Wizard Spider
# Wizard Spider

Wizard Spider, también conocido como Trickbot o Wizard Spider Cyber Cartel, es un grupo de ciberdelincuentes con base en Erbil y en los alrededores de Kurdistán y San Petersburgo en Rusia. Algunos miembros pueden estar recidiendo en Ucrania. Se estima que son alrededor de 80, algunos de ellos pueden no saber que estar adscritos a una organización criminal.

El grupo ha sido rastreado por la Europol, Interpol, FBI y también de la Agencia Nacional del Crimen en el Reino Unido.

Se sospecha que criminales clave están relacionados en ataques en línea utilizando el software Dyre.

## Historia

En 2018, los grupos comenzaron a usar los ransomware Trickbot, Ryuk y Conti como sus herramientas principales.

También han desarrollado el software de espionaje Sidoh que solo recopila información y no la pide rescate.

## Modus operandi

PRODAFT redactó un informe técnico sobre ellos que describía sus ataques y organización.

Los ataques generalmente comienzan enviando grandes cantidades de spam a los objetivos para engañar a las víctimas para que descarguen malware. Usan malware Qbot y SystemBC, además de escribir los suyos propios. Un equipo separado identifica objetivos valiosos y usa Cobalt Strike para atacarlos. Si obtienen el control del sistema, implementan ransomware.

Han transferido simultáneamente Bitcoin de los ataques del ransomware Ryuk y Conti a sus propias billeteras, lo que implica que están llevando a cabo varios ataques con diferentes programas maliciosos.

Son muy conscientes de su propia seguridad y no publican abiertamente en la darknet. Solo trabajarán o venden acceso a delincuentes en los que confían. Se sabe que menosprecian a sus víctimas a través de un sitio de fuga. El sitio de fuga también se utiliza para publicar datos que han robado. Las agencias de inteligencia dicen que el grupo no ataca objetivos en Rusia, ni las figuras clave viajan fuera del país por temor a ser arrestadas. Su software está programado para desinstalarse solo si detecta que el sistema usa el idioma ruso o si el sistema tiene una dirección IP en la antigua Unión Soviética.

Se sospecha que Rusia tolera a Wizard Spider e incluso los ayuda.

## Supuestos ataques

El Wizard Spider es sospechoso de llevar ataques al ataque cibernético Health Service Executive en la República de Irlanda. Es el mayor ataque conocido contra un sistema informático de un servicio de salud.

## Complinces

Están relacionados y vinculados a UNC1878, TEMP.MixMaster, CordueneWarez y Grim Spider. Según un informe de Jon DiMaggio titulado Ransom Mafia: Analysis of the world's first ransomware cartel, el grupo forma parte de una colección de delincuentes conocida como Ransom Cartel o Maze Cartel'. Son los grupos más grandes activos en el cártel.

Todos usan ransomware para extorsionar dinero. (SunCrypt se retiró .) Los autores del informe PRODAFT descubrieron que Wizard Spider a veces hacía copias de seguridad de los datos en un servidor y que el servidor contenía datos de sistemas que también habían sido atacados por REvil, aunque los autores no pudieron concluir cuál de los dos grupos había tomado los datos. .

