blacknevas
Perfil del Actor
BlackNevas es un grupo de amenaza clasificado como threat-actor, identificado como una variante derivada de la familia de ransomware Trigona. Fue首次 observado en noviembre de 2024, con actividades centradas en el ciberataque a sectores críticos como telecomunicaciones, manufactura, salud y derecho. Su metodología incluye técnicas de doble extorsión con un esquema de cifrado dual (AES/RSA), lo que complica la detección y respuesta.
Origen y Motivación
BlackNevas se derivó de Trigona, una familia de ransomware activa en 2024. Su motivación parece estar relacionada con el robo de datos sensibles, combinado con la extorsión mediante el secuestro de información crítica. La elección de industrias específicas sugiere un enfoque geográfico y sectorial, con un interés por regiones como Asia-Pacífico, Reino Unido, Italia y Lituania.
Técnicas y Tacticas (TTPs)
Los TTPs de BlackNevas incluyen:
- Cifrado dual: Combina AES y RSA para proteger datos, dificultando la descifrado sin claves específicas.
- Extorsión doble: Exige pago de rescate y amenaza con publicar información robada si no se paga.
- Técnicas de ataque: Probablemente usan phishing, ransomware en redes internas o vulnerabilidades en sistemas críticos.
Campanas Conocidas
Hasta ahora, se han reportado 23 victimas afectadas por BlackNevas. Aunque no hay detalles específicos sobre cada campaña, su actividad sugiere un enfoque metodológico para atacar organizaciones con infraestructuras digitales vulnerables.
Objetivos y Victimas
BlackNevas prioriza industrias clave y regiones con alta densidad de objetivos. Sus víctimas incluyen:
- Sectores: Telecomunicaciones, manufactura, salud, derecho.
- Países: Asia-Pacífico, Reino Unido, Italia, Lituania.
Indicadores de Compromiso (IOCs)
| Tipo | Valor | Contexto |
| C2 Server | ctyfftrjgtwdjzlgqh4avbd35sqrs6tde4oyam2ufbjch6oqpqtkdtid.onion |
Dominio Tor asociado a actividades de ataque en 2026. |
Detección y Defensa
Para mitigar el riesgo de BlackNevas, se recomienda:
- Monitoreo de dominios Tor y IP maliciosas en redes internas.
- Actualización de sistemas contra ransomware y cifrado avanzado.
- Barreras de seguridad para prevenir la propagación de amenazas en entornos críticos.
- No hay IOC publicos disponibles para otros componentes del ataque, lo que requiere vigilancia continua.