Una nueva operación de ransomware como servicio ha aparecido en foros clandestinos y llega con el tipo de refinamiento que se ha convertido en estándar en la economía del cibercrimen. El actor de amenazas que opera bajo el alias EclipseSupport está promoviendo activamente Eclipse Ransomware, una plataforma creada para que los afiliados ejecuten campañas de extorsión contra infraestructuras Windows, Linux y ESXi sin necesidad de contar con conocimientos técnicos profundos.

Lo que hace que este desarrollo merezca atención no es solo el malware en sí. Es el modelo de negocio que lo rodea, uno que refleja los productos legítimos de software como servicio en casi todos los aspectos, salvo en la intención que hay detrás.

Dentro de la plataforma RaaS Eclipse Ransomware

Según los informes sobre la operación, Eclipse Ransomware funciona como un ecosistema de afiliados totalmente gestionado. En su centro se encuentra un panel web administrativo que ofrece a los operadores control centralizado sobre las campañas activas. El panel admite acceso de equipos multiusuario, lo que significa que los grupos de afiliados pueden colaborar en las operaciones en lugar de trabajar de forma aislada, e incluye validación automática de pagos para agilizar la recaudación de los rescates una vez que las víctimas deciden pagar.

El registro de actividad en tiempo real brinda a los afiliados y a los desarrolladores de la plataforma visibilidad sobre el progreso de las campañas, mientras que un portal LiveChat integrado gestiona directamente la parte más incómoda del proceso: negociar con las víctimas. Este tipo de herramientas de comunicación integradas se ha convertido en un sello distintivo de las operaciones modernas de ransomware, ya que permite a los grupos de extorsión presionar a las víctimas en tiempo real sin depender de aplicaciones de mensajería de terceros ni del correo electrónico.

Los desarrolladores detrás de Eclipse también recurren a la doble extorsión, una táctica que se ha convertido en la norma en el panorama del ransomware. En lugar de limitarse a cifrar archivos y exigir un pago por la clave de descifrado, los atacantes primero exfiltran datos corporativos y amenazan con publicarlos si no se paga el rescate. Esto da a las víctimas dos motivos distintos para ceder, incluso si cuentan con copias de seguridad sólidas que, de otro modo, les permitirían recuperarse sin pagar.

Al apuntar específicamente a entornos Windows, Linux y ESXi, Eclipse se está posicionando para atacar la infraestructura que sustenta la mayoría de las redes empresariales modernas. ESXi en particular es un objetivo popular para los grupos de ransomware porque un único host de hipervisor comprometido puede provocar el cifrado de docenas de máquinas virtuales a la vez, amplificando drásticamente el daño de una sola intrusión exitosa.

Por qué las plataformas RaaS siguen multiplicándose

El modelo RaaS reduce sustancialmente la barrera de entrada al cibercrimen. En lugar de tener que crear herramientas de cifrado, infraestructura de negociación y sistemas de pago desde cero, los afiliados pueden alquilar acceso a una plataforma ya establecida y centrarse únicamente en penetrar en las redes. Los desarrolladores, a su vez, se llevan una parte de las ganancias, lo que genera un flujo de ingresos recurrente que incentiva el desarrollo continuo de funciones, exactamente el tipo de dinámica que ha impulsado la profesionalización del ransomware en los últimos años.

Esto forma parte de un patrón más amplio en el que las herramientas utilizadas para comprometer redes también evolucionan rápidamente. Las vulnerabilidades sin parchear en software ampliamente utilizado siguen siendo uno de los puntos de entrada más comunes para los afiliados de ransomware. Entre los ejemplos recientes se incluye un investigador que lanzó otro zero-day de Windows sin que exista una corrección del fabricante, y un caso aparte en el que un zero-day de Windows llamado Legacyhive fue filtrado por un investigador de seguridad frustrado. Cada fallo sin parchear representa una puerta de entrada potencial para exactamente el tipo de grupos de afiliados que plataformas como Eclipse están diseñadas para respaldar.

El propio ritmo de parches de Microsoft subraya la magnitud del desafío al que se enfrentan los defensores. La compañía publicó recientemente la cifra récord de 570 correcciones de seguridad en una sola entrega de Patch Tuesday, incluidas correcciones para zero-days explotados activamente. Ese volumen de vulnerabilidades, que llega de forma casi constante, proporciona a los afiliados de ransomware un suministro constante de posibles vías de ataque, especialmente en organizaciones que tienen dificultades para mantener los calendarios de parches al día en grandes flotas de Windows y Linux.

Qué significa esto para ti

Si gestionas infraestructura de TI, ya sea en una pequeña empresa o en una organización más grande, la aparición de Eclipse Ransomware es un recordatorio de que las plataformas de ransomware como servicio están reduciendo el umbral de conocimientos necesario para los atacantes y, al mismo tiempo, aumentando la sofisticación operativa de los propios ataques. Los afiliados que usan Eclipse no necesitan ser desarrolladores de malware; solo necesitan una vía de entrada.

Para los particulares, la exposición directa a una plataforma RaaS corporativa como Eclipse es limitada, pero los efectos secundarios no lo son. Los ataques de ransomware contra hospitales, proveedores de servicios y empresas que conservan datos de clientes suelen provocar la publicación o venta de información personal cuando no se pagan las exigencias de doble extorsión. Eso significa que los datos que has compartido con cualquier organización que ejecute infraestructura Windows, Linux o ESXi podrían acabar viéndose implicados en un incidente futuro relacionado con esta plataforma u otra similar.

Medidas prácticas que vale la pena adoptar

Las organizaciones que ejecutan hosts ESXi o entornos mixtos de Windows y Linux deberían tratar la gestión de parches como una prioridad y no como una tarea rutinaria, ya que los sistemas sin parchear siguen siendo el punto de entrada más común para los afiliados de ransomware. Segmentar las redes para que un único host comprometido no pueda provocar la toma de control de todo el entorno es igualmente importante, sobre todo en la infraestructura de virtualización, donde la brecha en un hipervisor puede afectar a docenas de máquinas.

Mantener copias de seguridad sin conexión y probadas sigue siendo una de las pocas defensas fiables contra el componente de cifrado de estos ataques, aunque no protege contra la amenaza de filtración de datos en la que se basa la doble extorsión. Por eso, limitar los datos confidenciales almacenados en sistemas expuestos a internet y cifrar lo que deba almacenarse importa tanto como la estrategia de copias de seguridad.

Para los usuarios comunes, la mejor defensa es indirecta pero aun así significativa: usa contraseñas únicas en todos los servicios, activa la autenticación multifactor siempre que se ofrezca y presta atención a las notificaciones de brechas de las empresas con las que haces negocios. La plataforma RaaS Eclipse Ransomware es un nuevo participante en un campo abarrotado, pero los fundamentos para protegerse contra sus efectos posteriores no han cambiado.