BrainCipher
Perfil del Actor
BrainCipher es un actor de amenaza (threat-actor) que emergió en julio de 2024. El grupo opera con variantes tanto para sistemas Windows como Linux. Se ha asociado con la leaked build de LockBit Black, lo que sugiere una relación con herramientas y técnicas de ransomware ya conocidas en el sector cibernético.
El grupo emite demandas de rescate cifradas en monero (XMR), con un rango de $150,000 a $1,000,000. Este patrón de comportamiento refleja una estrategia de extorsión basada en el pago en criptomonedas anónimas.
Origen y Motivación
No se ha identificado un origen geográfico o motivación específica para BrainCipher, según los datos disponibles. El grupo parece operar con una estructura centralizada, como se sugiere por su uso de dominios TOR y la migración a servidores nuevos en 2025.
Tecnicas y Tacticas (TTPs)
BrainCipher utiliza técnicas basadas en el exploit de CVE-2023-28252, un vulnerabilidad del driver CLFS de Windows que permite escalada de privilegios. Esto sugiere una capacidad para comprometer sistemas con vulnerabilidades conocidas.
El grupo también ha adoptado un nuevo enfoque operativo: migrar su portal de negociación a un servidor con dominio TOR vanil con prefijo "brain", lo que refuerza su enfoque anónimo y escalable.
Campanas Conocidas
No se reportan campañas específicas vinculadas a BrainCipher. Sin embargo, la migración de su portal de negociación en 2025 sugiere una evolución en su operativa, posiblemente relacionada con la expansión de sus objetivos.
Objetivos y Victimas
Los objetivos principales de BrainCipher apuntan a sistemas con vulnerabilidades en el driver CLFS de Windows. Las víctimas probablemente incluyen organizaciones que no priorizan la actualización de sus sistemas operativos, lo que facilita el aprovechamiento de la vulnerabilidad mencionada.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso públicos disponibles.
Detección y Defensa
Las organizaciones deben monitorear transacciones en Monero y detectar dominios TOR con prefijo "brain". Además, es crucial aplicar parches para la vulnerabilidad CVE-2023-28252 y reforzar las defensas contra ransomware mediante el uso de herramientas de seguridad que rastreen actividades anómalas en redes.