Una nueva cepa de ransomware identificada como “Payload” ha surgido como una grave amenaza para organizaciones en múltiples sectores, combinando técnicas de cifrado robustas con capacidades antiforenses avanzadas.

El grupo detrás de este malware ha estado activo desde al menos el 17 de febrero de 2026 —el mismo día en que se compiló su binario para Windows— y la primera víctima apareció en su sitio de filtraciones en la dark web pocas horas después de su lanzamiento.

Desde entonces, Payload ha reclamado 12 víctimas en siete países, con un total de 2.603 gigabytes de datos supuestamente robados en manos de los operadores.

El grupo se enfoca en organizaciones medianas y grandes de los sectores de salud, bienes raíces, energía, telecomunicaciones y agricultura, principalmente en mercados emergentes.

Payload opera bajo un modelo de doble extorsión: roba datos de las redes de las víctimas antes de cifrar sus archivos y luego amenaza con publicarlos si no se paga un rescate.

Las víctimas son dirigidas a un portal de negociación basado en Tor con credenciales únicas para cada una, mientras que los archivos robados se publican en un blog de filtraciones independiente con un temporizador de cuenta regresiva.

El 15 de marzo de 2026, Payload reclamó públicamente un ataque al Royal Bahrain Hospital, alegando el robo de 110 GB de datos y estableciendo como plazo límite el 23 de marzo para recibir una respuesta.

Investigadores de Derp.Ca identificaron el malware mediante un análisis de ingeniería inversa completo tanto del binario para Windows como de la variante ELF para Linux.

Observaron que 17 motores de VirusTotal marcaron la muestra de Windows como Babuk, vinculándola con el código fuente de Babuk que se filtró públicamente en septiembre de 2021.

El ransomware también crea un mutex llamado MakeAmericaGreatAgain al iniciarse, un bloqueo de instancia única que evita que múltiples copias del malware se ejecuten en la misma máquina al mismo tiempo.

A pesar de sus orígenes en Babuk, Payload no es una copia directa. El desarrollador reemplazó el cifrado original HC-128 por ChaCha20 e incorporó capacidades antiforenses que no existían en el código original de Babuk.

Estas incluyen parchear cuatro funciones de seguimiento de eventos de Windows (ETW) en ntdll.dll para cegar herramientas de detección en endpoints, borrar todos los registros de eventos de Windows tras completar el cifrado y usar un truco de renombrado de flujo de datos alternativo (ADS) de NTFS para eliminar el binario de forma silenciosa sin dejar procesos hijos ni archivos temporales.

Estas adiciones hacen que la investigación forense sea significativamente más difícil para cualquier equipo que responda después del ataque.

Dentro del cifrado de Payload: Curve25519 se encuentra con ChaCha20

El esquema de cifrado es lo que hace que Payload sea realmente peligroso, ya que está diseñado para que la recuperación de archivos sin la clave privada del operador sea simplemente imposible.

El ransomware combina el intercambio de claves Curve25519 con el cifrado de flujo ChaCha20 para bloquear cada archivo con una clave completamente única. Para cada archivo, se genera un nuevo par de claves Curve25519 y un nonce de 12 bytes usando CryptGenRandom.

Un acuerdo de clave ECDH entre la clave por archivo y la clave pública codificada del operador produce un secreto compartido, que se usa directamente como clave de cifrado ChaCha20.

Los archivos mayores a 2 GB solo se cifran en un 20% —distribuido en fragmentos de 1 MB espaciados uniformemente—, lo que le da al ransomware una ventaja de velocidad en sistemas de almacenamiento grandes.

Tras cifrar cada archivo, se adjunta un pie de 56 bytes, cifrado con RC4 usando la clave de tres bytes FBI. Este pie almacena la clave pública por archivo y el nonce que el operador necesita para revertir el cifrado.

En el momento en que se escribe el pie, la clave privada por archivo se borra inmediatamente de la memoria y nunca se guarda en disco.

Los analistas de Derp.Ca no encontraron debilidades criptográficas en la implementación: no hay puertas traseras, fallos ni rutas de descifrado. Sin la clave privada Curve25519 del operador, todos los archivos cifrados permanecen permanentemente inaccesibles.

Las organizaciones deben mantener copias de seguridad inmutables fuera de línea y probarlas regularmente, ya que Payload apunta y desactiva servicios de respaldo como Veeam, Acronis y BackupExec.

Los equipos de seguridad no deben depender únicamente del monitoreo basado en ETW, ya que Payload parchea cuatro funciones clave de ntdll para deshabilitarlo. Cualquier proceso que ejecute vssadmin para eliminar copias sombra o que realice un borrado completo de registros de eventos debe activar una alerta inmediata.

El mutex MakeAmericaGreatAgain y la extensión de archivo cifrado .payload son indicadores confiables de compromiso a nivel de host. Las reglas de detección YARA para las versiones de Windows y Linux están disponibles públicamente en github.com/kirkderp/yara.