Grupo de ransomware Embargo movimenta $34M desde abril de 2024, revela TRM Labs

O grupo de ransomware Embargo foi acusado de mover mais de $34 milhões em vários pagamentos vinculados a criptomoedas desde abril de 2024. De acordo com a empresa de inteligência blockchain TRM Labs, o grupo, que ainda é relativamente novo, tornou-se um jogador-chave no mundo do cibercrime subterrâneo.

A TRM Labs revelou que a Embargo opera sob um modelo de ransomware como serviço, atingindo infraestruturas críticas em todo os Estados Unidos.

O relatório revelou que o grupo atingiu hospitais e várias redes farmacêuticas em vários estados. Algumas de suas vítimas incluem American Associated Pharmacies, Memorial Hospital and Manor, baseado na Geórgia, e Weiser Hospital em Idaho, observando que as demandas de resgate chegaram a mais de $1,3 milhão.

Investigações da TRM Labs descobrem as operações da Embargo

De acordo com a TRM Labs, suas investigações descobriram que o grupo pode ter surgido como uma versão renomeada da infame operação BlackCat (ALPHV). O referido grupo desapareceu no início deste ano após estar envolvido em um golpe de saída. Um golpe de saída é um tipo de rug pull onde indivíduos responsáveis por um projeto desaparecem com os fundos dos usuários sem deixar rastros.

Usando a linguagem de programação Rust, operando sites de vazamento de dados semelhantes e exibindo vínculos on-chain por meio de infraestrutura de carteiras compartilhadas, a TRM Labs observou que ambas as entidades compartilham uma sobreposição técnica.

De acordo com os relatórios, cerca de $18 milhões de lucros ilegais pertencentes à Embargo ainda permanecem dormentes em carteiras não afiliadas. Os analistas acreditam que essa tática é usada para atrasar a detecção ou buscar melhores oportunidades de exploração no futuro.

A Embargo usa uma rede de carteiras intermediárias, exchanges que apresentam altos riscos e plataformas sancionadas, incluindo a Cryptos.net, para esconder rastros de transações e obscurecer fundos. De maio a agosto, a TRM Labs disse que rastreou pelo menos $13,5 milhões roubados pela Embargo em vários provedores de serviços de ativos virtuais, com mais de $1 milhão movidos usando apenas a Cryptex.

Embora a Embargo não use a tática agressiva implantada por grupos como LockBit ou Cl0p, o grupo adotou uma tática de extorsão dupla. Ela usa criptografia de sistema e ameaças de vazamento de dados sensíveis para coagir suas vítimas a pagar o resgate. Em alguns outros casos, o grupo vazou nomes de indivíduos envolvidos ou os dados roubados para mostrar sua seriedade e aumentar a pressão.

Emargo mira alvos de alto risco

O grupo sempre mira setores onde a inatividade se prova custosa para suas operações, incluindo indústrias em setores como saúde, manufatura e serviços empresariais. Também foi demonstrado que ele tem preferência por vítimas com base nos Estados Unidos, considerando o fato de que elas tendem a ter capacidade de pagar em dia, já que a inatividade pode se provar custosa para suas operações.

Enquanto isso, o Reino Unido anunciou planos de proibir pagamentos de ransomware para todos os órgãos do setor público e operadores de infraestrutura nacional crítica. Esses setores incluem energia, saúde e conselhos locais. A proposta introduzirá um regime de prevenção que exigirá que as vítimas fora da proibidão relatem quaisquer pagamentos de ransomware pretendidos às autoridades.

O plano também inclui um sistema de relatórios obrigatórios onde as vítimas são obrigadas a enviar um relatório inicial ao governo dentro de 72 horas após um ataque e um acompanhamento detalhado nos próximos 28 dias.

De acordo com um relatório anterior da Chainalysis, os ataques de ransomware caíram cerca de 35% no ano passado. O relatório afirmou que foi a primeira vez desde 2022 que as receitas do ransomware caíram tanto. O relatório, lançado em fevereiro, mencionou que, apesar da queda, os usuários ainda perderam mais de $800 milhões para os criminosos. A Chainalysis afirmou que as causas da queda incluíram o aumento das ações das forças da lei, a melhoria da colaboração internacional e uma crescente recusa das vítimas em pagar.