RansomHub y LockBit: Auge, Caída y Resurgimiento del Ecosistema RaaS

El ecosistema RaaS es el motor industrial del ransomware moderno: operadores construyen, afiliados atacan, y las víctimas financian la siguiente iteración

El ransomware dejó de ser obra de grupos aislados. Desde 2019, el modelo Ransomware-as-a-Service (RaaS) convirtió los ataques de cifrado y extorsión en una industria con división de trabajo, programas de afiliados, soporte técnico y hasta bug bounties. LockBit dominó este ecosistema durante tres años (2021-2024) hasta que Operation Cronos desmanteló su infraestructura. En el vacío resultante, RansomHub emergió como el sucesor dominante, absorbiendo afiliados y refinando el modelo con condiciones más agresivas.

Este artículo analiza ambos grupos, el modelo RaaS que los sustenta, las técnicas ATT&CK que comparten y las defensas que pueden frenar esta maquinaria.

El modelo RaaS explicado

Ransomware-as-a-Service funciona como un negocio de franquicias criminales:

OPERADORES (Developers)
├── Desarrollan el ransomware (builder, encryptor, decryptor)
├── Mantienen infraestructura (leak site, panel de negociación, C2)
├── Reclutan afiliados en foros underground
└── Cobran comisión del rescate (10-30%)

AFILIADOS (Affiliates / Pentesters)
├── Realizan la intrusión inicial (phishing, exploit, access broker)
├── Ejecutan lateral movement y escalada de privilegios
├── Despliegan el ransomware en la red comprometida
├── Gestionan negociación (a veces con soporte del operador)
└── Reciben 70-90% del pago del rescate

INITIAL ACCESS BROKERS (IABs)
├── Venden accesos comprometidos (RDP, VPN, webshell)
├── Precio: 500-50.000 USD según tamaño de víctima
└── Alimentan a múltiples grupos RaaS simultáneamente

La evolución del modelo de extorsión ha pasado por varias generaciones:

Generación	Modelo	Ejemplo	Periodo
Gen 1	Cifrado simple	CryptoLocker	2013-2016
Gen 2	Cifrado + leak site (doble extorsión)	Maze	2019-2020
Gen 3	Doble extorsión + DDoS (triple)	Avaddon, SunCrypt	2020-2021
Gen 4	Extorsión sin cifrado (exfiltración pura)	BianLian, Karakurt	2022-2024
Gen 5	Extorsión multi-canal (contacto a clientes, reguladores, prensa)	ALPHV, RansomHub	2023-presente

LockBit: ascenso del grupo RaaS más prolífico

LockBit operó como el grupo de ransomware más activo del mundo entre 2021 y febrero de 2024, responsable de aproximadamente el 25-30% de todos los ataques de ransomware documentados en ese periodo.

Ficha del grupo

Campo	Detalle
Nombres	LockBit, LockBit 2.0, LockBit 3.0 (LockBit Black), LockBit Green
Líder	LockBitSupp (identificado como Dmitry Yuryevich Khoroshev, Rusia)
Tipo	Operador RaaS con programa de afiliados
Motivación	Financiero
Activo desde	Septiembre 2019 (como "ABCD ransomware")
Afiliados estimados	100-180 activos (pico en 2023)
Víctimas confirmadas	2.000+ organizaciones (datos de leak site + reportes)
Sectores	Salud, educación, gobierno, manufactura, servicios financieros
Regiones	Global (excepto CIS, restricción típica en RaaS ruso)
Rescate medio	100.000-1.500.000 USD
Ingresos estimados	120+ millones USD (según DoJ)
Estado actual	Degradado tras Operation Cronos. Intentos de resurgimiento fallidos

Evolución técnica de LockBit

LockBit 1.0 (2019-2021): Cifrado AES-256 + RSA-2048. Sin leak site inicialmente. Velocidad de cifrado competitiva. Reclutamiento básico en foros rusos.

LockBit 2.0 (junio 2021): Introducción de StealBit (herramienta de exfiltración propia). Leak site con countdown timers. Cifrado más rápido (auto-proclamado como el más rápido del mercado). Programa de afiliados estructurado con entrevistas.

LockBit 3.0 / LockBit Black (junio 2022): Código basado parcialmente en BlackMatter/DarkSide. Anti-analysis mejorado (anti-debugging, anti-VM). Bug bounty program: 1.000-1.000.000 USD por vulnerabilidades en su infraestructura. Opciones de pago: extender deadline, destruir datos, descargar datos exfiltrados.

