AUDIT Team (también aparece como AuditTeam o Audit Team) es un grupo de ransomware visto recientemente en Latinoamérica. Está activo desde febrero de este año los trackers indexaron su DLS más claro desde abril y su sitio DLS muestra en este momento 28 víctimas.
Geográficamente ha golpeado sobre todo a Rusia, Italia y Asia. Ahora se sumó Latinoamérica con dos víctimas: una en Colombia y otra en Argentina. En la grilla actual no aparecen otros países de la región. Los sectores que más se ven son manufactura, tecnología, retail y servicios financieros.
El grupo se presenta como analistas independientes de ciberseguridad. Su motivación, según ellos, es que internet está plagado de arrogancia y negligencia, y que identifican exposiciones y “protegen” datos sensibles antes de que otros actores maliciosos los exploten.
El contacto no es un correo clásico: usan un formulario web en el DLS. Al publicar víctimas manejan dos estados. Uno es Public Transparency, donde la empresa queda nombrada y los datos estarían expuestos. El otro es Paid Cooperation (o Cooperation Reached), donde dicen que la empresa cooperó, pagó un “fee” y ellos eliminaron los datos.
Ellos mismos publican reglas de divulgación: ventana de remediación, consulting fee, destrucción de datos y public transparency. Es la misma historia de siempre, pero vestida de auditoría.
Este grupo usa la nota de ransomware [rand].README.txt. El título interno dice: Audit Log: SEVERE INFRASTRUCTURE COMPROMISE VERIFIED.
