Un grupo de ransomware llamado Dark Project está reclutando socios criminales ofreciéndoles una comisión del 80% de las ganancias obtenidas en ataques exitosos. Esta operación, detectada por primera vez en junio de 2026, utiliza una plataforma de gestión de extorsión y combina el robo de datos, el cifrado de archivos y amenazas de filtración pública para obligar a las organizaciones a pagar.

Un grupo de ransomware llamado Dark Project está reclutando socios criminales con una oferta del 80% de las ganancias de los ataques exitosos, combinando comisiones generosas con una plataforma para gestionar la extorsión.

Observada por primera vez en junio de 2026, esta operación con motivaciones financieras combina el robo de datos, el cifrado de archivos y amenazas de filtración pública para presionar a las organizaciones a pagar.

Los registros de víctimas publicados por el grupo abarcan 38 organizaciones en ocho países, de las cuales Estados Unidos representa 30 entradas.

La manufactura, la salud y la construcción aparecen destacadamente. Sin embargo, estas cifras describen organizaciones mencionadas en inteligencia de amenazas y registros de sitios de filtraciones, no compromisos verificados independientemente ni una medida completa de la actividad del grupo.

Investigadores de Gurucul identificaron la operación de ransomware de Dark Project en su perfil de actor de amenazas, documentando su proceso de reclutamiento, infraestructura y métodos de ataque reportados.

Sus hallazgos describen una operación emergente que utiliza el lenguaje de los servicios de seguridad legítimos para publicitar herramientas y soporte para socios en actividades de ransomware.

Nuevo Grupo de Ransomware Dark Project

Dark Project publicita un programa de socios bajo el cual los afiliados reciben el 80% de las ganancias, mientras que sus operadores retienen el 20% por servicios de plataforma y reportes.

La oferta se asemeja a los modelos de ingresos de afiliados de ransomware ya establecidos utilizados por otros grupos criminales, aunque los términos publicitados no prueban que los socios reciban los pagos prometidos.

El reclutamiento sigue cuatro etapas: solicitud, evaluación e incorporación, despliegue y liquidación de la comisión. Los solicitantes contactan al grupo a través de Tox.

Se informa que los socios aprobados reciben un identificador único, acceso a la plataforma e instrucciones operativas antes de desplegar las cargas útiles contra las organizaciones.

Dark Project afirma gestionar la comunicación con la víctima y las negociaciones del rescate, prometiendo pagos de comisiones dentro de las 24 horas posteriores a la finalización del compromiso.

La infraestructura anunciada incluye un panel de operaciones alojado en Tor, agentes suministrados en formatos EXE y BIN, y una suite de simulación de ingeniería social.

Se informa que los agentes contienen identificadores de socios que permiten vincular la actividad con afiliados individuales. Estas son afirmaciones de la plataforma documentadas por Gurucul, más que capacidades demostradas independientemente a través del análisis de malware publicado.

Separar el despliegue de la carga útil de las negociaciones deja a los afiliados con menos tareas operativas que gestionar. Características comparables de plataformas de gestión de afiliados han aparecido en las operaciones de ransomware de Lynx, donde los socios pueden gestionar perfiles de víctimas y calendarios de filtración.

Dark Project también promueve los pagos en Bitcoin, pero el informe suministrado no proporciona direcciones de billeteras ni evidencia de transacciones que confirmen las liquidaciones.

Las revelaciones de víctimas alcanzaron su punto máximo en agosto de 2026, cuando se listaron 20 organizaciones, después de cuatro en junio y ninguna en julio. Septiembre y octubre añadieron cinco listados cada uno, mientras que noviembre aportó cuatro al momento de la recolección. Estas fechas rastrean la actividad de publicación; no deben tratarse como fechas de intrusión confirmadas.

Métodos de Ataque Reportados, Prioridades Defensivas y Vacíos de Evidencia

Gurucul describe el acceso inicial a través de phishing, servicios de Protocolo de Escritorio Remoto (RDP) expuestos, credenciales comprometidas y acceso VPN proveniente de registros de infostealers o brokers de acceso inicial.

La operación reportada se dirige a entornos Windows y sigue la doble extorsión: roban información sensible antes del cifrado y amenazan con publicarla si las negociaciones fallan. Esto crea riesgos separados que involucran la interrupción del negocio y la exposición de datos.

Esa distinción es importante porque restaurar los archivos no elimina la amenaza de que la información robada se haga pública. Informes relacionados sobre tácticas de extorsión por robo de datos explican por qué la recuperación por sí sola no puede resolver todas las demandas de rescate.

El sitio de filtraciones de Tor de Dark Project sirve como su canal de presión pública, publicando presuntos detalles de las víctimas cuando los operadores buscan una ventaja adicional.

El informe vincula la actividad con técnicas que incluyen el abuso de cuentas válidas, Instrumentación de Gestión de Windows (WMI), RDP, SMB, exfiltración de datos, cifrado e intentos de inhibir la recuperación.

También enumera vulnerabilidades asociadas, pero no proporciona evidencia suficiente de incidentes para establecer cada falla listada como un punto de entrada confirmado de Dark Project. Tú, como defensor, debes distinguir las asociaciones reportadas de la explotación demostrada.

La manufactura representa 12 víctimas reportadas, la salud siete y la construcción cuatro. Estas concentraciones hacen que el monitoreo de acceso y la preparación para la recuperación sean prioridades importantes para las organizaciones expuestas.

Gurucul recomienda aplicar parches, controles de acceso más estrictos, monitoreo de actividades sospechosas y copias de seguridad seguras. Los equipos de seguridad pueden utilizar estas medidas sin asumir que cada afiliado sigue una secuencia de intrusión idéntica.

Fuentes:
https://cybersecuritynews.com/new-dark-project-ransomware-group/