LockBit Green (enero 2023): Variante basada en código filtrado de Conti. Dirigida a servidores Linux y VMware ESXi. Demostró capacidad de absorber y reutilizar código de competidores.

Modelo de afiliados LockBit

CONDICIONES DEL PROGRAMA:
├── Split: 80/20 (afiliado/operador) para rescates < 500K USD
├── Split: 75/25 para rescates > 500K USD
├── Panel privado para cada afiliado (builds, negociación, stats)
├── Builder configurable: extensiones, exclusiones, nota de rescate
├── Reglas: prohibido atacar hospitales (parcialmente ignorado)
├── Reglas: prohibido atacar países CIS
├── Veto: LockBitSupp podía vetar afiliados por mala conducta
└── Soporte: chat directo con el operador para problemas técnicos

LockBit: Operation Cronos y el takedown

El 19 de febrero de 2024, una coalición de 10 agencias de 11 países ejecutó Operation Cronos, la operación de takedown más significativa contra un grupo RaaS.

Cronología de Operation Cronos

Fecha	Evento
19 feb 2024	Takedown coordinado: NCA (UK), FBI, Europol + 10 agencias seizing 34 servidores en 8 países
20 feb 2024	NCA publica datos internos de LockBit en su propio leak site (acción de trolling psicológico)
20 feb 2024	Se revelan 193 cuentas de criptomonedas vinculadas a LockBit
20 feb 2024	Publicación de claves de descifrado: 2.500+ víctimas pueden recuperar datos
24 feb 2024	LockBitSupp publica un mensaje largo explicando que "solo perdió servidores PHP"
7 mayo 2024	DoJ identifica a LockBitSupp como Dmitry Yuryevich Khoroshev (Voronezh, Rusia)
7 mayo 2024	Recompensa de 10 millones USD por información sobre Khoroshev
24 jun 2024	Arresto de afiliado clave en España
Oct 2024	Arresto de 4 sospechosos adicionales (Europa del Este)

Impacto de Operation Cronos

Lo que la operación destruyó:

• Infraestructura: 34 servidores, panel de afiliados, leak site, herramientas de negociación
• Datos operacionales: Chat logs con 7.000+ víctimas expuestos
• Credibilidad: Las agencias usaron el propio leak site de LockBit para publicar información contra el grupo (una humillación deliberada)
• Claves de descifrado: Recuperadas y distribuidas a víctimas
• Red de afiliados: Más de 200 cuentas crypto congeladas, múltiples arrestos

Lo que la operación reveló:

• LockBit tenía datos de víctimas que ya habían pagado el rescate (no los borraba como prometía)
• El código fuente de LockBit 3.0 ya había sido filtrado en septiembre 2022 por un developer descontento
• La infraestructura era más vulnerable de lo que el grupo proyectaba

LockBit: intentos de resurgimiento

Cinco días después del takedown, LockBitSupp reactivó operaciones con nuevos servidores. Publicó un mensaje largo atribuyendo el éxito de Operation Cronos a una vulnerabilidad PHP no parcheada en sus servidores (CVE-2023-3824).

LockBit 4.0 y el declive

TIMELINE POST-CRONOS:
├── Feb 2024: nuevos servidores, leak site restaurado
├── Mar 2024: ataques reclamados, pero volumen drásticamente reducido
├── May 2024: identidad de Khoroshev revelada, recompensa 10M USD
├── Jun-Sep 2024: afiliados migran a RansomHub, PLAY, Akira
├── Oct 2024: arrestos adicionales erosionan la red de afiliados
├── Dic 2024: LockBit anuncia "LockBit 4.0" pero sin tracción
├── 2025: actividad mínima, credibilidad destruida
└── Estado actual: operacionalmente irrelevante

El problema fundamental no fue técnico, fue de confianza. Operation Cronos demostró que:

1. Los operadores no protegían los datos de las víctimas pagadoras
2. La infraestructura tenía vulnerabilidades básicas sin parchear
3. Las agencias tenían acceso profundo durante meses antes del takedown

Los afiliados, que son la fuerza productiva real de cualquier operación RaaS, migraron masivamente.

RansomHub: el sucesor dominante

RansomHub apareció en febrero de 2024, exactamente cuando LockBit fue desmantelado. No es coincidencia. El grupo se posicionó explícitamente como alternativa para afiliados desplazados, ofreciendo condiciones más favorables y una plataforma técnicamente superior.

