Esta semana, el equipo de CTI de Tanium analiza un nuevo ataque que combina el phishing de credenciales con la distribución de malware. A continuación, ofrece información actualizada sobre Hunters International, una operación de ransomware como servicio (RaaS) ya desaparecida, , (se abre en una nueva pestaña),, , que ha cambiado de nombre para centrarse exclusivamente en la extorsión de datos. Por último, el equipo resume los datos más recientes sobre el ransomware correspondientes al primer trimestre de 2025.
Un nuevo ataque combina el phishing de credenciales y el malware
Cofense ha identificado recientemente (se abre en una nueva pestaña) un ataque que combina el phishing de credenciales y la distribución de malware.
El correo electrónico utilizado en este ataque recurre a la eliminación de archivos como señuelo. El mensaje procede del sitio web para compartir archivos «files[.]fm» y de una dirección de correo electrónico válida. Si la víctima hace clic en el enlace del correo electrónico, se le redirigirá a una URL legítima de «files[.]fm». Desde aquí, la víctima tiene la opción de descargar un PDF.
Si la víctima decide abrir el archivo, provocará un ataque de phishing y de malware. El archivo parecerá contener contenido inofensivo y le pedirá a la víctima que vea una vista previa o que descargue otro archivo. El ataque se ejecutará independientemente de si el usuario decide previsualizar o descargar el elemento.
¿Cómo funciona el phishing de credenciales y de malware?
- Si la víctima hace clic en la opción «vista previa», se le redirigirá a la página de inicio de sesión falsificada de Microsoft 365 . Esta página tiene como objetivo sustraer sus credenciales.
- Si la víctima selecciona «descargar», se instalará un archivo ejecutable en el dispositivo. Cofense ha descubierto que el nombre del archivo descargado está pensado para inducir a error a la víctima y hacerle creer que se trata de un instalador de OneDrive. Este ataque da lugar a la instalación de ConnectWise RAT.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña intenta aprovecharse de aspectos que muchos empleados están acostumbrados a detectar, ya que la opción de previsualizar el archivo también es maliciosa.
El informe de Cofense destaca una combinación de técnicas y los peligros que entrañan los servicios de intercambio de archivos en línea, y reitera la importancia de seguir las directrices de su organización en materia de intercambio de archivos.
Hunters International se reorienta hacia la extorsión basada en datos
El desaparecido grupo de «ransomware como servicio» conocido como Hunters International está renovando su imagen para centrarse exclusivamente en la extorsión de datos.
Investigadores de Group-IB han revelado (se abre en una nueva pestaña) que el grupo ha seguido activo desde que anunciara su disolución a finales del año pasado, centrándose en su nueva operación dedicada exclusivamente a la extorsión denominada «World Leaks».
¿Quiénes son Hunters International?
La operación RaaS de Hunters International se descubrió por primera vez en October 2023 y, históricamente, ha llevado a cabo ataques de doble extorsión.
Este grupo presenta similitudes con el grupo de ransomware Hive, lo que ha llevado a algunos investigadores a creer que Hunters International es una nueva denominación de Hive, aunque el operador afirma que simplemente ha adquirido el código fuente de Hive.
Hunters International opera en varios países, pero es en América del Norte donde se concentra el mayor número de víctimas. Entre los principales sectores a los que se dirige se encuentran el inmobiliario, el sanitario y los servicios profesionales.
El importante papel del panel de afiliados
Group-IB señala que el administrador tiene un enfoque muy empresarial, tal y como se aprecia en el panel de afiliados de la operación. Los afiliados de Hunters International pueden personalizar el ransomware mediante una interfaz web y modificar determinados aspectos del mismo a través de parámetros de línea de comandos.
El panel de afiliados también cuenta con secciones que sí tienen otras plataformas, como las de noticias, pagos, empresas y información legal. Cuando un afiliado inicia sesión en el panel, puede registrar el objetivo que desee y establecer el importe del pago del rescate.
La sección de noticias del panel proporcionó a Group-IB una visión muy detallada de la operación. En esta sección se incluían detalles sobre los servicios ofrecidos, novedades en el funcionamiento, correcciones de errores, etc.
