Se ha detectado a un grupo llamado Ransom Busters que engaña a víctimas de ransomware ofreciendo borrar sus datos robados a cambio de pagos entre 20,000 y 60,000 dólares. Expertos advierten que es una estafa orquestada por afiliados criminales y no una ayuda legítima. Además, el panorama del ransomware sigue evolucionando con nuevas bandas y tácticas de extorsión más fragmentadas y agresivas.





Se ha detectado a un afiliado de ransomware que se hace llamar Ransom Busters, el cual envía correos electrónicos proactivamente a organizaciones víctimas y afirma eliminar datos robados de los servidores de grupos de ransomware a cambio de una tarifa que oscila entre los 20.000 y 60.000 dólares.

"En estos mensajes, el tercero se ofrece a ayudar a la víctima a recuperarse de un ataque de ransomware. Esto destaca inmediatamente como algo anómalo", afirmó el Equipo de Investigación e Inteligencia de GuidePoint (GRIT) en un informe compartido con GuidePoint Security. "Si bien las empresas de ciberseguridad suelen contactar a las víctimas de ransomware para ofrecer servicios de consultoría o recuperación, generalmente se hace solo después de que el ataque sea de conocimiento público".

La empresa de ciberseguridad señaló que ha respondido a varios incidentes recientes de ransomware que involucran a este actor de amenazas, quien se cree que es un afiliado con empleo en múltiples operaciones de ransomware-as-a-service (RaaS).

En los correos enviados a las víctimas, se ve a Ransom Busters solicitando contacto con su CEO o liderazgo de TI, mientras afirma haber encontrado vulnerabilidades en paneles administrativos mantenidos por grupos de RaaS y haber accedido a los servidores durante más de tres años.

El actor de amenazas, motivado financieramente, también afirma en su mensaje que encontró datos robados de la empresa en uno de los servidores a los que accedió recientemente y les pide que realicen un pago de entre 20.000 y 60.000 dólares para ayudarles a recuperar el acceso a sus archivos y datos, y eliminar todas las copias de seguridad que posee el grupo de ransomware.

GuidePoint dijo que observó este modus operandi al responder a incidentes de grupos de amenazas como DragonForce, Settra y Anubis, añadiendo que la posibilidad de que sea el trabajo de una organización legítima es extremadamente improbable, ya que supondría una violación de la Ley de Abuso Informático de EE. UU.

"Esto sugiere que los operadores muy probablemente estaban ocultando el verdadero origen de su acceso o que no operaban dentro de los límites de la ley", dijo Justin Timothy, consultor principal de GRIT. "Cuando se les presionó sobre por qué cobraban por su ayuda, el grupo ofreció una explicación desconcertante: que actuar sin compensación pondría en riesgo su acceso a la infraestructura del actor de amenazas".

Un análisis de dos incidentes diferentes donde Ransom Busters contactó a víctimas ha revelado similitudes "sorprendentes", incluyendo coincidencias en las herramientas utilizadas:

* SoftPerfect Network Scanner para reconocimiento interno
* s5cmd para exfiltrar datos a almacenamiento en la nube vía AWS
* Herramienta de monitoreo y gestión remota (RMM), instalada mediante un script de PowerShell

Otras coincidencias incluyen la creación de una cuenta de puerta trasera local utilizando la contraseña "Numlock!123" y la detección del mismo nombre de host controlado por el atacante, DESKTOP-BBETH6K, en ambas intrusiones. Esto plantea la posibilidad de que un único operador, probablemente un afiliado y no un tercero, esté detrás de la actividad.

"Las implicaciones para las víctimas de ransomware son claras: no se puede confiar en los actores criminales y pueden emplear tácticas engañosas para fomentar pagos de extorsión aún más limitados", dijo Timothy. "'Ransom Busters' o, más probablemente, el afiliado de ransomware que mantiene esta identidad, ha demostrado que traicionará incluso a sus propios socios criminales en busca de ganancias financieras".