Ficha del grupo

Campo	Detalle
Nombres	RansomHub, RansomHub (no tiene aliases documentados significativos)
Tipo	Operador RaaS
Motivación	Financiero
Primera aparición	Febrero 2024
Origen probable	Ex-afiliados de ALPHV/BlackCat y Knight/Cyclops ransomware
Afiliados estimados	60-100+ activos (2024-2025)
Víctimas confirmadas	600+ organizaciones (leak site, hasta Q2 2025)
Sectores	Salud, infraestructura crítica, gobierno, educación, manufactura
Regiones	Global (restricción: CIS, Cuba, Corea del Norte, China)
Rescate medio	50.000-2.000.000 USD
Estado actual	Activo y dominante en el ecosistema RaaS (2025)

Origen y conexiones

RansomHub tiene vínculos técnicos con dos operaciones previas:

• Knight/Cyclops ransomware: El código fuente de Knight fue vendido en foros underground en febrero 2024. Análisis de Symantec y Cisco Talos confirmaron superposición de código significativa con RansomHub.
• ALPHV/BlackCat: Tras el exit scam de ALPHV en marzo 2024 (donde el operador robó el rescate de 22 millones USD de Change Healthcare a sus propios afiliados), muchos afiliados de ALPHV migraron a RansomHub.

Modelo de afiliados RansomHub

CONDICIONES (más agresivas que LockBit):
├── Split: 90/10 (afiliado recibe 90%, operador solo 10%)
├── Pago: el afiliado recibe primero (directamente de la víctima)
├── Plataforma: panel web con builder, chat de negociación, estadísticas
├── Multiplataforma: Windows, Linux, ESXi (Go + C++)
├── Regla CIS: prohibido atacar Rusia, CIS, Cuba, DPRK, China
├── Sin restricción sectorial explícita (salud atacado activamente)
└── Garantía: si la víctima paga, los datos se borran (claim no verificable)

El split 90/10 fue clave para atraer afiliados. LockBit ofrecía 75-80% y ALPHV ofrecía 80-90% dependiendo del volumen. RansomHub simplificó: 90% para todos, sin escalas.

RansomHub: técnicas y arsenal

Vectores de acceso inicial

RansomHub y sus afiliados utilizan múltiples vectores:

• Exploits en VPN/perimetrales: Citrix Bleed (CVE-2023-4966), Fortinet FortiOS (CVE-2024-3400), Ivanti Connect Secure (CVE-2024-21887)
• Credenciales comprometidas: RDP expuesto, VPN con credenciales filtradas
• Initial Access Brokers: Compra de accesos en foros (Genesis Market, Russian Market)
• Phishing: Campañas de spear-phishing dirigidas a IT admins

Cadena de ataque típica

FASE 1 — ACCESO INICIAL (T1190, T1133, T1566)
│  Exploit VPN, RDP comprometido, o phishing
│
FASE 2 — RECONOCIMIENTO INTERNO (T1018, T1069, T1087)
│  BloodHound, ADRecon, net commands
│  Identificar Domain Controllers, backups, file servers
│
FASE 3 — ESCALADA Y MOVIMIENTO (T1068, T1021, T1047)
│  Mimikatz, PsExec, WMI, RDP lateral
│  Compromiso de Domain Admin
│
FASE 4 — DESACTIVAR DEFENSAS (T1562, T1112, T1489)
│  Desactivar EDR (BYOVD con driver vulnerable)
│  Borrar shadow copies (vssadmin, wmic)
│  Detener servicios de backup (Veeam, Acronis)
│
FASE 5 — EXFILTRACIÓN (T1567, T1048)
│  Rclone, WinSCP, FileZilla a Mega/cloud storage
│  Datos críticos: AD, finanzas, legal, PII clientes
│
FASE 6 — CIFRADO E IMPACTO (T1486, T1490)
│  Despliegue via GPO o PsExec masivo
│  Cifrado ChaCha20 + Curve25519
│  Nota de rescate con enlace .onion
│
FASE 7 — EXTORSIÓN MULTI-CANAL
   Leak site con countdown
   Contacto directo a clientes de la víctima
   Amenaza de notificar reguladores (GDPR, HHS)

