Ciberseguridad

El ransomware sigue siendo una de las amenazas cibernéticas más peligrosas para empresas y usuarios por igual. A medida que las técnicas de ataque evolucionan, los ciberdelincuentes buscan nuevas formas de sortear las defensas tradicionales, y la última campaña de ransomware conocida como Prince Ransomware es un claro ejemplo de ello. Detectado por primera vez a mediados de septiembre de 2024, esta campaña afecta a organizaciones en el Reino Unido y Estados Unidos, y utiliza un método poco convencional para infectar sus objetivos: formularios web.

¿Qué es el Prince Ransomware?

Prince Ransomware es una campaña maliciosa que se propaga mediante una estrategia de phishing, haciéndose pasar por la empresa de correos británica Royal Mail. A diferencia de los ataques tradicionales de ransomware, que se basan en correos electrónicos falsos para engañar a las víctimas, esta campaña aprovecha los formularios de contacto en los sitios web de las organizaciones. Al hacerlo, los atacantes evitan las barreras de seguridad del correo electrónico, como los filtros anti-spam y antivirus, y logran que el malware llegue directamente a las personas objetivo.

Este ransomware cifra los archivos de las víctimas y añade la extensión “.womp” a los nombres de los archivos afectados. Lo más preocupante es que, según los investigadores de Proofpoint, este ataque no tiene un mecanismo de desencriptación, lo que significa que, incluso si las víctimas pagan el rescate solicitado, sus archivos seguirán inaccesibles.

El método de ataque: formularios web y phishing

El Prince Ransomware utiliza una técnica innovadora para distribuir su malware: en lugar de enviar correos electrónicos con enlaces o archivos adjuntos maliciosos, los ciberdelincuentes envían mensajes a través de los formularios de contacto disponibles en los sitios web de las organizaciones. Este enfoque es particularmente efectivo, ya que muchos empleados no desconfían de los mensajes que provienen de su propio sitio web.

Una vez que se recibe el mensaje, este parece ser una comunicación legítima de Royal Mail, enviada desde una cuenta de correo de Proton Mail. Los mensajes incluyen un archivo PDF que contiene un enlace a un archivo ZIP alojado en Dropbox. Al descargar y abrir este archivo ZIP, la víctima encuentra otro archivo ZIP protegido por contraseña junto con un archivo de texto que contiene la contraseña necesaria para abrirlo. Dentro del segundo archivo ZIP, se encuentra un archivo de acceso directo (LNK) que, al ejecutarse, despliega el ransomware en el dispositivo de la víctima.

¿Qué hace el ransomware una vez ejecutado?

Al ejecutarse el archivo malicioso, el ransomware comienza a cifrar los archivos del sistema infectado, añadiendo la extensión “.womp” a cada archivo afectado. Además de cifrar los datos, el ransomware muestra una nota de rescate que exige el pago de 0.007 bitcoins (aproximadamente 400 dólares) para liberar los archivos. La nota afirma que los archivos han sido exfiltrados, es decir, robados y enviados a los atacantes, y que se desbloquearán automáticamente una vez que se realice el pago.

Sin embargo, hay un giro en esta historia. Según los expertos de ciberseguridad, la campaña de Prince Ransomware no tiene la capacidad real de exfiltrar archivos ni de proporcionar una herramienta de desencriptación tras el pago. Esto significa que, incluso si las víctimas acceden a pagar el rescate, sus archivos seguirán siendo inaccesibles, lo que convierte este ataque en una operación puramente destructiva.

El impacto en Reino Unido y Estados Unidos

El ransomware Prince ha afectado a múltiples organizaciones en el Reino Unido y Estados Unidos, dos de los mercados más grandes y avanzados tecnológicamente del mundo. Las instituciones gubernamentales, las empresas privadas y los usuarios individuales han sido blanco de este ataque.

El hecho de que el ransomware se distribuya a través de formularios de contacto en sitios web también es preocupante. Muchas organizaciones confían en estos formularios para interactuar con clientes y socios, y pocos piensan en ellos como posibles vectores de ataque.