Así funciona Trinity, el ransomware con el que supuestamente han robado datos a Hacienda

Este domingo saltaba una alerta muy importante en el que se avisaba que la Agencia Tributaria había sido supuestamente atacada por un ransomware que habría conseguido sustraer 560 GB de datos. Todo ello acompañado de un 'rescate' de 38 millones de dólares que debe avalar el Estado si no quiere que los datos acaben filtrados. Todo esto con un ransomware llamado 'Trinity'. Te contamos de qué se manejo.

Para poder entender a Trinity nos tenemos que ir hasta mayo de 2024, cuando se detectó por primera vez. Un ransomware que tiene la capacidad de consentir a los sistemas y acelerar la información que se sustrae para que nadie pueda consentir con ella.

Trinity como una forma de acelerar datos de un objetivo

Ingresar a los servidores de Hacienda no es tarea sencillo, pero con un simple descuido de phishing a través de un funcionario que tenga entrada a los servidores o un sitio web pillo pueden ser suficientes para consentir. Una vez está el ransomware en el sistema ya solo manejo de vencer permisos para expandirse por toda la red y comenzar a secuestrar todos los datos. Poco que vimos ya en otras instituciones como hospitales españoles.

Hive Pro explica como al infiltrarse en su servidor objetivo ya solo tiene que comenzar a encontrar todos los archivos a los que logra expandirse y después los emblema para que nadie pueda consentir a ellos. Omitido que se cuente con la correspondiente esencia que es desconocida para las víctimas. De esta modo, deben avalar para tener entrada a esta esencia y desbloquear el entrada a los archivos. Aunque igualmente, ayer transfieren estos datos para tener una segunda vía para presionar a la vícitma en el caso de que no quiera avalar.

Los archivos quedan cifrados a través del criptográfico ChaCha20 que hemos conocido en otro tipo de malware. Lo que se consigue al final con este es que en la pantalla del escritorio aparezca un fondo totalmente diferente al cambiar el registro de Windows y igualmente aparezca un archivo de texto donde se informa del modo de avalar el rescate.

Estamos en presencia de un ataque verdaderamente agresivo, pues no hay forma conocida de descifrar los archivos. Lo único que queda es avalar a los delincuentes a través de criptomonedas y con la posibilidad de realizar una comunicación por Tor.

La Agencia Tributaria sigue sin rebuscar el ciberataque. Tras contactar con la AEAT desde Genbeta nos hemos enemigo una respuesta rotunda en el que afirman: "Se han revisado todos los sistemas y están funcionando todos los servicios sin ningún problema y no se ha detectado ningún indicio de posibles equipos cifrados o expectativas de datos. La Agencia Tributaria mantiene bajo observación todos sus sistemas para hacer seguimiento."

Imágenes | Desola Lanre-Ologun James Harrison

En Genbeta | Un hacker ha contado los errores que cometemos al designar una contraseña. No querrás repetirlos