Herramientas observadas

Herramienta	Propósito	Fase
Mimikatz	Credential dumping	Escalada
Cobalt Strike	C2 framework	Post-explotación
BloodHound	AD enumeration	Reconocimiento
PsExec / WMI	Lateral movement	Movimiento
Rclone	Data exfiltration	Exfiltración
Process Hacker	Disable AV/EDR	Evasión
BYOVD (driver vulnerable)	Kernel-level EDR bypass	Evasión
PCHunter / PowerTool	Terminate security processes	Evasión
Netscan / Advanced IP Scanner	Network discovery	Reconocimiento

Capacidad multiplataforma

RansomHub soporta cifrado en:

• Windows: Ejecutable PE, cifrado ChaCha20 + Curve25519
• Linux: ELF binary, targeting file servers y bases de datos
• VMware ESXi: Variante dedicada que cifra VMDKs directamente, impactando toda la infraestructura virtualizada

La variante ESXi es particularmente destructiva: un solo host ESXi puede alojar decenas de VMs de producción.

Comparativa LockBit vs RansomHub

Aspecto	LockBit 3.0	RansomHub
Periodo dominante	2021-2024	2024-presente
Split afiliado	75-80%	90%
Quién recibe pago primero	Operador	Afiliado
Plataformas	Windows, Linux, ESXi, macOS (limitado)	Windows, Linux, ESXi
Lenguaje del ransomware	C/C++ (basado en BlackMatter)	Go + C++
Cifrado	AES-256 + RSA-2048	ChaCha20 + Curve25519
Velocidad cifrado	Muy rápida (intermitent encryption)	Rápida (intermitent encryption)
Leak site	.onion con mirrors	.onion
Bug bounty	Sí (1K-1M USD)	No documentado
Exfiltración integrada	StealBit (herramienta propia)	Herramientas genéricas (Rclone)
Restricción geográfica	CIS	CIS + Cuba + DPRK + China
Anti-análisis	Avanzado (anti-debug, anti-VM)	Moderado
Estado actual	Irrelevante post-Cronos	Activo, dominante
Afiliados pico	150-180	60-100+
Víctimas totales	2.000+	600+

Técnicas ATT&CK del ecosistema RaaS

Las operaciones RaaS comparten un conjunto de TTPs relativamente estandarizado. Los afiliados reutilizan playbooks entre grupos.

Táctica	Técnica	ID ATT&CK	Uso en RaaS
Initial Access	Exploit Public-Facing Application	T1190	VPN exploits (Citrix, Fortinet, Ivanti)
Initial Access	External Remote Services	T1133	RDP, VPN con credenciales robadas
Initial Access	Phishing	T1566	Spear-phishing a IT admins
Initial Access	Valid Accounts	T1078	Credenciales de IABs
Execution	Command and Scripting Interpreter	T1059	PowerShell, CMD, bash
Execution	Windows Management Instrumentation	T1047	Despliegue lateral via WMI
Persistence	Create Account	T1136	Cuentas backdoor en AD
Privilege Escalation	Exploitation for Privilege Escalation	T1068	Local exploits, Mimikatz
Defense Evasion	Impair Defenses	T1562	Desactivar EDR/AV
Defense Evasion	Modify Registry	T1112	Desactivar protecciones Windows
Credential Access	OS Credential Dumping	T1003	Mimikatz, LSASS dump
Discovery	Remote System Discovery	T1018	Netscan, ADRecon
Discovery	Permission Groups Discovery	T1069	BloodHound, net group
Lateral Movement	Remote Services	T1021	RDP, SMB, WinRM
Lateral Movement	Lateral Tool Transfer	T1570	Copia de herramientas entre hosts
Collection	Data from Local System	T1005	Recopilación pre-exfiltración
Exfiltration	Exfiltration Over Web Service	T1567	Rclone a Mega, cloud storage
Impact	Data Encrypted for Impact	T1486	Cifrado ransomware
Impact	Inhibit System Recovery	T1490	Borrar shadow copies, backups
Impact	Service Stop	T1489	Detener servicios de backup y DB

Técnica destacada: BYOVD (Bring Your Own Vulnerable Driver)

Una técnica cada vez más prevalente en operaciones RaaS modernas (T1068 + T1562.001):

BYOVD — FLUJO DE ATAQUE:
1. Afiliado despliega driver legítimo pero vulnerable (firmado digitalmente)
   Ejemplos: gdrv.sys (Gigabyte), mhyprot2.sys (Genshin Impact anti-cheat)
2. Windows carga el driver porque tiene firma válida
3. El atacante explota la vulnerabilidad del driver para obtener acceso kernel
4. Desde kernel mode: termina procesos EDR, desactiva hooks de seguridad
5. Con EDR neutralizado: despliega el ransomware sin detección

RansomHub ha sido observado usando esta técnica de forma consistente. Microsoft mantiene una lista de drivers bloqueados (vulnerable driver blocklist) pero la cobertura es incompleta.

