Ransomware SuperBlack: otra amenaza que hay que evitar

Entendiendo el ransomware SuperBlack

SuperBlack es una variante de ransomware que se cree que deriva de la familia de ransomware LockBit 3.0 . Esta infección cifra archivos y exige un rescate para descifrarlos, dejando a las víctimas con pocas o ninguna opción de recuperación, a menos que tengan copias de seguridad. Tras la infección, SuperBlack renombra los archivos añadiendo una cadena aleatoria a sus nombres originales. Por ejemplo, un archivo llamado "document.pdf" puede convertirse en "document.pdf.fB1SZ2i3X".

Además de cifrar los datos, SuperBlack modifica el fondo de pantalla de la víctima y publica una nota de rescate cuyo título es una cadena generada aleatoriamente (p. ej., "[random_string].README.txt"). La nota de rescate indica a la víctima cómo contactar a los atacantes y le advierte contra el uso de herramientas de recuperación de terceros, ya que podrían dañar permanentemente los archivos cifrados.

Esto es lo que dice la nota de rescate:

>>>> Your data are stolen and encrypted!

>>>> Sensitive data on your system was DOWNLOADED and it will be PUBLISHED if you refuse to cooperate. Your competitors or law enforcement may get them on the web.

Data includes:
- Employees personal data, CVs, DL, SSN.
- Complete network map including credentials for local and remote services.
- Financial information including clients data, bills, budgets, annual reports, bank statements.
- Complete datagrams/schemas/drawings for manufacturing in solidworks format
- And more...

You can request the tree of files that we have.

>>>> You need contact us and decrypt one file for free, send a small file for test decryption with your personal DECRYPTION ID to tox chat:

>>>> Your personal DECRYPTION ID: 7FBC34A4128F7B75E19B7F2A4E1938A0

1)Download and install TOX chat: hxxps://tox.chat
2)Write to this tox id: DED25DCB2AAAF65A05BEA584A0D1BB1D55DD 2D8BB4185FA39B5175C60C8DDD0C0A7F8A8EC815 and wait for the answer, we will always answer you.

>>>> DO NOT MODIFY FILES YOURSELF.
>>>> DO NOT USE THIRD PARTY SOFTWARE TO RESTORE YOUR DATA.
>>>> YOU MAY DAMAGE YOUR FILES, IT WILL RESULT IN PERMANENT DATA LOSS.
>>>> YOUR DATA IS STRONGLY ENCRYPTED, YOU CAN NOT DECRYPT IT WITHOUT CIPHER KEY.

Las tácticas y los objetivos del ransomware SuperBlack

SuperBlack es utilizado principalmente por un grupo cibercriminal conocido como "Mora_001", un supuesto actor de amenazas de habla rusa. Esta campaña de ransomware tuvo su mayor actividad entre enero y marzo de 2025. El grupo se infiltra en los sistemas de las víctimas, cifra sus archivos y roba datos confidenciales. La información robada incluye detalles de red, registros financieros, datos de fabricación e información personal de empleados y clientes.

La nota de rescate indica que si la víctima se niega a pagar, los atacantes filtrarán los datos robados en línea. Para presionar aún más a sus víctimas, los atacantes ofrecen demostrar la exfiltración de datos proporcionando una muestra y demostrando el descifrado de un archivo cifrado. Esta táctica explota el miedo y la urgencia, aumentando la probabilidad de que las víctimas accedan a las exigencias del rescate.

La conexión de SuperBlack con el ransomware LockBit

La evidencia sugiere que SuperBlack comparte similitudes con el ransomware LockBit, especialmente en su estructura de código y técnicas de cifrado. Además, se ha observado que SuperBlack utiliza identificadores Tox (identificadores de mensajería anónimos) previamente asociados con operadores de LockBit. Sin embargo, SuperBlack no utiliza la infraestructura de LockBit, lo que indica que, si bien ambas variantes de ransomware podrían estar relacionadas, son entidades distintas con operaciones independientes.

A diferencia de los ataques altamente selectivos, las campañas SuperBlack son oportunistas, lo que significa que explotan sistemas vulnerables sin un objetivo específico. Se sabe que los atacantes aprovechan las vulnerabilidades de seguridad de los firewalls de Fortinet para obtener acceso inicial, tras lo cual escalan privilegios, establecen persistencia y se mueven lateralmente por la red. La etapa final del ataque culmina con la exfiltración de datos seguida del cifrado de archivos.

¿Qué pasa si usted está infectado?

