Las Nuevas Bandas de Ransomware en 2025

En 2024, los ataques de ransomware no solo siguieron siendo una amenaza, sino que se dispararon. Se registraron 5.414 incidentes a nivel global, un 11 % más que en 2023. Aunque el año comenzó con relativa calma, el número de ataques se aceleró en la segunda mitad, alcanzando su punto máximo en el cuarto trimestre con 1.827 casos.  

Las acciones policiales contra grupos grandes, como LockBit, lograron desmantelar algunas operaciones, pero también tuvieron un efecto inesperado: fragmentaron el ecosistema del ransomware, dando lugar a más competencia y un aumento de bandas más pequeñas. Como resultado, el número de grupos activos creció un 40 %, pasando de 68 en 2023 a 95 en 2024.  

Esto significa que hoy más que nunca, cualquiera puede ser víctima. Un clic en un enlace sospechoso, un correo que parece legítimo o una contraseña débil pueden ser suficientes para perder el acceso a tus archivos en cuestión de segundos. 

Nuevas bandas de ransomware a las que hay que prestar atención

El ransomware no deja de evolucionar, y 2024 fue un año clave en su expansión. Mientras que en 2023 surgieron 27 nuevos grupos, el año pasado esa cifra se disparó a 46. A medida que avanzaban los meses, la actividad de estas bandas aumentó, y para el último trimestre del año ya había 48 grupos operando activamente.

Entre todos ellos, uno logró destacar por encima del resto: RansomHub. Este grupo emergente no solo irrumpió con fuerza en la escena, sino que incluso superó la actividad de LockBit, uno de los nombres más temidos en el mundo del ransomware.

En este artículo, exploraremos a fondo tres de los actores más relevantes que surgieron en 2024: RansomHub, Fog y Lynx. Analizaremos sus orígenes, cómo operan y qué impacto han tenido en la creciente ola de ciberataques.

El nuevo rey del ransomware

RansomHub se ha convertido en el grupo de ransomware más activo de 2024, con 531 ataques registrados en su sitio de filtración de datos desde su aparición en febrero. Tras la caída de ALPHV a manos del FBI, muchos lo ven como su "sucesor espiritual", y no sería raro que algunos de sus antiguos afiliados ahora formen parte de esta nueva operación.

Este grupo opera bajo el modelo de Ransomware-as-a-Service (RaaS), lo que significa que trabaja con afiliados que ejecutan los ataques a cambio de una parte del rescate. Sin embargo, RansomHub no deja nada al azar: impone reglas estrictas a sus colaboradores y no duda en expulsarlos si no las cumplen. Su estructura de pagos es bastante llamativa, ofreciendo un generoso 90 % del rescate a los afiliados y quedándose solo con el 10 %, una estrategia que probablemente ha ayudado a su rápido crecimiento.

A pesar de su alcance global, hay ciertas "líneas rojas" que no cruza. Al igual que otros grupos de ransomware con posibles lazos en Rusia, evita atacar objetivos en países de la CEI (antiguos estados soviéticos), Cuba, Corea del Norte y China, además de organizaciones sin fines de lucro. Su historial de ataques y la superposición con otros grupos rusos sugieren que podría formar parte del ecosistema de ciberdelincuencia vinculado a ese país.

Curiosamente, aunque RansomHub es muy activo, su tasa de éxito en los pagos es baja. En agosto de 2024, solo el 11,2 % de las víctimas (20 de 190) accedieron a pagar. Esto indica que su estrategia no se basa en asegurar grandes pagos individuales, sino en lanzar un volumen masivo de ataques para mantener la rentabilidad a largo plazo. En otras palabras, prefieren la cantidad sobre la calidad cuando se trata de extorsión digital.

Herramientas y tácticas de RansomHub: Lo que lo hace tan peligroso

RansomHub está diseñado para ser rápido y efectivo. Desarrollado en Golang y C++, este malware es capaz de atacar sistemas Windows, Linux y ESXi con una velocidad de cifrado impresionante. Algunas similitudes con el ransomware de GhostSec sugieren que sigue ciertas tendencias dentro del ecosistema del ransomware.

Algo que lo diferencia de otros grupos es su política de descifrado: si un afiliado no entrega la clave después de recibir el pago o ataca a una organización "prohibida", RansomHub garantiza que la víctima obtenga el descifrado de forma gratuita. Además, su enfoque de ataque es claro: primero cifran los archivos y luego extraen los datos, asegurándose de tener suficiente material para extorsionar a las víctimas.

Investigaciones han encontrado posibles vínculos con ALPHV, lo que sugiere que RansomHub podría estar reutilizando herramientas y tácticas de este grupo. Además, hay muchas similitudes con Knight Ransomware, como el uso de cargas útiles en lenguaje Go ofuscadas con GoObfuscate y menús de línea de comandos prácticamente idénticos.

Conoce más sobre:  RansomHub Ataca a Empresas Mexicanas: OMA, UNAM y Mabe en Riesgo

Fog: El ransomware que está poniendo en jaque a la educación

Apareció en abril de 2024 y, en poco tiempo, Fog se convirtió en una pesadilla para las instituciones educativas de EE. UU. Su estrategia es clara: aprovechar credenciales VPN robadas para infiltrarse en redes y lanzar ataques de doble extorsión. Si la víctima no paga, sus datos terminan filtrados en un sitio oculto en TOR.