Otros actores del ecosistema RaaS (2024-2025)

El ecosistema no es un duopolio. Varios grupos operan simultáneamente:

Play (PlayCrypt)

• Activo desde junio 2022
• Cifrado intermitente (rápido, dificulta detección basada en entropy)
• Foco en Latinoamérica y Europa
• Usa herramientas propias (Grixba para reconocimiento, VSS Copying Tool)
• Afiliados de menor volumen pero más selectivos

Black Basta

• Activo desde abril 2022, conexiones con ex-miembros de Conti
• Foco en grandes empresas (Fortune 500)
• Usa QakBot/QBot como loader inicial (pre-takedown de QBot)
• Técnicas de social engineering via Microsoft Teams
• Víctimas notables: Hyundai Europe, Capita, ABB

Akira

• Activo desde marzo 2023
• Código vinculado a Conti (análisis de funciones de cifrado)
• Leak site con estética retro (terminal verde)
• Multiplataforma: Windows y Linux/ESXi
• Foco en PYMES y sector educativo
• Split afiliado: 80/20

Medusa

• Activo desde junio 2021
• Modelo de triple extorsión (cifrado + leak + DDoS)
• Usa webshells para persistencia inicial
• Foco en sector salud y educación
• Publicación parcial de datos como presión adicional

Detección y defensa contra RaaS

Detección temprana (antes del cifrado)

Las operaciones RaaS siguen patrones predecibles. La ventana de detección existe entre el acceso inicial y el cifrado (típicamente 5-14 días):

Indicadores de reconocimiento interno:

• Ejecución de BloodHound (SharpHound collector): eventos de acceso masivo a objetos AD
• Uso de net group "Domain Admins" /domain y comandos similares
• Escaneos de red internos desde hosts que no son scanners autorizados

Indicadores de movimiento lateral:

• Autenticaciones RDP entre workstations (no es patrón normal)
• Uso de PsExec/WMI desde hosts comprometidos
• Creación de servicios remotos (T1569.002)

Indicadores de preparación para cifrado:

• Ejecución de vssadmin delete shadows /all /quiet
• Detención de servicios de backup: Veeam, Acronis, SQL Server, Exchange
• Instalación de drivers no reconocidos (BYOVD)
• Uso de Rclone o transferencias masivas a servicios cloud

Reglas de detección (Sigma)

# Detección de borrado de shadow copies (pre-ransomware)
title: Shadow Copy Deletion via VSSAdmin or WMIC
logsource:
  category: process_creation
  product: windows
detection:
  selection_vssadmin:
    CommandLine|contains|all:
      - 'vssadmin'
      - 'delete'
      - 'shadows'
  selection_wmic:
    CommandLine|contains|all:
      - 'wmic'
      - 'shadowcopy'
      - 'delete'
  condition: selection_vssadmin or selection_wmic
level: critical
tags:
  - attack.impact
  - attack.t1490

# Detección de Rclone (exfiltración)
title: Rclone Execution with Cloud Storage Config
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains:
      - 'rclone'
      - 'copy'
    CommandLine|contains:
      - 'mega'
      - 'gdrive'
      - 'onedrive'
      - 's3'
  condition: selection
level: high
tags:
  - attack.exfiltration
  - attack.t1567

Controles defensivos prioritarios

Control	Efecto	Técnica mitigada
MFA en VPN y RDP	Bloquea acceso con credenciales robadas	T1133, T1078
Patch management agresivo	Cierra exploits perimetrales	T1190
Network segmentation	Limita lateral movement	T1021
EDR con protección anti-tampering	Resiste BYOVD y terminación	T1562
Backup offline/immutable	Garantiza recovery sin pagar	T1490, T1486
LAPS (Local Admin Password Solution)	Previene reutilización de creds locales	T1003
Application allowlisting	Bloquea herramientas del atacante	T1059
Monitorización de AD	Detecta reconocimiento con BloodHound	T1069, T1087
Bloqueo de drivers vulnerables	Mitiga BYOVD	T1068
DNS sinkholing	Bloquea C2 conocidos	T1071
Canary files	Detecta cifrado en etapa temprana	T1486

