Ha surgido una peligrosa nueva versión del ransomware LockBit, que ataca múltiples sistemas operativos y amenaza a empresas en todo el mundo. LockBit 5.0, lanzado en septiembre de 2025, representa una gran actualización de una de las familias de ransomware más activas en los últimos años.

Esta versión es compatible con plataformas Windows, Linux y ESXi, lo que la convierte en una amenaza versátil capaz de atacar entornos de infraestructura diversos.

El ransomware opera bajo un modelo de ransomware como servicio (RaaS), empleando un esquema de doble extorsión que cifra archivos y, al mismo tiempo, roba datos para presionar a las víctimas y que paguen rescates.

El malware apunta principalmente al sector empresarial de EE.UU., donde las empresas privadas representan aproximadamente el 67% de las víctimas registradas.

Otros sectores afectados incluyen manufactura, salud, educación, servicios financieros y agencias gubernamentales.

Desde diciembre de 2025, el sitio de filtración de datos de LockBit ha documentado 60 entradas de víctimas, lo que demuestra el impacto generalizado de esta campaña.

Lo que hace que esta versión sea particularmente preocupante es su capacidad anunciada para funcionar en todas las versiones de Proxmox, una plataforma de virtualización de código abierto cada vez más adoptada por empresas como alternativa a los hipervisores comerciales.

Los analistas de Acronis identificaron que LockBit 5.0 comparte similitudes con su predecesor, la versión 4, pero introduce capacidades mejoradas de evasión de defensas y velocidades de cifrado más rápidas.

La variante para Windows emplea las técnicas de anti-análisis más sofisticadas entre todas las versiones, incluyendo mecanismos de empaquetado, desenganche de DLL, hueco de proceso y parcheo de Event Tracing for Windows.

Además, el malware borra todos los registros del sistema disponibles para eliminar evidencia forense. Las versiones para Linux y ESXi, aunque no están empaquetadas, cifran casi todas sus cadenas para evitar la detección.

Las tres versiones para plataformas utilizan algoritmos de cifrado idénticos, combinando XChaCha20 para cifrado simétrico con Curve25519 para cifrado asimétrico. Cada archivo cifrado recibe una extensión generada aleatoriamente de 16 caracteres, lo que dificulta su identificación.

El ransomware crea múltiples hilos de cifrado según el número de procesadores del sistema, asegurando un cifrado rápido de archivos en los entornos infectados.

Mecanismos avanzados de evasión y persistencia

La versión para Windows demuestra tácticas de evasión particularmente sofisticadas diseñadas para evitar software de seguridad y herramientas de análisis.

El malware utiliza ofuscación de Booleanos-Aritméticos Mixtos envuelta alrededor de hashing dependiente de la dirección de retorno para ocultar su verdadera funcionalidad.

Realiza comprobaciones de geolocalización para evitar infectar sistemas en países postsoviéticos, un rasgo común entre las familias de malware con origen en Rusia. Antes de comenzar el cifrado, LockBit verifica la configuración de idioma del sistema y la compara con identificadores de idioma ruso.

El ransomware emplea hueco de proceso inyectándose en la utilidad legítima de Windows defrag.exe, lo que le permite ejecutarse bajo la apariencia de un proceso de sistema confiable.

Tras completar las operaciones de cifrado, LockBit parchea la función EtwEventWrite reemplazando su primer byte con una instrucción de retorno, deshabilitando efectivamente el Event Tracing for Windows para el monitoreo. Luego, borra sistemáticamente todos los registros de eventos utilizando la función EvtClearLog, eliminando rastros de sus actividades.

El análisis de la infraestructura reveló que el sitio de filtración de datos de LockBit estaba alojado en una dirección IP previamente asociada con operaciones del malware SmokeLoader. Esta conexión sugiere una posible compartición de infraestructura o cooperación entre diferentes grupos de ciberdelincuentes, una práctica común en los mercados clandestinos.

Las organizaciones deberían implementar controles de seguridad multicapa, incluyendo copias de seguridad offline periódicas, segmentación de red, soluciones de detección y respuesta en endpoints, y una gestión oportuna de parches. La formación en concienciación sobre seguridad para los empleados sigue siendo crítica para prevenir el acceso inicial a través de campañas de phishing. Los administradores de sistemas deben monitorear comportamientos sospechosos de procesos, actividad inesperada de cifrado de archivos y intentos de deshabilitar mecanismos de registro de seguridad.