Trinity es una organización de ciberdelincuentes relativamente reciente, cuyos primeros ataques se identificaron en mayo de este año. En ellos, utiliza un tipo de 'software' malicioso que infiltra en los sistemas informáticos de la víctima con el fin de robar información valiosa y, tras ello, extorsionar a las víctimas a cambio de un rescate económico.
En este marco, aseguran en un comunicado que una de sus víctimas es la Agencia Tributaria Española, como consecuencia de un ataque malicioso que se produjo este domingo 1 de diciembre, tal y como han recogido compañías de ciberseguridad como HackManac o Secure&IT. En él, los 'hackers' dicen que se ha saldado con el robo de un total de 560GB de datos que contienen información sensible de los contribuyentes y del organismo.
Asimismo, desde Trinity han amenazado con hacer públicos todos estos datos si no reciben un rescate de 38 millones de dólares (alrededor de 36 millones de euros al cambio) antes del martes 31 de diciembre de este año.
'Ransomware' de doble extorsión
En concreto, el modus operandi habitual de este grupo de actores maliciosos es el uso de un 'ransomware' capaz de secuestrar información sensible, tal y como se ha registrado en operaciones anteriores del grupo Trinity, recogidas por un informe de la Oficina de Seguridad de la Información de Estados Unidos.
Este 'ransomware', que también se llama Trinity, se difunde en ataques de 'phishing' mediante correos electrónicos, sitios web maliciosos o al interceptar vulnerabilidades de 'software' para introducirlo en el sistema.
Una vez infectado el equipo, los ciberdelincuentes llevan a cabo una estafa de doble extorsión, en la que, primero identifican y roban la información confidencial, y después la cifran y la bloquean para que no se pueda utilizar.
Para ello, utilizan el algoritmo de cifrado llamado ChaCha20, que bloquea los datos dejándolos inaccesibles y los etiqueta con la extensión '.trinitylock'. Así, al cifrar los datos impidiendo su uso, y amenazar posteriormente con filtrarlos, ejercen una doble presión sobre las víctimas para que paguen el rescate.
De hecho, según el informe estadounidense, el grupo de 'hackers' también gestiona un sitio de asistencia a las víctimas para ayudarlas a descifrar los datos, así como un sitio de filtraciones donde muestra los datos robados.
Además de todo ello, debido a las técnicas y tácticas del grupo, que se califican de «sofisticadas», se les ha vinculado con otros grupos de 'ransomware' con los que comparten similitudes, concretamente con 2023Lock y Venus, que también utilizan 'ransomware' para el robo de datos.
En el caso del ataque que el grupo Trinity asegura haber realizado contra la Agencia Tributaria Española, por el momento, se desconoce si se ha utilizado el mismo 'ransomware' y, por tanto, el mismo método de extorsión.
Por su parte, la Agencia Tributaria ha confirmado a Europa Press que han revisado todos los sistemas y que, por el momento, no se ha detectado ningún indicio de posibles equipos cifrados o salidas de datos. Asimismo, el organismo también ha indicado que continúa vigilando todos sus sistemas.