El ransomware INC ha pasado de ser una amenaza emergente a convertirse en una de las operaciones de ransomware más peligrosas del mundo. Lo que comenzó como un grupo criminal incipiente a mediados de 2023 ha dejado más de 800 víctimas a nivel mundial, situándose entre los principales grupos de ransomware de este año.

El grupo opera bajo un modelo de Ransomware como Servicio (RaaS), reclutando afiliados y proporcionándoles herramientas ya desarrolladas para llevar a cabo ataques a gran escala.

La amenaza ha evolucionado mediante un flujo constante de actualizaciones técnicas, lo que la hace más difícil de detectar y más capaz de atacar a una gama más amplia de víctimas.

La sanidad y la educación estuvieron entre los primeros sectores afectados, pero desde entonces el grupo se ha expandido a los servicios legales, la fabricación, la construcción y la tecnología.

Este objetivo más amplio refleja un cambio deliberado hacia industrias que soportan presiones regulatorias y que tienen más probabilidades de pagar los rescates rápidamente.

Analistas de Acronis identificaron desarrollos notables en el conjunto de herramientas e infraestructura del grupo, observando intrusiones recientes que revelan cuánto ha madurado INC.

Acronis afirmó en un informe que tanto los encriptadores de Windows como los de Linux/ESXi han sido completamente reescritos en Rust, lo que indica una inversión a largo plazo en la capacidad de ataque multiplataforma.

El grupo también actualizó sus herramientas de robo de credenciales y refinó su programa de afiliados para facilitar la entrada de nuevos operadores.

El ransomware INC se basa en un enfoque de doble extorsión, combinando la encriptación de archivos con la amenaza de filtrar públicamente los datos robados. Las víctimas que se niegan a pagar se enfrentan no solo a sistemas bloqueados, sino también a la exposición de registros corporativos confidenciales en el sitio de filtración de datos de INC.

Esta presión dual ataca tanto las preocupaciones de recuperación operativa como los riesgos legales o reputacionales que siguen a una brecha de datos pública.

Desde la interrupción de su vendedor de código fuente en 2024, surgieron familias de ransomware relacionadas, como Lynx y Knoba, con solapamientos de código significativos vinculados a INC.

Esto demuestra que el código base original ha seguido propagándose a operaciones de ransomware adyacentes, incluso mientras INC avanza con nuevas campañas.

El ransomware INC utiliza encriptadores de Windows y Linux/ESXi basados en Rust

Una de las actualizaciones más significativas en el kit de herramientas de INC es la reescritura de sus cargas útiles (payloads) de Windows y Linux/ESXi en Rust. Rust permite el desarrollo nativo multiplataforma, lo que permite al grupo mantener un único código base mientras ataca entornos de sistemas completamente diferentes.

Este cambio también aumenta la complejidad del análisis, ya que los binarios de Rust producen patrones estructurales que muchas herramientas de seguridad más antiguas tienen dificultades para identificar rápidamente.

El encriptador de Windows actualizado ahora extrae automáticamente la configuración de conexión a la base de datos del registro y utiliza un servidor SQL cero para atacar despliegues de copias de seguridad de Veeam.

Introduce una rutina de encriptación de respaldo para las versiones más recientes de Veeam y formatea la salida de manera limpia para el análisis automatizado, haciendo que la herramienta sea más confiable en su uso operativo.

La variante de Linux/ESXi ataca la infraestructura de VMware identificando volúmenes activos y distinguiendo los discos fijos locales de las unidades de red mapeadas extraíbles para maximizar la velocidad de encriptación.

Ambos encriptadores utilizan una rutina de encriptación parcial basada en el tamaño del archivo para acelerar el proceso mientras omiten archivos críticos del sistema. Esto evita que el host quede completamente inutilizable, asegurando que la nota de rescate permanezca visible para la víctima.

La carga útil es totalmente configurable mediante argumentos de línea de comandos proporcionados por el operador, lo que otorga a los afiliados un control granular sobre cada ataque.

Herramientas actualizadas y técnicas de movimiento lateral

Más allá de los nuevos encriptadores, los afiliados de INC utilizan una mezcla de herramientas de acceso remoto legítimas y software comercial para moverse por los entornos de las víctimas sin activar alertas.

CobaltStrike, AnyDesk, ScreenConnect y TeamViewer han aparecido en incidentes recientes atribuidos a INC, mimetizándose con la actividad normal de TI para evadir la monitorización de seguridad. Los actores también despliegan herramientas como PsKill y terminadores de procesos personalizados para eliminar las defensas del endpoint antes de soltar la carga útil final.

Para el robo de credenciales, el grupo utiliza scripts modificados dirigidos a despliegues recientes de copias de seguridad de Veeam protegidos por encriptación DPAPI salteada. Los datos robados se comprimen con 7-Zip antes de ser cargados en un almacenamiento controlado por el atacante a través de rclone.

Se recomienda a los equipos de seguridad aplicar la autenticación de múltiples factores (MFA) en todos los puntos de acceso remoto, parchear vulnerabilidades conocidas, incluyendo CVE-2023-3519, CVE-2023-4966, CVE-2023-35082 y CVE-2024-4885, y mantener copias de seguridad fuera de línea totalmente aisladas de la red principal.

Indicadores de Compromiso (IoCs):

Los siguientes IoC fueron identificados en relación con la actividad del ransomware INC, según se detalla en el informe de la Unidad de Investigación de Amenazas de Acronis:

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de enlaces. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.