Una nueva investigación que examina la infraestructura técnica detrás de varias operaciones importantes de ransomware, incluidas INC Ransom, Lynx, MedusaLocker y la actividad relacionada con LockBit, ha descubierto que, a pesar de operar bajo diferentes nombres de marca, estos grupos dependen de patrones de ataque sorprendentemente similares. Esa consistencia importa para cualquiera que intente entender el ransomware, porque significa que las herramientas y tácticas que usan los defensores para atrapar a una banda a menudo funcionan contra varias otras al mismo tiempo.

Infraestructura compartida detrás de diferentes marcas de ransomware

El ransomware suele cubrirse como si cada grupo con nombre fuera una empresa criminal completamente separada con su propio manual único. La realidad descubierta por esta investigación es más desordenada y, en cierto modo, más útil para la defensa. Al rastrear la infraestructura, es decir, los servidores, los canales de mando y control, y los sistemas de preparación, utilizados en ataques vinculados a INC Ransom, Lynx, MedusaLocker y LockBit, los investigadores encontraron huellas técnicas recurrentes en campañas supuestamente no relacionadas.

Esta superposición refleja una tendencia más amplia ya visible en otras partes del ecosistema del ransomware. Como se cubrió en el reportaje sobre cómo los grupos de ransomware alcanzan un récord de 93 bandas activas, el submundo criminal se ha fragmentado en un gran número de operaciones con nombre incluso mientras las técnicas centrales, y en algunos casos la infraestructura real, se reutilizan o comparten. Los afiliados de ransomware como servicio con frecuencia se mueven entre marcas, y los kits de herramientas filtrados o revendidos hacen que diferentes "grupos" puedan terminar pareciéndose mucho bajo el capó.

Robar primero, cifrar después: el estándar de la doble extorsión

Uno de los patrones más claros que surgieron de la investigación es el momento. Antes de bloquear los sistemas de una víctima, la mayoría de las operaciones de ransomware estudiadas exfiltran silenciosamente datos sensibles primero. El cifrado, la parte del ataque que se nota porque los sistemas de repente dejan de funcionar, suele ser el paso final en lugar del primero.

Esta secuencia es la columna vertebral de la doble extorsión: los atacantes roban datos en silencio, luego cifran archivos y después amenazan con filtrar públicamente los datos robados si no se paga el rescate. Les da a las víctimas dos razones separadas para pagar y les da a los atacantes apalancamiento incluso si una empresa puede restaurar sus sistemas desde copias de seguridad sin pagar por una clave de descifrado. Esta táctica se ha vuelto tan estándar que su ausencia ahora sería la excepción en lugar de la regla, y coincide con hallazgos separados sobre cómo las tácticas de extorsión están cambiando mientras los pagos de rescate alcanzan mínimos históricos, empujando a los grupos hacia tácticas de presión más duras cuando las víctimas se niegan a pagar.

Por qué la detección temprana es ahora la mejor defensa

Debido a que el robo de datos generalmente ocurre mucho antes del cifrado, a menudo hay una ventana, a veces de días o semanas, en la que una compromiso está en curso pero aún no se ha convertido en una crisis total. Los patrones de infraestructura identificados en esta investigación brindan a los defensores una forma de detectar esa ventana: comportamiento recurrente de mando y control, técnicas de preparación y firmas de red que aparecen en la actividad vinculada a INC Ransom, Lynx, MedusaLocker y LockBit.

Esto importa porque el acceso inicial es cada vez más el eslabón más débil que explotan los atacantes. Una investigación separada cubierta en este sitio encontró que el 79% de los incidentes de ransomware comienzan con credenciales robadas en lugar de exploits sofisticados. Combine eso con una infraestructura que se comporta de manera predecible una vez que los atacantes están dentro, y se forma una imagen más clara: la mayoría de los ataques de ransomware no son golpes maestros imparable de día cero. Dependen de acceso robado y herramientas reutilizadas, ambas dejan rastros detectables si las organizaciones saben qué buscar.

Qué significa esto para usted

Para los usuarios cotidianos, esta investigación es un recordatorio de que el ransomware rara vez llega de la nada. Por lo general, sigue a una contraseña robada, un correo de phishing o un punto de acceso remoto expuesto, y generalmente roba datos mucho antes de que algo se bloquee o aparezca una nota de rescate. Para las empresas y los equipos de TI, la conclusión es más directa: monitorear los patrones de infraestructura compartidos entre las principales familias de ransomware puede detectar una intrusión durante la fase de robo de datos, antes de que ocurra el cifrado.

Para las personas, la defensa práctica es la misma de siempre: contraseñas únicas, autenticación multifactor y precaución ante solicitudes inesperadas de inicio de sesión o de credenciales. Los grupos de ransomware dependen del acceso robado para entrar por la puerta, por lo que cerrar ese punto de acceso elimina gran parte de su ventaja antes de que las tácticas de infraestructura más avanzadas entren en juego.

Puntos clave

  • Los grupos de ransomware con diferentes nombres a menudo comparten infraestructura y tácticas subyacentes, lo que significa que las herramientas de detección creadas para una banda con frecuencia se aplican a otras.
  • El robo de datos generalmente ocurre antes del cifrado, creando una ventana de detección sobre la que los defensores pueden actuar.
  • Las credenciales robadas siguen siendo un punto de entrada principal, lo que hace que la higiene de contraseñas y la autenticación multifactor sean algunas de las defensas más efectivas disponibles.
  • Las organizaciones deben priorizar la monitorización de señales tempranas de intrusión, no solo la etapa final y más visible del ransomware.

Entender cómo funciona realmente la infraestructura del ransomware, en lugar de tratar cada ataque como un evento aislado, brinda tanto a las personas como a las organizaciones un camino más claro para detectar amenazas antes de que escalen. Mantenerse informado sobre estos patrones compartidos es una de las formas más sencillas de mantenerse un paso adelante.