Esta semana, CTI analiza a los principales actores y las tácticas emergentes de los autores de ransomware (se abre en una nueva pestaña) de 2024. A continuación, CTI analiza un nuevo informe que ofrece información sobre contraseñas sustraídas. Por último, CTI analiza los informes sobre dos incidentes recientes en los que los autores de las amenazas utilizaron elementos de Office 365 para acceder a las organizaciones víctimas con la intención de instalar ransomware.
Trustwave destaca a los principales actores y tácticas del ransomware
El último informe de Trustwave, titulado « » (se abre en una nueva pestaña) , analiza algunos de los principales actores y las tácticas emergentes de los autores de ransomware a partir del 2024.
Según Trustwave, los motivos económicos siguieron ocupando un lugar destacado en el panorama general del ransomware el año pasado. Trustwave también describe las tácticas, técnicas y procedimientos (TTP) que comparten los grupos de ransomware en 2024 y ofrece información detallada sobre el ecosistema del ransomware en 2025 .
Los 5 principales programas de ransomware de afiliados de un total de 2024
Trustwave identificó lo que denomina los «cinco grandes» programas de afiliados de 2024 tras analizar la actividad de los sitios web dedicados a la divulgación de datos:
- RansomHub (se abre en una nueva pestaña) se consolidó como una importante red de afiliados de ransomware en 2024. Esto se debe principalmente al modelo del grupo, favorable para los afiliados, que ofrece un reparto de pagos 90-10 a favor de estos. El grupo no sufrió ninguna interrupción destacable y se distinguió por su malware personalizado diseñado para eludir los sistemas EDR. RansomHub se perfila como una de las principales amenazas de este año.
- El Dorado (se abre en una nueva pestaña) apareció por primera vez en March 2024 y cambió su nombre por el de BlackLock más adelante ese mismo año. El grupo ganó popularidad rápidamente gracias a sus capacidades multiplataforma y sigue siendo una amenaza en 2025.
- Lynx surgió en July 2024 y fue otro grupo de ransomware que cosechó éxitos. Aún no se conocen con claridad los detalles concretos ni las tácticas, técnicas y procedimientos (TTP) que condujeron a la instalación del ransomware, pero se sabe que los autores eliminan sistemáticamente las copias de sombra de las copias de seguridad.
- FOG apareció por primera vez en mayo, pero no dio a conocer su página web dedicada a la filtración de datos hasta mediados de junio. Los afiliados de FOG utilizaron scripts personalizados, técnicas de «credential stuffing» y otros métodos de persistencia.
- BASHE apareció por primera vez con el nombre de « APT73 » antes de cambiar de nombre en octubre. El grupo ganó popularidad rápidamente gracias a su modelo de «sitio web como servicio» para la filtración de datos, lo que lo diferenciaba de los modelos tradicionales de «ransomware como servicio» (RaaS) (se abre en una nueva pestaña).
TTP que se solapan
Trustwave ha clasificado las técnicas observadas en los autores de ataques de ransomware a partir de 2024 casos para comprender mejor sus operaciones. Han elaborado un mapa de calor en el que se destacan algunas de las técnicas más observadas.
El gráfico, que puede consultarse en su informe « » ( ) (se abre en una nueva pestaña), destaca algunas de las principales técnicas que se solapan, como el aprovechamiento de aplicaciones de acceso público, las tareas programadas, el spear phishing, el malware y otras.
[Lea también: ¿Qué es el phishing? Tipos, riesgos y prevención] (se abre en una nueva pestaña)
Perspectivas sobre el ransomware 2025
El ransomware seguirá ocupando un lugar destacado en 2025, teniendo en cuenta la eficacia que demostró en 2024.
El ecosistema del ransomware «se caracteriza cada vez más por la descentralización de las operaciones, una tendencia impulsada por las dificultades a las que se enfrentan los grupos más grandes». Según Trustwave, esto ha contribuido a configurar el panorama actual, en el que pueden surgir grupos más pequeños y alcanzar el éxito con bastante rapidez.
