La mayoría de los titulares sobre ransomware se centran en el mismo puñado de nombres conocidos, pero una categoría más silenciosa de actores de amenazas está demostrando ser igual de dañina. Los grupos de ransomware menos conocidos están abandonando cada vez más las extensas redes de afiliados que hicieron famosos a grupos como LockBit y Cl0p, optando en su lugar por equipos pequeños y disciplinados que son más difíciles de infiltrar y más difíciles de predecir. Royal, un grupo que surgió alrededor de septiembre, es uno de los ejemplos más claros de este cambio, y ofrece un caso de estudio útil sobre por qué ser más pequeño no significa ser más seguro para las empresas que estos grupos tienen como objetivo.

Un modelo de negocio diferente: equipos cerrados en lugar de afiliados

La mayoría de las grandes operaciones de ransomware funcionan con un modelo de afiliados, o ransomware como servicio. Los desarrolladores principales crean y mantienen el malware, y luego lo licencian a un elenco rotativo de afiliados que llevan a cabo las intrusiones reales a cambio de una parte del rescate. Es una estructura eficiente que permite que una sola pieza de malware se escale a través de docenas o cientos de ataques simultáneos, pero también crea puntos débiles. Los afiliados se vuelven descuidados, filtran detalles o son arrestados, y las fuerzas del orden han tenido un éxito real desmantelando estas redes al perseguir el eslabón más débil.

Royal se salta ese modelo por completo. En lugar de reclutar una amplia base de afiliados, el grupo opera con un equipo central más pequeño y cohesionado que se cree que incluye a antiguos miembros de Conti, una de las operaciones de ransomware más prolíficas y técnicamente sofisticadas antes de fragmentarse. Ese pedigrí importa. Un grupo construido en torno a operadores experimentados que ya saben cómo moverse por redes corporativas, evadir la detección y negociar rescates no necesita escala para ser efectivo. Necesita disciplina, y una estructura cerrada es más fácil de mantener disciplinada.

Para los defensores, esto es un cambio significativo en el panorama de amenazas. Los grupos impulsados por afiliados a menudo dejan un rastro de tácticas inconsistentes porque muchas personas diferentes están usando el mismo conjunto de herramientas. Un equipo cerrado como Royal, por el contrario, tiende a operar con más consistencia y más seguridad operativa, lo que puede hacer que su actividad sea más difícil de identificar y atribuir en las etapas iniciales de una intrusión.

La doble extorsión sigue siendo el hilo conductor

A pesar de las diferencias estructurales, Royal comparte una táctica con casi todos los demás grupos de ransomware activos en la actualidad: la doble extorsión. En lugar de simplemente cifrar los archivos de una víctima y exigir el pago de una clave de descifrado, el grupo primero exfiltra datos sensibles de la red. Si no se paga el rescate, la amenaza no son solo archivos bloqueados, sino la publicación pública de los datos robados, que pueden incluir registros de clientes, información financiera o comunicaciones internas.

Esta campaña de presión de dos frentes se ha convertido en el estándar de la industria porque funciona. Incluso las organizaciones con sólidos sistemas de respaldo que podrían restaurar los datos cifrados sin pagar siguen enfrentándose a las consecuencias reputacionales y regulatorias de una filtración de datos. Es una táctica que aparece en todo el ecosistema del ransomware independientemente del tamaño o la notoriedad de un grupo. Los recién llegados más pequeños la utilizan con la misma facilidad que los nombres establecidos. El reciente caso de M3RX ransomware reclamando una empresa de software española y robando cientos de gigabytes de datos sigue el mismo manual: infiltrarse, exfiltrar, cifrar y amenazar con la exposición hasta que se realice el pago.

Lo que este patrón les dice a las empresas es que el tamaño o la fama de un grupo de ransomware es un mal indicador del riesgo. Un equipo relativamente desconocido con un puñado de operadores hábiles puede ejecutar el mismo ataque de doble extorsión, con las mismas consecuencias, que un grupo que domina los titulares.

Qué significa esto para usted

Para los equipos de seguridad y los propietarios de empresas, la lección de Royal y grupos similares es que la monitorización de amenazas construida en torno a vigilar una lista corta de nombres famosos de ransomware está incompleta. Los grupos de ransomware menos conocidos con frecuencia están formados por operadores experimentados de organizaciones disueltas o renombradas, lo que significa que sus capacidades pueden rivalizar con las de nombres más grandes incluso sin una gran huella pública.

Esto también tiene implicaciones directas para cómo las organizaciones piensan sobre el acceso a la red. Debido a que la doble extorsión depende de que los atacantes puedan moverse por una red y extraer datos antes de activar el cifrado, limitar el movimiento lateral es una de las defensas más efectivas disponibles. Una segmentación de red sólida, controles de acceso estrictos y la monitorización de transferencias de datos salientes inusuales pueden detectar una intrusión antes de que se complete la exfiltración, incluso si la brecha inicial no se detiene. Las herramientas de acceso remoto seguro, incluidos los VPN configurados correctamente con autenticación multifactor, siguen siendo una de las formas más sencillas de reducir la superficie de ataque expuesta de la que dependen grupos como Royal para obtener un punto de apoyo inicial.

Conclusiones prácticas

Las empresas no necesitan rastrear cada grupo de ransomware oscuro por su nombre para protegerse, pero sí necesitan asumir que cualquier sistema sin parchear o punto de acceso remoto expuesto es una posible entrada para grupos de los que nunca han oído hablar. Unos pocos pasos prácticos marcan una diferencia real: mantener las herramientas de acceso remoto parcheadas y protegidas con autenticación multifactor, segmentar las redes para que una sola cuenta comprometida no pueda alcanzar datos sensibles, monitorizar transferencias de datos salientes grandes o inusuales que podrían indicar una exfiltración en curso, y mantener copias de seguridad fuera de línea que se prueben regularmente, no solo que se almacenen.

Los grupos de ransomware menos conocidos no son una nota al pie de los nombres más grandes que dominan las noticias. Como demuestran Royal y otras operaciones más pequeñas de equipos cerrados, la menor visibilidad a menudo viene acompañada de una mayor habilidad operativa, no de un menor riesgo. Tratar a cada grupo, familiar o no, con el mismo nivel de rigor defensivo es la forma más fiable de mantenerse un paso por delante de ellos.