En solo un año, Fog atacó a 87 organizaciones en todo el mundo. Un informe de Arctic Wolf reveló que en noviembre de 2024 llevaron a cabo al menos 30 intrusiones, todas a través de credenciales comprometidas de VPN SonicWall. Lo más interesante es que el 75 % de estos ataques estaban vinculados a Akira, otro grupo de ransomware, lo que sugiere que podrían estar compartiendo infraestructura o colaborando de alguna manera.

Aunque su enfoque principal es la educación, Fog también ha apuntado a empresas de servicios, turismo y manufactura, con especial interés en EE. UU. Sin embargo, lo que realmente lo hace destacar es su agresividad en el sector educativo, un blanco que no suele ser la prioridad de otros grupos de ransomware.

Otro dato alarmante: su velocidad. En algunos casos, han pasado de la infiltración al cifrado en solo dos horas. Siguen un patrón clásico de ataque: primero exploran la red, luego se mueven lateralmente entre sistemas, cifran los archivos y finalmente extraen los datos para presionar aún más a la víctima. Además, han desarrollado versiones tanto para Windows como para Linux, ampliando su alcance y peligrosidad.

Fog es un recordatorio de que el ransomware sigue evolucionando y diversificándose, atacando sectores que antes no eran su prioridad y volviéndose más rápido y eficiente con cada nuevo golpe.

Podría interesarte leer:  VPNs de SonicWall Bajo Ataque de Ransomware FOG en Redes Empresariales

Indicadores de Compromiso (IOC)

Aquí tienes una lista de indicadores de compromiso relacionados con actividades de ransomware Fog. Si administras redes o trabajas en ciberseguridad, revisa estos datos y actúa si detectas alguna coincidencia en tus sistemas.

Si detectas alguna de estas direcciones o hashes en tu red, es posible que estés ante una amenaza activa. Revisa los registros, refuerza las medidas de seguridad y toma acción de inmediato. 

Lynx: El nuevo jugador en el mundo del ransomware

Lynx es una de las bandas de ransomware que más ruido ha estado haciendo últimamente. Su estrategia es la de doble extorsión, lo que significa que no solo cifran los archivos de sus víctimas, sino que también amenazan con publicar la información robada si no pagan el rescate.

Su sitio web está repleto de empresas que han caído en sus ataques, lo que deja claro que han estado bastante ocupados. Sin embargo, dicen tener ciertas "líneas éticas" y aseguran que evitan atacar a gobiernos, hospitales, organizaciones sin fines de lucro y sectores esenciales. Claro, eso es lo que afirman… pero en el mundo del cibercrimen, confiar en la palabra de un grupo de ransomware no es precisamente una buena idea.

Cuando Lynx logra infiltrarse en un sistema, no pierde el tiempo. Cifra los archivos y les añade la extensión “.LYNX”, dejando claro quién está detrás del ataque. Para asegurarse de que la víctima sepa qué ha pasado, también deja una nota de rescate llamada "README.txt" en varios directorios del sistema.

Solo en 2024, este grupo atacó a más de 70 víctimas, lo que deja claro que no se trata de un actor menor en el mundo del ransomware. Su actividad sigue en aumento, y todo indica que su presencia en el panorama del cibercrimen seguirá dando de qué hablar.

Indicadores de Compromiso (IOC) 

El ransomware sigue evolucionando, y grupos como Lynx continúan ampliando su alcance. Aquí tienes algunos indicadores de compromiso (IOC) recientes que pueden ayudarte a identificar actividad sospechosa en tu red:

Conoce más sobre:  Ransomware Makop y Lynx Atacan Organizaciones en América Latina

¿Qué se espera para 2025?

Con los constantes operativos contra los grandes grupos de ransomware, han surgido nuevos actores que buscan consolidarse en el mundo del cibercrimen. Todo apunta a que en 2025, muchos de estos grupos mejorarán sus capacidades y se convertirán en amenazas aún más serias. No solo nombres como RansomHub estarán en el radar, sino que veremos a nuevos jugadores entrar en escena con ataques más sofisticados.

¿Cómo proteger tu empresa?

La mejor defensa contra el ransomware es una estrategia de seguridad sólida. Aquí algunas medidas clave que tu empresa debe implementar hoy mismo:

1. Copias de seguridad seguras: Asegúrate de contar con un sistema de backups automáticos y protegidos contra ransomware. Una buena opción es TecnetProtect, que no solo realiza respaldos en la nube y locales, sino que también cuenta con protección avanzada contra ransomware para evitar que los atacantes cifren o eliminen tus copias de seguridad.
   
   
2. Segmentación de red: Limita el acceso dentro de tu red para que, si un atacante logra entrar, no pueda moverse libremente entre sistemas críticos.
   
   
3. Autenticación multifactor (MFA): Refuerza el acceso a cuentas y sistemas con MFA, reduciendo la posibilidad de que credenciales robadas sean suficientes para un ataque.
   
   
4. Monitoreo continuo: Usa herramientas de detección y respuesta para identificar actividad sospechosa en tiempo real y actuar antes de que sea demasiado tarde.
   
   
5. Concienciación y capacitación: Muchos ataques comienzan con un simple correo de phishing. Capacita a tu equipo para que puedan identificar intentos de engaño y eviten caer en trampas.

El ransomware sigue evolucionando, y 2025 no será la excepción. Con nuevos grupos en ascenso y ataques cada vez más sofisticados, las empresas deben tomar medidas preventivas ahora. Implementar soluciones como TecnetProtect, reforzar la seguridad de la red y capacitar a los trabajadores puede marcar la diferencia entre ser víctima de un ataque o estar preparado para enfrentarlo. ¿Tu empresa está lista para lo que viene?