El modelo de RansomHub, favorable a los afiliados, le permitirá seguir ocupando un lugar destacado en 2025, siempre y cuando no se produzcan interrupciones significativas.
Trustwave prevé que continúe la aparición de ransomware desarrollado en Go, junto con grupos descentralizados, tácticas de extorsión combinadas y la aparición de nuevos programas de afiliados.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
A los autores de los ataques de ransomware les resulta cada vez más fácil adaptarse a las medidas de las fuerzas del orden, lo que los hace más resistentes y peligrosos.
Es probable que sigan surgiendo nuevos grupos de ransomware y que los grupos ya existentes se dividan en diferentes marcas de ransomware en 2025. Sin embargo, tal y como nos recuerda Trustwave, estos grupos pueden desaparecer con la misma rapidez con la que surgen, lo que hace que «no se sepa con certeza cuáles se convertirán en amenazas a largo plazo».
Specops publica un informe sobre contraseñas filtradas
Specops ha publicado recientemente « » (se abre en una nueva pestaña) , su informe sobre contraseñas filtradas, en el que comparte datos sobre contraseñas robadas a lo largo de 2024.
Según el informe, el malware robó más de mil millones de credenciales durante un periodo de 12 meses, de las cuales 230 millones cumplían los requisitos estándar de complejidad.
Specops detalla algunas de las tendencias observadas, entre las que se incluyen las contraseñas más robadas, los términos base más habituales, las longitudes de contraseña más comunes y el malware más utilizado para el robo de credenciales.
Tendencias y patrones de contraseñas poco seguras
Specops incorporó datos estadísticos procedentes de otras fuentes para destacar algunas de las conclusiones. Por ejemplo, una encuesta de LastPass reveló anteriormente que el 91 % de los usuarios es consciente de los riesgos que conlleva reutilizar la misma contraseña en distintas cuentas, pero que, a pesar de ello, el 59 % lo hace de todos modos. Esto hace que algunas de sus conclusiones resulten aún más alarmantes.
Specops analizó las 1,089,342,532 contraseñas robadas que habían capturado. Lo primero que analizaron fueron las contraseñas débiles y los términos básicos más habituales. Descubrieron que las cinco contraseñas más robadas eran:
- 123456
- Administrador
- 12345678
- contraseña
- Contraseña
La contraseña « “123456” » tuvo 3.7 millones de coincidencias exactas. Los términos básicos más habituales fueron «admin», «guest», «qwerty», «welcome» y «password».
Según Specops, la longitud más habitual es de ocho caracteres, lo que representa 189 millones de las contraseñas robadas analizadas. Asimismo, analizaron las contraseñas que cumplían los requisitos de complejidad, lo que significa que debían incluir un mínimo de ocho caracteres, una letra mayúscula, un número y un carácter especial. Un total de 230 millones de las contraseñas sustraídas cumplían estos requisitos.
Cómo utilizan los piratas informáticos el malware para robar contraseñas
Es evidente que existe una gran demanda de credenciales robadas, teniendo en cuenta la cantidad que se sustrajo solo en el 2024 . Esta elevada demanda guarda una relación directa con el aumento del malware de robo de información diseñado para recopilar datos, incluidas las credenciales.
Specops ha descubierto que el malware de robo de información « » RedLine (se abre en una nueva pestaña) goza de gran popularidad, ya que representa casi la mitad de las contraseñas robadas que han analizado. El « », «Raccoon Stealer», « » (se abre en una nueva pestaña), «», « » y «Vidar Stealer» también representaron el 11.7 % y el 17 % de las contraseñas robadas, respectivamente.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La idea general del informe de Specops no es nada nuevo: los autores de amenazas atacan constantemente tanto las contraseñas débiles como las seguras.
El informe ofrece una visión general detallada del panorama del robo de credenciales, al tiempo que presenta tendencias y recomendaciones que pueden ayudar a los profesionales de la seguridad a comprender cómo mantenerse a salvo.