"El pago a cualquier parte criminal no ofrece garantía alguna de que los datos robados sean eliminados. No existen 'balas mágicas' para remediar la exfiltración de datos y 'Ransom Busters', disfrazado de salvador benévolo, debe ser tratado como un engaño".

Ataques de extorsión de UNC6671

La revelación llega mientras GuidePoint arroja luz sobre una operación sostenida de adversario en el medio (AitM) orquestada por UNC6671 (también conocido como Cordial Spider y O-UNC-045) dirigida a servicios financieros, legales y otras industrias desde abril bajo varias marcas de extorsión, como Falcon, Helix, Pink, Redact y BlackFile.

"El comportamiento observado, que refleja un objetivo similar centrado en SaaS de grupos como Shiny Hunters, refleja un alejamiento del despliegue oportunista de ransomware y la extorsión de datos hacia la caza de objetivos grandes ('big game hunting') en organizaciones víctimas de gran tamaño", dijo GIRT.

Se han realizado más de 8 millones de dólares en pagos a través de 15 billeteras de Bitcoin atribuidas a las cinco marcas de extorsión de datos durante el período. El monto promedio de extorsión fue de 600.000 dólares.

Se han identificado hasta 78 subdominios de phishing únicos dirigidos a víctimas en 76 organizaciones distintas que abarcan 15 sectores industriales. De estas, el 40% están relacionadas con fondos de cobertura, capital de riesgo, capital privado, gestión de activos y otras firmas de servicios financieros.

Como detalló recientemente Okta, UNC6671 opera una consola personalizada llamada Work Panel que permite el control de acceso basado en roles, reconocimiento de objetivos integrado mediante APIs de datos B2B comerciales, aprovisionamiento automatizado de infraestructura y gestión de retransmisión de credenciales en tiempo real utilizando plantillas de phishing que suplantan a proveedores de identidad como Okta y Microsoft 365. Según GuidePoint, esto representa una "evolución significativa" en la industrialización del robo de credenciales impulsado por vishing.

"La separación de funciones – operadores que solo conocen el número de teléfono de su próximo objetivo, gerentes que ven la cola de sesiones en vivo pero nada más, administradores que poseen la infraestructura – es casi con seguridad una decisión de diseño organizacional deliberada que resuelve el problema del riesgo interno inherente a la gestión de operaciones criminales con mano de obra contratada", dijo GIRT.

"Los operadores son tratados como mano de obra genérica intercambiable, reclutados a través de canales públicos clandestinos, pagados por captura exitosa y deliberadamente impedidos de acceder al producto de su propio trabajo".

Panorama del ransomware en flujo

Estos desarrollos coinciden con la evolución continua del panorama del ransomware, con la aparición de nuevos grupos como Tengu, CRPx0, Majinahanashi, Elite Enterprise, BARADAI, Aur0ra, Lalia, QV Ransomware, Friends, Doommageddon, PicMo y Orova en los últimos meses.

A diferencia de Tengu y CRPx0, que se han centrado fuertemente en entidades ubicadas en EE. UU. y Turquía, Majinahanashi ha atacado principalmente a Suiza, Italia, Alemania, Bulgaria e India. El sitio de filtración de datos asociado con Majinahanashi tiene el eslogan "LA DECISIÓN REQUIERE CLARIDAD".

"Majinahanashi es una familia de ransomware de nivel medio con varias elecciones técnicas interesantes (especialmente el control de red y la priorización de E/S), pero no exhibe un anti-análisis extremadamente avanzado ni criptografía novedosa", afirmó el investigador de seguridad Rakesh Krishnan.

"La implementación de Majinahanashi parece estar diseñada con más cuidado y consciente del rendimiento. Su combinación de doble extorsión clásica con técnicas modernas selectivas hace que valga la pena monitorearlo".

