LockBit 5.0 sigue atacando activamente a organizaciones de todo el mundo, y los afiliados del grupo han refinado su enfoque en un ataque de dos frentes que está resultando difícil de defender por completo. Según la inteligencia de amenazas más reciente, las campañas de doble extorsión de LockBit 5.0 ahora dependen menos del cifrado por fuerza bruta y más de una combinación calculada de robo de datos y disrupción diseñada para maximizar la presión sobre las víctimas para que paguen.

No se trata de una nueva familia de ransomware que surja de la nada. LockBit tiene una larga y bien documentada trayectoria como una de las operaciones de ransomware como servicio más prolíficas del mundo, y su resurgimiento tras el intento de desarticulación de la Operación Cronos por parte de las fuerzas de seguridad ha sido seguido de cerca por los investigadores de seguridad. Para los lectores que quieran conocer mejor cómo se reconstruyó el grupo y evolucionó hasta su forma actual, nuestro explicador de LockBit 5.0 cubre esa historia en profundidad. Este artículo se centra en lo que está ocurriendo ahora mismo: la mecánica de la campaña actual y lo que las organizaciones pueden hacer al respecto.

Cómo funciona el ataque de doble extorsión de LockBit 5.0

El patrón de ataque que utilizan los afiliados sigue una secuencia deliberada. Antes de que se cifre ningún archivo, los atacantes primero exfiltran datos de la red objetivo utilizando herramientas como Rclone, una utilidad legítima de transferencia de archivos que se ha reutilizado para mover silenciosamente grandes volúmenes de datos robados a almacenamiento externo, o malware de robo de datos creado a medida específicamente para esta tarea.

Sólo después de que esos datos hayan sido copiados comienza la fase de cifrado, que está diseñada para ser rápida. Los afiliados utilizan rutinas de cifrado rápido e intermitente, lo que significa que los archivos se bloquean en ráfagas en lugar de todos a la vez en un único proceso continuo. Este enfoque permite a los atacantes cifrar grandes cantidades de archivos rápidamente, al tiempo que dificulta la detección por parte de las herramientas de monitoreo tradicionales. A los archivos cifrados también se les asignan extensiones de archivo aleatorias, lo que complica los esfuerzos de recuperación y dificulta que los defensores identifiquen rápidamente el alcance de lo que se ha visto afectado.

El resultado es un doble aprieto para las víctimas. Incluso si una organización puede restaurar los sistemas cifrados a partir de copias de seguridad y evitar pagar por una clave de descifrado, los atacantes siguen teniendo los datos robados y pueden amenazar con filtrarlos o venderlos. Esa segunda palanca es precisamente la razón por la que este modelo sigue siendo eficaz para los grupos de ransomware en todo el sector, y por lo que los afiliados de LockBit siguen recurriendo a él en entornos Windows, Linux y virtualizados.

Por qué la exfiltración de datos es ahora la verdadera amenaza, no solo el cifrado

Es tentador pensar en el ransomware principalmente como un problema de cifrado de archivos, algo que se resuelve manteniendo buenas copias de seguridad. Esa idea pasa por alto dónde reside ahora el verdadero poder de presión. Una vez que los datos han salido de la red, las copias de seguridad no deshacen la exposición. Los archivos robados, ya sean registros de clientes, datos financieros, comunicaciones internas o propiedad intelectual, ya están en manos de los atacantes, independientemente de que la organización víctima llegue a pagar el rescate.

Este cambio es importante porque modifica lo que "recuperación" significa realmente. Restaurar sistemas desde una copia de seguridad limpia resuelve el tiempo de inactividad operativa, pero no hace nada para evitar que la información sensible se publique en un sitio de filtraciones o se venda a otros actores de amenazas. Las organizaciones deben tratar la exfiltración de datos como el riesgo principal a planificar, no como una idea de último momento tras el cifrado.

Medidas de refuerzo: copias de seguridad, segmentación y controles de acceso

Teniendo en cuenta este patrón de ataque, algunas prioridades defensivas destacan como especialmente relevantes en relación con la forma de operar de los afiliados de LockBit 5.0:

  • Copias de seguridad cifradas y fuera de línea. Las copias de seguridad deben estar cifradas en reposo y mantenerse aisladas de la red principal, idealmente con copias inmutables o con separación física, de modo que incluso si los atacantes obtienen un acceso amplio, no puedan alcanzar ni manipular los datos de recuperación.
  • Segmentación de la red. Dado que los afiliados extraen los datos antes de cifrar, limitar hasta dónde puede moverse un intruso dentro de la red una vez que ha entrado reduce tanto el volumen de datos en riesgo como el número de sistemas que pueden verse afectados en la fase de cifrado.
  • Monitoreo de transferencias de datos inusuales. Puesto que herramientas de exfiltración como Rclone son software legítimo del que se está haciendo un uso indebido, los equipos de seguridad deben vigilar volúmenes anómalos de transferencia saliente o el uso no habitual de utilidades de sincronización de archivos, no solo las firmas de malware.
  • Controles de acceso estrictos. Limitar qué cuentas y sistemas pueden acceder a datos sensibles reduce el conjunto de información disponible para robar, incluso si un atacante compromete una cuenta de acceso inicial.
  • Planes de respuesta a incidentes que asuman el robo de datos. Los planes de respuesta deben contemplar explícitamente la posibilidad de que los datos hayan sido copiados antes de que se detectara cualquier cifrado, para que las obligaciones legales, de comunicación y regulatorias no sean una ocurrencia tardía.

Ninguna de estas medidas es exótica. Lo importante es aplicarlas teniendo presente el patrón específico de LockBit 5.0: cifrado rápido e intermitente precedido por un robo de datos silencioso.

Lo que esto significa para usted

Si gestiona la informática o la seguridad de una organización de cualquier tamaño, la conclusión práctica es que la defensa contra el ransomware no puede detenerse en la prevención del cifrado. Un evento de doble extorsión de LockBit 5.0 tiene éxito incluso contra organizaciones con prácticas sólidas de copias de seguridad, porque el robo ocurre primero y la presión no depende solo del cifrado. Revisar cómo se segmentan los datos sensibles, quién puede acceder a ellos y si se están monitoreando las transferencias salientes es al menos tan importante como la higiene de las copias de seguridad en este momento.

Para los individuos, la exposición es más indirecta pero igualmente real. Si una empresa a la que ha confiado datos personales es víctima de este tipo de campaña, su información podría acabar expuesta independientemente de que la organización pague o no un rescate. Es un buen recordatorio para ser selectivo con los datos personales que comparte con los servicios y para estar atento a las notificaciones de brechas relacionadas con las empresas que utiliza.

Conclusiones clave

La actividad continuada de LockBit 5.0 es un recordatorio de que las operaciones de ransomware como servicio se adaptan rápidamente, y las defensas deben seguir el ritmo. Para reducir el riesgo de este tipo de campaña:

  • Mantenga copias de seguridad cifradas, fuera de línea o inmutables a las que los atacantes no puedan llegar ni corromper
  • Segmente las redes para que una sola cuenta comprometida no pueda alcanzar todo el entorno
  • Monitoree las transferencias de datos salientes inusuales, no solo las firmas de malware
  • Aplique controles de acceso estrictos y basados en la necesidad de conocer para los datos sensibles
  • Elabore planes de respuesta a incidentes que asuman que la exfiltración de datos ocurrió antes de la detección

Para obtener más información sobre cómo LockBit reconstruyó su operación tras la disrupción policial y qué ha cambiado en su última versión, lea nuestro explicador completo sobre la evolución de LockBit 5.0.