Una nueva y peligrosa campaña de ransomware ha surgido en Sudamérica, dirigiéndose a usuarios de Windows con una cepa cuidadosamente elaborada que imita de cerca al conocido ransomware Akira. Aunque ambos pueden parecer casi idénticos a simple vista, esta nueva amenaza se basa en un fundamento completamente diferente —uno que toma prestados elementos de otro ransomware notorio 

Una nueva y peligrosa campaña de ransomware ha surgido en Sudamérica, dirigiéndose a usuarios de Windows con una cepa cuidadosamente diseñada que imita de cerca al conocido ransomware Akira.

Aunque ambos pueden parecer casi idénticos a simple vista, esta nueva amenaza se basa en un fundamento completamente diferente: uno que toma prestado en silencio de otra familia de ransomware notoria para llevar a cabo sus ataques.

La campaña ha generado una gran preocupación dentro de la comunidad de ciberseguridad debido a lo convincente que resulta su imitación de Akira.

Las víctimas que caen en esta amenaza descubren que sus archivos están cifrados y sus sistemas secuestrados por una nota de rescate que parece casi idéntica a la de Akira, incluyendo URLs de Tor coincidentes y un lenguaje similar.

El engaño es deliberado, diseñado para confundir a las víctimas e incluso a investigadores experimentados, llevándolos a identificar erróneamente al actor de la amenaza detrás del ataque. Analistas de ESET Research identificaron esta campaña tras examinar detenidamente el comportamiento y el funcionamiento interno del ransomware, confirmando que, a pesar de su apariencia similar a Akira, el cifrador que impulsa el malware está basado en realidad en Babuk.

Este descubrimiento fue significativo, ya que Babuk es una familia de ransomware independiente cuyo código fuente fue filtrado públicamente hace años y desde entonces ha sido reutilizado por diversos actores de amenazas para crear nuevas variantes de ransomware con un esfuerzo mínimo de desarrollo.

ESET Research señaló que el operador detrás de esta campaña está utilizando un cifrador basado en Babuk que añade la extensión .akira a los archivos cifrados, además de dejar una nota de rescate que refleja tanto las URLs de Tor como el contenido general de Akira.

El enfoque regional en Sudamérica marca un cambio notable en la geografía del ransomware. Históricamente, los grupos de ransomware se han centrado en organizaciones de América del Norte y Europa, donde mayores volúmenes de datos sensibles y tasas de pago de rescate más altas hacen que los ataques sean más rentables.

Esta última campaña sugiere que los actores de amenazas están expandiendo activamente su alcance a los mercados sudamericanos, posiblemente utilizando esta cepa imitadora como campo de pruebas antes de escalar a operaciones más grandes o complejas.

El momento también coincide con una tendencia global más amplia de suplantación de ransomware. Los ciberdelincuentes han adoptado cada vez más la táctica de imitar marcas de ransomware bien establecidas para explotar el miedo y el reconocimiento de marca que esos nombres conllevan.

Al disfrazar sus herramientas bajo el nombre de Akira, los operadores de esta campaña pueden capitalizar la reputación establecida de Akira sin estar directamente afiliados al grupo original.

Dentro del cifrador basado en Babuk

En el núcleo de esta campaña se encuentra un cifrador derivado de Babuk, que proporciona al malware su capacidad real de cifrado de archivos.

El código fuente de Babuk fue filtrado públicamente hace años y, desde entonces, ha sido reciclado repetidamente por diversos actores de amenazas para crear nuevas variantes de ransomware con un esfuerzo mínimo de desarrollo.

En este caso, el operador tomó ese código filtrado y lo adaptó para parecerse a Akira, añadiendo la extensión de archivo .akira y creando una nota de rescate que sigue de cerca el estilo de comunicación conocido de Akira, incluyendo enlaces basados en Tor para la negociación con las víctimas.

Lo que hace que este cifrador sea particularmente efectivo es lo bien integrado que está el disfraz.

La nota de rescate dejada en el sistema de la víctima refleja el formato y el lenguaje de Akira con suficiente precisión como para confundir tanto a las víctimas como a los equipos de seguridad.

Las víctimas son dirigidas a URLs basadas en Tor que se asemejan mucho a las utilizadas por el grupo real de Akira, lo que facilita que las organizaciones atribuyan erróneamente el ataque y potencialmente retrasen una respuesta adecuada y oportuna.

Las organizaciones en toda Sudamérica y más allá deben tomar medidas inmediatas para reducir su exposición a este tipo de amenazas.

Mantener todos los sistemas Windows completamente parcheados y actualizados es un paso básico pero crítico. La segmentación de la red puede ayudar a contener el daño si el ransomware llega a un sistema.

Mantener copias de seguridad regulares fuera de línea garantiza la recuperación sin pagar rescate. Los equipos de seguridad deben monitorear los endpoints en busca de extensiones de archivo .akira inesperadas como señal de alerta temprana.

También es importante evitar atribuir ataques únicamente basándose en el contenido de la nota de rescate, ya que esta campaña demuestra claramente lo efectivas y engañosas que pueden ser las tácticas de suplantación de ransomware.