La operación de ransomware como servicio (RaaS) Hunters International anunció el cierre oficial de sus operaciones y ofrecerá descifradores gratuitos para ayudar a las víctimas a recuperar sus datos sin pagar un rescate. 

La noticia llega después de meses en los que Hunters International ha sido protagonista de ataques a entidades como CCOO, El Corte Inglés y Legálitas. En el caso del sindicato, los atacantes lograron robar y filtrar alrededor de 570 GB de datos sensibles en la dark web.

En el caso de México, el sitio de filtraciones del grupo documentó ataques a empresas como Kenworth del Sur, Vermeer México, Quálitas México, Cosmocolor e IDESA Group, S.A. de C.V., demostrando así su alcance internacional y su capacidad para afectar distintos sectores económicos. 

El malware utilizado por Hunters International se destacaba por su versatilidad y capacidad para operar en múltiples entornos. Era compatible con diversos sistemas operativos y arquitecturas, incluyendo servidores Windows, Linux, FreeBSD, SunOS y VMware ESXi, y podía ejecutarse en plataformas x64, x86 y ARM, lo que lo convertía en una amenaza de gran alcance para infraestructuras tecnológicas de distinta índole.

"Tras una cuidadosa consideración y a la luz de los recientes acontecimientos, hemos decidido cerrar el proyecto Hunters International. Esta decisión no se tomó a la ligera y reconocemos el impacto que tiene en las organizaciones con las que hemos interactuado", afirma la banda de ciberdelincuentes en un comunicado publicado en su sitio web en la Dark Web. "Como gesto de buena voluntad y para ayudar a las personas afectadas por nuestras actividades anteriores, ofrecemos software de descifrado gratuito a todas las empresas afectadas por nuestro ransomware. Nuestro objetivo es garantizar que puedan recuperar sus datos cifrados sin la carga de pagar rescates". 

Los actores de amenazas también eliminaron todas las entradas del portal de extorsión y añadieron que las empresas cuyos sistemas fueron cifrados en los ataques de ransomware Hunters International pueden solicitar herramientas de descifrado y guías de recuperación en el sitio web oficial de la banda.

Aunque el grupo de ransomware no explica a qué "acontecimientos recientes" se refiere, el anuncio sigue a un comunicado del 17 de noviembre que afirmaba que Hunters International cerraría pronto debido al mayor escrutinio de las fuerzas del orden y la disminución de la rentabilidad.

La firma de inteligencia de amenazas Group-IB también reveló en abril que Hunters International estaba renovando su marca con planes para centrarse en el robo de datos y los ataques exclusivamente de extorsión, y que había lanzado una nueva operación exclusivamente de extorsión conocida como "World Leaks".

"A diferencia de Hunters International, que combinaba el cifrado con la extorsión, World Leaks opera como un grupo dedicado exclusivamente a la extorsión y utiliza una herramienta de exfiltración personalizada", declaró Group-IB en aquel momento, añadiendo que la nueva herramienta parece ser una versión mejorada de la herramienta de exfiltración de Storage Software utilizada por las filiales de ransomware de Hunters International.

Hunters International surgió a finales de 2023 y fue señalada por investigadores de seguridad y expertos en ransomware como una posible renovación de la marca Hive debido a las similitudes en su código. El malware del grupo de ransomware se dirige a una amplia gama de plataformas, como Windows, Linux, FreeBSD, SunOS y ESXi (servidores VMware), y también es compatible con arquitecturas x64, x86 y ARM. 

Project Closure and Free Decryption Software for Affected Companies

We, at Hunters International, wish to inform you of a significant decision regarding our operations. After careful consideration and in light of recent developments, we have decided to close the Hunters International project. This decision was not made lightly, and we recognize the impact it has on the organizations we have interacted with.

As a gesture of goodwill and to assist those affected by our previous activities, we are offering free decryption software to all companies that have been impacted by our ransomware. Our goal is to ensure that you can recover your encrypted data without the burden of paying ransoms.

We understand the challenges that ransomware attacks pose, and we hope that this initiative will help you regain access to your critical information swiftly and efficiently. To access the decryption tools and receive guidance on the recovery process, please visit our official website.

We appreciate your understanding and cooperation during this transition. Our commitment to supporting affected organizations remains our priority as we conclude our operations.

En los últimos dos años, Hunters International ha atacado a empresas de todos los tamaños, con exigencias de rescate que van desde cientos de miles hasta millones de dólares, dependiendo del tamaño de la organización atacada.

La banda de ransomware se ha atribuido la responsabilidad de casi 300 ataques en todo el mundo, lo que la convierte en una de las operaciones de ransomware más activas de los últimos años. 

Recuperación de los equipos infectados por ransomware

Hunters International ha sorprendido al publicar un mensaje en el que confirmaba el cierre de su proyecto actual. La banda explica que, tras una reflexión profunda y ante ciertos acontecimientos recientes, ha optado por abandonar el ransomware tal y como lo venían operando.

En su comunicado aseguran que la decisión no se ha tomado a la ligera y han reconocido el impacto que esto tendrá en las organizaciones afectadas.

Como gesto hacia las víctimas, la banda ha indicado que entregarán las claves para descifrar los equipos bloqueados sin ningún tipo de pago. Sin embargo, estas claves no están disponibles públicamente y deben solicitarse directamente a través de su sitio oficial.

Este detalle ha generado dudas entre los especialistas, ya que no es común que grupos de ciberdelincuentes ofrezcan herramientas de recuperación de forma gratuita tras abandonar sus actividades.

¿Un negocio que ya no es rentable?

El comunicado no ha aclarado los motivos concretos que han llevado a Hunters International a dejar el ransomware, aunque ya habían dado señales de que este modelo de ataque estaba perdiendo atractivo para ellos.

En abril, los líderes del grupo admitieron que el ransomware se había vuelto poco prometedor, de baja conversión y extremadamente arriesgado, debido a la presión internacional.

Además, advirtieron que la lucha contra este tipo de ataques estaba dejando de ser virtual para convertirse en una persecución real, incluso por parte de los propios estados donde operan los grupos.

Esta evolución del contexto hizo que las posibilidades de continuar con éxito en el mundo del ransomware fueran cada vez menores.

Según comentaron, la calificación del ransomware como terrorismo y las sanciones a los países que lo toleran están afectando directamente a la viabilidad del negocio. Por ello, la banda ha decidido adaptarse a los tiempos y abandonar un enfoque cada vez más complicado de mantener.

Ransomware, ordenadores infectados y… la sombra de World Leaks

Aunque Hunters International ha cerrado oficialmente, hay indicios claros de que su actividad delictiva no ha terminado. La firma de inteligencia Group-IB ya había revelado que el grupo estaba reorientando sus operaciones hacia la extorsión pura, dejando atrás el cifrado de archivos. Bajo el nombre de World Leaks, el nuevo proyecto consiste en el robo de datos para después amenazar a las víctimas con publicarlos si no pagan.

La web de World Leaks en la dark web mantiene la estética de Hunters International y ya exhibe una lista de más de treinta víctimas. Este nuevo modelo tiene la ventaja de ser más rentable y con menor exposición para los delincuentes, ya que no exige mantener un malware activo en los sistemas comprometidos.

Todo indica que la banda simplemente ha evolucionado para adaptarse a un entorno más hostil para los atacantes tradicionales.

Fuente: BC 

Vía:

https://blog.segu-info.com.ar/2025/07/el-ransomware-hunters-international.html 

https://bitlifemedia.com/2025/07/ransomware-cierre-liberar-equipos-infectados/