nerd. Especializado en tecnología y SEO, su cobertura se enfoca en herramientas digitales, privacidad online y todo lo que rodea al mundo de las VPNs. Gamer apasionado, combina su mirada técnica con el entusiasmo de alguien que vive la cultura nerd desde adentro.