El ransomware Beast tiene un panel de control oculto. Un atacante que presione ALT+CTRL y escriba 666 en una máquina Windows infectada abre una interfaz gráfica que le permite elegir qué cifrar.

La mayoría de los ransomware se ejecutan desde la línea de comandos, por lo que esto otorga a los afiliados (los criminales que alquilan la herramienta) un control mucho más directo durante una infección.

Beast es una operación de Ransomware-as-a-Service (RaaS) que apareció en el foro clandestino RAMP en junio de 2024. Según se informa, es el sucesor del ransomware Monster, que se vendía en el mismo foro en marzo de 2022.

En agosto de 2024, sus operadores comenzaron a promocionar un constructor fuera de línea que crea cargas útiles para Windows, dispositivos NAS y servidores VMware ESXi. Anteriormente, los ataques multi-OS del ransomware Beast mostraron la rapidez con la que el grupo se adapta a nuevas plataformas.

Investigadores de AttackIQ analizaron el malware en un informe publicado el 23 de octubre de 2026. Realizaron ingeniería inversa de una muestra de Windows de 32 bits y mapearon su comportamiento.

Symantec y Carbon Black vinculan a Beast con un actor llamado Hyadina. En julio de 2026, Symantec informó que el grupo había regresado bajo el nombre de GodDamn Ransomware, que comparte gran parte del código con Beast. El sitio original de filtraciones de Beast sigue activo, y la actividad reportada más reciente data del 30 de agosto de 2026.

El ransomware Beast utiliza un panel de control oculto '666'

El panel muestra al atacante cada unidad local, recurso compartido de red y subred accesible. El atacante elige los objetivos y puede iniciar, pausar, reanudar, detener o reiniciar el cifrado mientras observa su progreso en vivo.

Esto les permite ajustar el trabajo a cada víctima en lugar de cifrar todo a ciegas. El malware también acepta indicadores de línea de comandos que anulan sus ajustes integrados.

Estos indicadores pueden activar el descubrimiento de red, finalizar procesos de seguridad, eliminar copias instantáneas (shadow copies), vaciar la papelera de reciclaje o envolver cada archivo en un contenedor ZIP que contiene la nota de rescate.

Cuando comienza, Beast crea un mutex llamado “BEAST HERE?” para que solo se ejecute una copia a la vez. Omite las máquinas en la región de la CIS y varios otros países, basándose en el idioma del sistema.

La persistencia proviene de una clave Run en el registro del usuario actual, que no requiere derechos de administrador. Para alcanzar los recursos compartidos de red, Beast lee la caché ARP de los hosts cercanos. Los reduce a subredes privadas y sondea el puerto TCP 445.

Luego enumera los recursos compartidos en cada host que responde, omite ADMIN$ y pone el resto en cola para el cifrado. También monta volúmenes ocultos que no tienen letra de unidad.

Antes de cifrar, Beast detiene 52 procesos y 73 servicios, incluyendo herramientas de copia de seguridad, bases de datos y software de seguridad.

Si un archivo sigue bloqueado, utiliza la explotación del Administrador de Reinicio de Windows para cerrar el programa que lo retiene. Con derechos de administrador, también elimina las copias instantáneas de volumen a través de WMI, lo que elimina la forma más sencilla de restaurar los archivos.

Diseño de cifrado y problemas de recuperación

Beast cifra los archivos con ChaCha20 y protege las claves con Curve25519. Cada archivo obtiene su propio par de claves. La clave de sesión de la víctima se bloquea dos veces, una con cada una de las dos claves públicas del atacante, y se guarda en un archivo de 128 bytes llamado default.key.

Cada archivo cifrado también recibe un pie de página de 160 bytes que termina con el marcador 66 6B EA 57 1A BE 16 66. Beast utiliza el marcador para omitir los archivos que ya ha procesado.

Para ahorrar tiempo, Beast utiliza la técnica de cifrado intermitente vista en otros ransomware. Divide los archivos en fragmentos de 128 KiB y cifra solo una parte de ellos.

La versión analizada estaba configurada al 25%, con un mínimo de tres fragmentos, por lo que los archivos pequeños terminan totalmente cifrados. En archivos de 1 GiB o más, cifra fragmentos alternos desde el inicio y se detiene a los 512 MiB.

Por lo tanto, una base de datos grande o un archivo de copia de seguridad resultan dañados en la parte frontal mientras el resto permanece intacto, lo que generalmente lo deja inutilizable.

Los archivos cifrados se renombran con el nombre original más el ID de la víctima y una extensión, que en esta muestra era .moon. Se deja una nota de rescate README.TXT, y la nota enumera los detalles de contacto de los atacantes.

El malware también contacta dos veces con una URL pública de registro de IP, una antes de que comience el cifrado y otra después de que termine. El ID de la víctima viaja en la cabecera User-Agent, y el campo Referer dice BEGIN o END. Esto le indica al atacante que el trabajo comenzó y aproximadamente cuánto tiempo tomó.

Como defensor, debes vigilar la eliminación de copias instantáneas mediante WMI, las detenciones masivas de servicios y los picos de escaneo SMB en el puerto 445. Las copias de seguridad deben mantenerse fuera de línea, ya que los grupos que desactivan el EDR y las copias de seguridad antes de cifrar son un patrón creciente.

Bloquear los IoC a continuación y limitar los derechos de administrador también ayudará. AttackIQ ha lanzado una emulación de Beast para que tu equipo pueda probar si sus controles lo detectan.