Plan de respuesta específico para RaaS

PLAYBOOK DE RESPUESTA A RANSOMWARE RaaS:

1. CONTENCIÓN INMEDIATA (primeros 30 minutos)
   □ Aislar hosts afectados (no apagar, mantener evidencia en RAM)
   □ Bloquear IoCs conocidos en firewall/proxy
   □ Desconectar backup storage de la red
   □ Revocar credenciales de cuentas comprometidas
   □ Notificar al equipo legal y de comunicación

2. EVALUACIÓN (1-4 horas)
   □ Identificar variante de ransomware (nota, extensión, leak site)
   □ Determinar alcance: cuántos hosts, qué datos exfiltrados
   □ Verificar integridad de backups
   □ Consultar nomoreransom.org para decryptors disponibles
   □ Documentar timeline con evidencias

3. ERRADICACIÓN (24-72 horas)
   □ Identificar vector de acceso inicial
   □ Limpiar persistencia (cuentas creadas, tareas programadas)
   □ Parchear vulnerabilidad explotada
   □ Reset de credenciales AD (incluyendo KRBTGT 2 veces)
   □ Verificar Golden Ticket / Silver Ticket no comprometidos

4. RECOVERY (variable)
   □ Restaurar desde backups verificados
   □ Reconstruir hosts desde imágenes limpias (no "limpiar")
   □ Monitorización intensiva post-recovery (30 días)
   □ Validar que no hay persistencia residual

5. POST-INCIDENTE
   □ Lessons learned (sin culpar individuos)
   □ Actualizar controles basados en TTPs observados
   □ Reportar a CERT/CSIRT nacional si aplica
   □ Considerar notificación a afectados (GDPR, requisitos sectoriales)

Futuro del ecosistema RaaS

El ecosistema RaaS continuará evolucionando en varias direcciones:

Fragmentación post-takedown: Cada operación de takedown exitosa (Hive, ALPHV exit scam, LockBit/Cronos) genera una diáspora de afiliados que se redistribuyen. El resultado no es menos ransomware, sino más grupos más pequeños y descentralizados.

Extorsión sin cifrado: Grupos como BianLian y Karakurt han demostrado que la exfiltración pura (sin cifrado) es viable. El cifrado atrae atención de law enforcement; la exfiltración sola es más sigilosa.

AI en operaciones ofensivas: Uso de LLMs para crafting de phishing más convincente, análisis automatizado de datos exfiltrados para maximizar presión, y generación de variantes evasivas. Todavía incipiente pero en crecimiento.

Endurecimiento de infraestructura criminal: Tras Operation Cronos, los nuevos grupos RaaS invierten más en seguridad operacional: hosting en jurisdicciones no cooperativas, compartimentación de infraestructura, cero-trust interno entre operador y afiliados.

Respuesta regulatoria: Legislación anti-pago de rescate (Australia, UK considerándolo), obligaciones de reporte (NIS2 en EU, CIRCIA en US), y sanciones contra grupos específicos complican el flujo de dinero pero no lo eliminan.

La lección de LockBit es que ningún grupo RaaS es invulnerable. Operation Cronos demostró que la cooperación internacional puede desmantelar infraestructura criminal a escala. Pero la lección de RansomHub es igualmente clara: el modelo de negocio RaaS es resiliente. Cuando un operador cae, otro ocupa su lugar en semanas.

La defensa efectiva no depende de que desaparezca el ecosistema RaaS (no lo hará a corto plazo), sino de hacer que cada organización individual sea un objetivo demasiado costoso para los afiliados. Backups immutables, segmentación, MFA, detección temprana y planes de respuesta ensayados son la diferencia entre un intento de ransomware y un incidente catastrófico.

Recursos y referencias

• CISA: StopRansomware: RansomHub Ransomware (Advisory AA24-242A)
• NCA: Operation Cronos (comunicado oficial)
• DoJ: LockBit Disruption y Khoroshev Indictment
• Cisco Talos: RansomHub Analysis (análisis técnico del ransomware)
• Symantec: RansomHub: New Ransomware with Links to Knight
• MITRE ATT&CK: LockBit Software Entry (S1051)
• No More Ransom: nomoreransom.org (decryptors gratuitos)
• Ransomware.live: ransomware.live (tracking de víctimas y grupos activos)
• ENISA: Threat Landscape for Ransomware Attacks (informe anual)
• MalwareIntel: Cadena de infección ransomware (artículo relacionado)