Es importante tener en cuenta que no basta con cumplir los requisitos de complejidad de las contraseñas, ya que casi una cuarta parte de las contraseñas sustraídas cumplían dichos requisitos.
Los delincuentes recurren al bombardeo de correos electrónicos y al «vishing» a través de Teams
Sophos ha dado a conocer dos incidentes: (se abre en una nueva pestaña),y , en los que los autores de las amenazas se valieron de Office 365 para acceder a las organizaciones de las víctimas con la intención de desplegar ransomware.
Los incidentes estaban relacionados con dos grupos maliciosos distintos, cada uno de los cuales gestionaba y mantenía sus propios entornos de servicio de Microsoft Office 365 para llevar a cabo sus ataques.
Entre las tácticas empleadas en estos incidentes se incluyen el bombardeo de correos electrónicos, el envío de mensajes a través de Teams, la realización de llamadas de voz y videollamadas en Teams, y el uso de herramientas de control remoto de Microsoft.
[Lea también: Para protegerse contra el vishing, actúe con prudencia] (se abre en una nueva pestaña)
STAC5143 y STAC5777
Sophos está realizando un seguimiento de estos dos actores maliciosos, a los que ha asignado los números STAC5143 y STAC5777.
- STAC5143: Parte del malware empleado por este grupo de amenazas es similar al utilizado por un grupo identificado con el número FIN7. No obstante, hay elementos de la cadena de ataque que permiten diferenciar a los grupos. Sophos detectó actividad de este grupo en noviembre, cuando una organización informó de que había recibido un gran volumen de mensajes de spam, con más de 3,000 mensajes en un intervalo de 45 minutos. Poco después de recibir los mensajes, estas personas recibieron una videollamada de Teams procedente de una cuenta denominada «Responsable del servicio de asistencia». Una vez en la llamada, se indicó a la víctima que permitiera una sesión de control remoto de la pantalla a través de Teams, lo que permitió al atacante introducir archivos y ejecutar malware en Python. Se observó que «
STAC5143 » utilizaba la función de control remoto integrada en Teams, un archivo Java para automatizar la explotación y puertas traseras basadas en Python descargadas desde un enlace remoto de SharePoint. - STAC5777: Al igual que el grupo de amenazas anterior, el STAC5777 ha atacado a diversas organizaciones mediante bombardeo de correos electrónicos y un mensaje de Microsoft Teams. El mensaje de Teams de este grupo solicitará una llamada con la víctima para ayudarle a resolver el problema. Se ha observado que «
STAC5777 » utiliza Microsoft Quick Assist, realiza cambios manuales en la configuración del teclado, instala malware, utiliza un programa de actualización legítimo de Microsoft y emplea otras técnicas y herramientas asociadas anteriormente a un grupo conocido como «» Storm-1811. (se abre en una nueva pestaña)
En cada uno de los incidentes, el atacante hizo que la víctima instalara Microsoft Quick Assist desde el sitio web oficial de Microsoft durante la llamada de Teams. A continuación, esto se utilizó para establecer una sesión remota, lo que permitió al atacante tomar el control del dispositivo de la víctima. Una vez que el atacante obtuvo el control, descargó una carga maliciosa, estableció la persistencia y se conectó al servidor C2 .
Utilizando las credenciales obtenidas, el actor buscó hosts en para facilitar el movimiento lateral (se abre en una nueva pestaña). En una ocasión, el actor incluso intentó ejecutar el ransomware Black Basta (se abre en una nueva pestaña) , pero finalmente se le impidió hacerlo.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este informe pone de manifiesto la creciente popularidad de Microsoft Teams como herramienta de ingeniería social (se abre en una nueva pestaña) para los autores de amenazas.
En los últimos meses se han producido numerosos incidentes en los que los autores de las amenazas se han hecho pasar por personal de soporte informático para obtener acceso inicial. Tal y como señala Sophos, los usuarios finales deben ser conscientes de cómo interactúan habitualmente con los equipos de soporte informático y estar atentos a cualquier anomalía.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
