Un nuevo grupo de ransomware llamado Payouts King ha estado ganando reputación desde su aparición en abril de 2025. Tras un periodo de baja actividad, a principios de 2026 se registró un aumento significativo de sus ataques, los cuales están vinculados a antiguos afiliados de la ya desaparecida operación BlackBasta. El grupo se especializa en atacar organizaciones mediante métodos establecidos y el uso de técnicas de ofuscación y llamadas directas al sistema para evadir los sistemas de detección y respuesta (EDR).

Un nuevo grupo de ransomware conocido como Payouts King ha estado construyendo su reputación discretamente desde que apareció por primera vez en abril de 2025.

Aunque pasó la mayor parte del año pasado pasando desapercibido, principios de 2026 trajo un aumento notable de la actividad vinculada a antiguos afiliados de la operación BlackBasta, ahora desaparecida.

El grupo ataca a organizaciones mediante tácticas muy conocidas pero efectivas, robando grandes volúmenes de datos sensibles antes de cifrar selectivamente los archivos de los sistemas comprometidos.

BlackBasta, que había operado como sucesor del notorio grupo de ransomware Conti desde febrero de 2022, colapsó en febrero de 2025 después de que sus registros de chat internos se filtraran en línea.

Esa exposición obligó al grupo a disolverse, pero no detuvo a las personas detrás de los ataques. Muchos de sus antiguos afiliados simplemente continuaron bajo diferentes banderas, desplegando otras familias de ransomware como Cactus y, más recientemente, alineándose con Payouts King.

Zscaler identificó estos ataques y publicó un informe compartido con Cyber Security News (CSN) confirmando que podían atribuir parte de esta actividad renovada al grupo de ransomware Payouts King con un alto nivel de confianza.

Los investigadores señalaron que los patrones de ataque coincidían estrechamente con los vistos en campañas anteriores de BlackBasta, incluyendo el mismo manual de ingeniería social.

La infección inicial suele comenzar con un bombardeo de spam, donde el atacante inunda la bandeja de entrada de la víctima con grandes volúmenes de correo basura.

Luego se hacen pasar por un empleado de soporte técnico de TI, contactando a través de Microsoft Teams y convenciendo a la víctima para iniciar una sesión de Quick Assist.

Una vez concedido el acceso, el atacante deposita malware en el sistema, estableciendo discretamente un punto de apoyo dentro de la red de la organización.

A partir de ahí, Payouts King se mueve rápido. Intenta obtener privilegios completos a nivel de sistema, elimina las copias shadow de Windows para bloquear la recuperación, borra los registros de eventos para ralentizar las investigaciones forenses y vacía la papelera de reciclaje antes de comenzar el cifrado.

El grupo también opera un sitio de filtración de datos en la dark web, presionando a las víctimas para que paguen al amenazar con publicar la información robada.

El ransomware Payouts King evade el EDR

Uno de los aspectos más notables de este ransomware es la agresividad con la que trabaja para evitar la detección. Construye y descifra cadenas de texto sobre la marcha en lugar de almacenarlas como texto legible, lo que dificulta mucho el análisis estático.

También resuelve las funciones de Windows utilizando valores hash en lugar de nombres claros, y aplica un algoritmo de suma de comprobación personalizado con una semilla única por valor, derrotando a las herramientas que dependen de tablas de hash predefinidas para identificar malware.

Cuando un archivo no puede abrirse para su cifrado porque una herramienta de seguridad lo ha bloqueado, el ransomware escanea todos los procesos en ejecución y los comprueba frente a una lista de 131 procesos de software antivirus y de detección de endpoints conocidos.

En lugar de utilizar llamadas estándar a la API de Windows para terminar estas herramientas, utiliza llamadas directas al sistema que evitan los ganchos (hooks) de los que dependen la mayoría de los productos de detección de endpoints para capturar actividad sospechosa.

Diseño de cifrado y evasión de defensas

Payouts King utiliza RSA de 4.096 bits combinado con AES de 256 bits en modo contador para el cifrado, con una biblioteca OpenSSL vinculada estáticamente e integrada en el malware.

Los archivos de menos de 10 MB se cifran completamente, mientras que los archivos más grandes se dividen en 13 bloques y solo se cifra la mitad de cada uno, un método diseñado para acelerar los ataques sin reducir su impacto.

El ransomware evita llamar a las funciones estándar de renombrado de archivos de Windows después del cifrado, utilizando en su lugar una llamada de nivel inferior que la mayoría de las herramientas de seguridad no monitorizan.

Los archivos cifrados reciben la extensión .ZWIAAW, y la nota de rescate llamada readme_locker.txt solo se deposita cuando se proporciona un indicador de línea de comandos específico durante la ejecución, lo que hace que el análisis automatizado en sandbox sea considerablemente más difícil.

Para defenderte de amenazas como esta, tu organización debería priorizar la formación de concienciación de los usuarios centrada en detectar solicitudes falsas de soporte técnico a través de plataformas como Microsoft Teams.

Implementar la autenticación multifactor en todas las cuentas y supervisar estrechamente el uso inusual de herramientas de acceso remoto como Quick Assist también es crítico.

Los equipos de seguridad también deberían invertir en la búsqueda proactiva de amenazas (threat hunting) en lugar de confiar totalmente en la detección automatizada para capturar amenazas avanzadas como Payouts King.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
SHA256	335ad12a950f885073acdfebb250c93fb28ca3f374bbba5189986d9234dcbff4	Muestra de ransomware Payouts King
SHA256	d68ce82e82801cd487f9cd2d24f7b30e353cafd0704dcdf0bb8f12822d4227c2	Muestra de ransomware Payouts King
Extensión de archivo	.ZWIAAW	Extensión de archivo cifrado añadida por Payouts King
Nombre de archivo	readme_locker.txt	Nota de rescate depositada en el escritorio de la víctima
Extensión de archivo	.esVnyj	Extensión de archivo de respaldo temporal utilizada durante el cifrado

Nota: Las direcciones IP y los dominios han sido deshabilitados intencionadamente (ej., [.]) para evitar la resolución accidental o el enlace. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/payouts-king-ransomware-evades-edr/