NOMBRE
maze — Ransomware de 2019 que PIONERÓ la «doble extorsión»: además de cifrar, robaba los datos y amenazaba con publicarlos. Su modelo lo copiaron después casi todas las bandas.
alias: ChaCha ransomware
SINOPSIS
maze --tipo ransomware --año 2019 --severidad crítica --plataforma "Windows" --autor "Grupo Maze (TA2101)"
DESCRIPCIÓN
Maze cambió las reglas del ransomware al introducir la doble extorsión a finales de 2019: primero exfiltraba los datos y luego cifraba, amenazando con filtrar la información robada si no se pagaba. Estrenó un «sitio de filtraciones» público. El grupo anunció su cierre en 2020, pero su técnica ya se había generalizado (Clop, DoppelPaymer, REvil…).
PROPAGACIÓN
Exploit kits, malspam, RDP y explotación de vulnerabilidades; movimiento lateral.
CARGA ÚTIL
Exfiltración + cifrado (doble extorsión); publicación de datos en su sitio de filtraciones.
PREVENCIÓN
EDR; copias inmutables; doble factor; segmentación; control de exfiltración.
MITIGACIÓN
Respuesta a incidentes; reconstruir desde copias; asumir la fuga de datos.
INDICADORES
- autor / origen
- Grupo Maze (TA2101)
- país
- Desconocido
- etiquetas
- doble extorsiónpioneroransomwaresitio de filtraciones
Nota DECRYPT-FILES.txt; sitio «Maze News»; herramientas de exfiltración.
DETONACIÓN
Todavía no se expone ningún informe de detonación de esta pieza. Su política de seguridad (No detonar (solo material pregrabado)) no permite ejecutarla, así que se documenta solo con material pregrabado.
FUENTES
- Análisis técnico en MITRE ATT&CK · MITRE ATT&CK