MediaMarkt Archivos - Noticias de Ciberseguridad -

MediaMarkt y Saturn han sufrido un ataque de ransomware del grupo Hive en la madrugada del domingo al lunes, que desde las 7 de la mañana afecta a sus operaciones en varios países europeos, principalmente Alemania, Holanda y Bélgica. Las tiendas permanecen abiertas y es posible comprar productos que estén físicamente en tienda, pero resulta imposible la recogidas de productos de la web y hacer devoluciones. Con una demanda inicial de rescate de 240 millones dólares podría ser el precio más alto pedido hasta el momento. Reducido ya a la mitad. No en vano, MediaMarkt tiene 53 mil empleados, y más de 1.000 tiendas en 13 países.

MediaMarkt es el minorista de electrónica de consumo más grande de Europa con más de 1.000 tiendas en 13 países. MediaMarkt emplea aproximadamente a 53.000 empleados y tiene unas ventas totales de 20.800 millones de euros.El gigante minorista de productos electrónicos MediaMarkt ha sufrido un ataque de ransomware que ha provocado el cierre de los sistemas de TI y la interrupción de las operaciones de las tiendas en los Países Bajos y Alemania.
Hive, un grupo de ransomware activo desde al menos junio de 2021, ya ha atacado a más de 30 organizaciones, contando solo a las víctimas que se negaron a pagar el rescate.
Las nuevas variantes de Hive están escritas en el lenguaje de programación Golang, pero las cadenas, nombres de los paquetes y nombre de las funciones han sido ofuscadas, probablemente con la herramienta Gobfuscate.

¿Qué ha ocurrido?

Un ataque de ransomware ha afectado a 3.100 servidores de MediaMarkt en varios países del centro y el norte de Europa, según han informado fuentes de la multinacional alemana de productos electrónicos. El ataque se ha producido a primera hora de esta mañana y tiene consecuencias en tiendas de Holanda, Bélgica y Alemania, aunque aún no hay información oficial sobre el alcance de la intrusión.

El ataque afecta a distintos establecimientos de España y provoca que solo se puedan vender productos que estén físicamente en los locales, impidiendo realizar los servicios de devolución, recogida y otras gestiones online.

Los empleados están realizando sus procedimientos de forma manual. Se puede seguir comprando en tienda, pero los empleados deben rellenar una plantilla de forma escrita, a mano, para cualquier transacción en la que sea necesaria una factura. Por si fuera poco, dichas fuentes afirman que este problema durará días.

¿Qué sabemos hasta ahora?

Un correo interno publicado en Twitter habla de 3.100 servidores Windows afectados. La compañía habría pedido a los empleados que desconecten los ordenadores, incluyendo cajas registradoras, de la red para evitar la extensión del ataque.

El problema podría está afectando también a las tiendas situadas en España, en las que no es posible acceder a los pedidos, no se pueden hacer devoluciones de productos o pagar mediante datáfono.

Cajas registradoras no funcionan
No se puede pagar con tarjetas de crédito
No se pueden realizar devoluciones.

Un ataque de ransomware de fin de semana

MediaMarkt sufrió un ataque de ransomware el fin de semana que cifró servidores y estaciones de trabajo y provocó el cierre de los sistemas de TI para evitar la propagación del ataque.

Si bien las ventas en línea continúan funcionando como se esperaba, las cajas registradoras no pueden aceptar tarjetas de crédito ni imprimir recibos en las tiendas afectadas. La interrupción de los sistemas también impide las devoluciones debido a la imposibilidad de buscar compras anteriores.

Search and buy domains from Namecheap. Lowest prices!

Los medios locales informan que las comunicaciones internas de MediaMarkt les dicen a los empleados que eviten los sistemas cifrados y desconecten las cajas registradoras de la red.

Hive, además de cifrar archivos, Hive también roba datos confidenciales de las redes, amenazando con publicar todo en su sitio web HiveLeak, alojado en la web profunda, que es una práctica común entre el ransomware que trabaja en este esquema de doble extorsión.

Hay dos sitios web mantenidos por el grupo, el primero está protegido por el nombre de usuario y la contraseña, accesible solo por las víctimas que obtienen las credenciales en la nota de rescate.

Entre los métodos que utiliza la banda para obtener acceso inicial y moverse lateralmente en la red se encuentran los correos electrónicos de phishing con archivos adjuntos maliciosos y el Protocolo de escritorio remoto (RDP).

Antes de implementar la rutina de cifrado, el ransomware Hive roba los archivos que considera valiosos para engañar a la víctima para que pague el rescate bajo la amenaza de pérdida de datos.

Ejemplo nota de rescate Hive

Your network has been breached and all data were encrypted.
Personal data, financial reports and important documents are ready to disclose.
To decrypt all the data or to prevent exfiltrated files to be disclosed at
http://hiveleakdbtnp76ulyhi52eag6c6tyc3xw7ez7iqy6wc34gd2nekazyd.onion/
you will need to purchase our decryption software.
Please contact our sales department at:
REDACTED
Login: REDACTED
Password: REDACTED
To get access to .onion websites download and install Tor Browser at:
https://www.torproject.org/ (Tor Browser is not related to us)
Follow the guidelines below to avoid losing your data:
– Do not shutdown or reboot your computers, unmount external storages.
– Do not try to decrypt data using third party software. It may cause
irreversible damage.
– Do not fool yourself. Encryption has perfect secrecy and it’s impossible
to decrypt without knowing the key.
– Do not modify, rename or delete *.key.k6thw files. Your
data will be undecryptable.
– Do not modify or rename encrypted files. You will lose them.
– Do not report to authorities. The negotiation process will be terminated
immediately and the key will be erased.
– Do not reject to purchase. Your sensitive data will be publicly disclosed.

El FBI señala que el autor de la amenaza también se basa en servicios de intercambio de archivos, muchos de ellos anónimos, como Anonfiles, MEGA, Send.Exploit, Ufile o SendSpace.

Una víctima reciente del ransomware Hive es Memorial Health System, que ofrece una red de servicios que incluye tres hospitales y proveedores que representan a 64 clínicas.
Esta es una historia en desarrollo y se actualizará a medida que haya más información disponible.