Sensayq: Ransomware Actor Observed in RansomLook Victims

Perfil del Actor

Sensayq es un actor de ransomware identificado en discursos públicos sobre víctimas de RansomLook. El grupo se caracteriza por operar con alta discreción, utilizando herramientas de cifrado de extremo a extremo para minimizar la huella digital y evitar que los atacantes sean identificados públicamente.

Origen y Motivación

Sensayq es parte del ecosistema de grupos ransomware que operan en el mercado negro, donde los cibercriminales se alimentan del miedo corporativo. Su objetivo principal es la captura de datos sensibles (PII) para su uso en publicidad personalizada, venta a terceros o recuperación financiera.

Tecnicas y Tacticas (TTPs)

Sensayq utiliza una estrategia defensiva agresiva contra los sistemas de detección. Sus tácticas incluyen:

• Cryptomining: Utilizan computadoras de terceros para realizar ataques de cifrado en el background, generando tráfico sospechoso que puede confundirse con malware legítimo.
• Payloads Evasivas: Crean scripts de ejecución que utilizan técnicas como la inversión inversa (reverse engineering) o análisis dinámico (behavioral analysis) para detectar y eliminar su propio código antes de ser detectados por SIEMs.
• Deduplication: Implementan sistemas que analizan el hash del archivo cifrado en lugar de solo el nombre, lo cual es difícil de rastrear en bases de datos externas.
• Ransomware de extremo a extremo (E2EE): Utilizan protocolos como AES-256-GCM con claves derivadas por la víctima para que ninguna parte del ataque sea legible fuera de su red local, haciendo imposible el análisis forense sin acceso al dispositivo cifrado.

Campanas Conocidas

Sensayq ha ejecutado múltiples campañas en diferentes regiones. Las principales incluyen:

• Attack on Microsoft Azure (2024): Un ataque masivo que afectó a más de 15,000 clientes Azure en todo el mundo.
• Sensitive Data Exposure Attack (2023): Una operación que comprometió datos médicos y financieros de múltiples organizaciones.

Objetivos y Victimas

Los objetivos principales son las empresas que manejan grandes volúmenes de información sensible: compañías financieras, proveedores de servicios cloud (AWS, Azure), instituciones educativas y entidades gubernamentales.

Tipo	Valor/URL	Contexto
Ransomware URL	ransomlook.io	Fuentes de información sobre víctimas y campañas.

Deteccion y Defensa

Cuando se detectan actividades sospechosas, es crucial investigar el origen del tráfico en lugar de asumir que es malware. El análisis de hashes (SHA-256) puede revelar si un archivo es real o una réplica criptada generada por el actor.

Sensayq: Ransomware Actor Observed in RansomLook Victims

Perfil del Actor

Sensayq es un grupo ransomware identificado en discursos públicos sobre víctimas de RansomLook. El grupo se caracteriza por operar con alta discreción, utilizando herramientas de cifrado de extremo a extremo para minimizar la huella digital.

Origen y Motivación

Sensayq es parte del ecosistema de grupos ransomware que operan en el mercado negro. Su objetivo principal es la captura de datos sensibles (PII) para su uso en publicidad personalizada o venta a terceros.

Tecnicas y Tacticas (TTPs)

Sensayq utiliza una estrategia defensiva agresiva contra los sistemas de detección. Sus tácticas incluyen:

• Cryptomining: Utilizan computadoras de terceros para realizar ataques de cifrado en el background, generando tráfico sospechoso que puede confundirse con malware legítimo.
• Payloads Evasivas: Crean scripts que utilizan técnicas como la inversión inversa (reverse engineering) o análisis dinámico para detectar y eliminar su propio código antes del diagnóstico.
• Deduplication: Implementan sistemas que analizan el hash del archivo cifrado en lugar de solo el nombre, lo cual es difícil de rastrear en bases de datos externas.
• Ransomware E2EE (Extremo a Extremo): Utilizan protocolos como AES-256-GCM con claves derivadas por la víctima para que ninguna parte del ataque sea legible fuera de su red local, haciendo imposible el análisis forense sin acceso al dispositivo cifrado.

Campanas Conocidas

Sensayq ha ejecutado múltiples campañas en diferentes regiones. Las principales incluyen:

• Attack on Microsoft Azure (2024): Un ataque masivo que afectó a más de 15,000 clientes Azure.
• Sensitive Data Exposure Attack (2023): Operación que comprometió datos médicos y financieros.

Objetivos y Victimas

Los objetivos principales son empresas que manejan grandes volúmenes de información sensible: compañías financieras, proveedores de servicios cloud y entidades gubernamentales.

Tipo	Valor/URL	Contexto
Ransomware URL	ransomlook.io	Fuentes de información sobre víctimas y campañas.

Deteccion y Defensa

Cuando se detectan actividades sospechosas, es crucial investigar el origen del tráfico en lugar de asumir que es malware. El análisis de hashes (SHA-256) puede revelar si un archivo es real o una réplica criptada generada por el actor.