Según el informe State of Ransomware Q2 2026 de Check Point Check Point, 2.139 organizaciones fueron listadas en sitios de filtración de datos. La cuota de los 10 grupos principales cayó del 71% del trimestre anterior al 57,6%, mientras que el número de grupos activos saltó de 71 a 93, lo que indica un ecosistema cada vez más fragmentado.

"Las campañas de ransomware modernas se están desplazando hacia operaciones de acceso preposicionado, priorizando la recolección de credenciales, el reconocimiento, la escalada de privilegios y la preparación del entorno para maximizar el éxito operativo antes del cifrado", señaló CYFIRMA el mes pasado.

"Los grupos de ransomware abusan cada vez más de la infraestructura empresarial confiable, incluidas las plataformas de colaboración, los servicios en la nube legítimos, los binarios firmados y las herramientas de administración remota, para mezclar la actividad maliciosa con las operaciones normales de la empresa".

Solo en el mes de julio de 2026, se registraron un total de 873 víctimas declaradas de ransomware, frente a las 722 del mes anterior. El mayor número de víctimas declaradas en un solo mes este año fue de 909 en marzo de 2026. Los grupos más activos incluyen The Gentlemen, Qilin y CRPx0, con 138, 133 y 46 víctimas, respectivamente.



CRPx0, que inicialmente se asumió que era una operación RaaS, parece ser una aberración, dado que el bloqueador fue distribuido previamente mediante señuelos que afirmaban ofrecer cuentas de OnlyFans.

"Lo más notable es la insistencia del grupo en apoyar operaciones de marca blanca. CRPx0 proporciona a los compradores de RaaS los recursos para gestionar campañas de ransomware bajo el nombre del comprador y comercializa un modelo de reparto de beneficios del 100%, permitiendo que los compradores conserven todas las ganancias", afirmó Bitdefender.

"Lo que también es inusual es la comercialización simultánea por parte de CRPx0 de un programa de Hacking-as-a-Service (HaaS). El programa incluye brechas de datos, compromiso de red y otros servicios destinados a interrumpir negocios".

Además, el grupo ha empleado comandos ClickFix integrados en páginas web de CAPTCHA falsas y recurre al robo de criptomonedas utilizando un payload de tipo clipper que lo diferencia de otros grupos de ransomware.

En contraste se encuentra Akira, que se estima que solo tuvo 22 víctimas en julio de 2026. Sin embargo, el grupo de ransomware continúa empleando tácticas de evasión de defensa para pasar desapercibido. En un incidente reciente destacado por Huntress, se dice que un afiliado de Akira reinició el host de una víctima en Modo Seguro con funciones de Red para dejar fuera de servicio las herramientas de seguridad tras obtener el acceso inicial a través de una VPN de SonicWall.



"En este incidente, el Modo Seguro también rompió el ransomware", dijo el investigador de seguridad James Northey en su blog. "En su entorno de memoria simplificado, el árbol de procesos de Akira sufrió un fallo de falta de memoria virtual segundos después de iniciarse. Aunque el esfuerzo anti-EDR resultó contraproducente y el ransomware no se desplegó, el atacante ya había exfiltrado credenciales y carpetas compartidas. Incluso sin cifrar nada, aún pueden extorsionar a la víctima amenazando con filtrar la información robada".

Coveware, propiedad de Veeam, en su análisis de la amenaza en el segundo trimestre de 2026, señaló que el pago promedio del rescate aumentó un 176% desde el primer trimestre (680.081 dólares aquí) hasta los 1.880.612 dólares, mientras que el pago mediano disminuyó un 50% hasta los 150.000 dólares.

"Esta brecha creciente se debe principalmente a un puñado de pagos inusualmente altos y 'dispares' por extorsiones que involucran la exfiltración de datos en lugar del cifrado de datos tradicional", dijo Coveware. "Un motor clave detrás de este pico fue la campaña en curso de Silent Ransom contra bufetes de abogados de alto perfil".

Fuente:
THN