En la mayoría de los ataques de ransomware, el descifrado sin la cooperación del atacante es prácticamente imposible. Los ciberdelincuentes utilizan técnicas de cifrado avanzadas, lo que dificulta el desarrollo de herramientas de descifrado por parte de los expertos en seguridad. SuperBlack no es la excepción. Las víctimas que no tienen copias de seguridad a menudo se enfrentan a la pérdida permanente de datos.

Incluso si las víctimas pagan el rescate, nadie puede estar seguro de recibir una clave de descifrado. Muchos grupos cibercriminales no proporcionan las herramientas necesarias, incluso después del pago, y solo pagan para financiar actividades delictivas. Los expertos en seguridad desaconsejan encarecidamente pagar el rescate y, en su lugar, recomiendan eliminar el malware e intentar recuperar los datos de las copias de seguridad.

Cómo se propaga el ransomware

Ransomware como SuperBlack se propaga mediante diversos vectores de ataque. Algunos de los métodos más comunes incluyen:

• Correos electrónicos de phishing: los atacantes utilizan correos electrónicos fraudulentos que contienen enlaces o archivos adjuntos maliciosos que ejecutan el ransomware.
• Explotación de vulnerabilidades de software: los piratas informáticos aprovechan software obsoleto o sin parches, como debilidades del firewall, para obtener acceso.
• Descargas automáticas: los usuarios descargan ransomware sin saberlo al visitar sitios web comprometidos o hacer clic en anuncios maliciosos.
• Descargadores de troyanos: algunos programas de malware instalan ransomware como carga secundaria sin el conocimiento del usuario.
• Software pirateado y cracks: las descargas de software ilegal a menudo contienen malware oculto, incluido ransomware.
• Medios extraíbles y propagación por red: el ransomware puede propagarse a través de unidades USB, discos duros externos e incluso a través de redes locales.

Cómo protegerse del ransomware SuperBlack

Prevenir infecciones de ransomware requiere una combinación de medidas de seguridad proactivas y la concienciación del usuario. A continuación, se presentan algunas prácticas recomendadas para protegerse contra SuperBlack y amenazas similares:

• Mantenga copias de seguridad en varias ubicaciones: realice copias de seguridad periódicas de datos importantes en unidades externas, almacenamiento en la nube y almacenamiento fuera de línea para garantizar la capacidad de recuperación.
• Utilice soluciones de seguridad sólidas: instale y mantenga herramientas antivirus y antimalware actualizadas para detectar y bloquear amenazas.
• Actualice el software periódicamente: corrija las vulnerabilidades de su sistema operativo, firewalls y otro software para reducir los riesgos de ataques.
• Tenga cuidado con los correos electrónicos y los enlaces: evite abrir archivos adjuntos o hacer clic en enlaces de remitentes desconocidos, ya que pueden contener ransomware.
• Descargue software de fuentes confiables: utilice solo sitios web oficiales y tiendas de aplicaciones confiables para obtener software y actualizaciones.
• Restringir privilegios administrativos: limite los permisos de los usuarios para evitar cambios no autorizados en los archivos del sistema.
• Utilice la autenticación multifactor (MFA): fortalezca la seguridad al requerir múltiples pasos de autenticación para cuentas confidenciales.

Qué hacer si está infectado

Si su sistema está comprometido por el ransomware SuperBlack, tome las siguientes medidas de inmediato:

1. Desconectarse de la red: aísle el sistema infectado para evitar que el ransomware se propague a otros dispositivos.
2. No pague el rescate: pagar no garantiza la recuperación de archivos y puede fomentar futuros ataques.
3. Eliminar el malware: utilice software de seguridad para buscar y eliminar el ransomware.
4. Intentar recuperar los datos: Restaurar archivos desde copias de seguridad si están disponibles. Consultar recursos de seguridad en línea para encontrar posibles herramientas de descifrado.
5. Informar sobre el ataque: notificar a las agencias policiales y de ciberseguridad para ayudar a rastrear a los actores de la amenaza.

Puntos clave

El ransomware SuperBlack es un malware sofisticado y peligroso que cifra archivos y amenaza con filtrar los datos robados si la víctima no cumple con las exigencias del rescate. Si bien comparte algunas similitudes con el ransomware LockBit, opera de forma independiente, utilizando su propia infraestructura y metodologías.

Las víctimas nunca deben pagar el rescate, ya que esto contribuye a la actividad delictiva y no garantiza la recuperación de datos. En su lugar, deben centrarse en eliminar el malware, reforzar las medidas de seguridad y realizar copias de seguridad periódicas. Al mantenerse informados y aplicar las mejores prácticas de ciberseguridad, los usuarios pueden reducir el riesgo de ataques de ransomware como SuperBlack.