Una vez registrado el objetivo, el atacante puede descargar el ransomware propiamente dicho, con el que son compatibles los archivos que difunde Group-IB. La última variante del ransomware no deja notas de rescate ni añade extensiones a los archivos.
El afiliado también tiene acceso al «Software de almacenamiento», una herramienta desarrollada por Hunters International para múltiples sistemas operativos y arquitecturas. Se creó para automatizar la exfiltración de datos y permitir al autor compartir información y realizar divulgaciones sin necesidad de subir los datos a ningún sitio, manteniéndolos en el servidor de Hunter International.
El cierre y el cambio de marca de Hunter International
En November 2024, el grupo publicó una nota en la sección de noticias del panel en la que anunciaba su intención de cerrar el proyecto, ya que se había convertido en una actividad arriesgada y poco rentable. Group-IB ha constatado que el grupo sigue activo a pesar de esta nota, y ha descubierto que lanzaron un nuevo proyecto a principios de 2025 denominado «World Leaks».
World Leaks no lleva a cabo ataques de doble extorsión, sino que se centra exclusivamente en ataques de extorsión pura y simple. Según Group-IB, la operación afirma ofrecer a sus afiliados una herramienta de exfiltración totalmente indetectable y similar a la herramienta «Storage Software».
Poco después del anuncio de World Leaks, los operadores lo suspendieron al detectar problemas en la infraestructura. Según el panel de afiliados, Group-IB considera que World Leaks volverá a estar activo, aunque por el momento no hay ninguna información publicada en el sitio web dedicado a las filtraciones de datos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Hunters International no es el primer grupo que ha dejado de lado el cifrado para centrarse exclusivamente en la extorsión mediante el secuestro de datos. Sin embargo, la lista es breve. No parece que esto sea suficiente para plantearse un abandono generalizado del cifrado, sobre todo teniendo en cuenta que el cifrado ejerce una presión adicional sobre las víctimas y puede aumentar la probabilidad de que se produzca un pago.
Será interesante ver cuántos grupos siguen el ejemplo y pasan del ransomware a la extorsión pura, y cuántos siguen invirtiendo y desarrollando sus métodos de cifrado.
Group-IB también ha compartido detalles técnicos (se abre en una nueva pestaña) sobre el ransomware Hunters International en relación con la forma en que ataca a diferentes sistemas operativos.
El ransomware sigue siendo una de las principales amenazas
El último informe de Rapid7’s , « » (se abre en una nueva pestaña), , analiza los datos sobre el ransomware correspondientes al primer trimestre de 2025 y destaca la necesidad de que las empresas sigan protegiéndose de forma proactiva contra el ransomware.
El informe aborda varias tendencias destacadas, entre las que se incluyen la reinversión de los rescates, las ofertas reformuladas, los grupos reestructurados y otras.
Conclusiones clave del informe sobre el ransomware Rapid7
According to Rapid7, 80 active ransomware groups existed during the first quarter of 2025, 16 of which were new as of the start of the year.
El grupo que se situó, con diferencia, en cabeza fue el Cl0p. Entre los sectores más afectados durante el trimestre se encontraban la industria manufacturera, los servicios empresariales y la sanidad, mientras que los países más afectados fueron Estados Unidos, Canadá y el Reino Unido.
Reinversión de los pagos de rescate
Rapid7 recopiló información a partir de las filtraciones de los chats de Black Basta (se abre en una nueva pestaña) que se produjeron en febrero, y llegó a la conclusión de que los grupos de ransomware están reinvirtiendo los pagos de rescate para adquirir vulnerabilidades de día cero.
Al revisar los registros de chat, los investigadores descubrieron que al grupo se le había ofrecido una vulnerabilidad de día cero de Ivanti Connect Secure en 2023 por un precio de 200,000 dólares. Aunque no hay confirmación de que el grupo haya realizado efectivamente la compra, y esta no coincide con los CVE de Ivanti Connect Secure que se publicaron poco después, sí pone de manifiesto que los atacantes podrían estar adquiriendo exploits de día cero de (se abre en una nueva pestaña) con el dinero obtenido de los rescates.
Esto quedó aún más demostrado cuando Rapid7 encontró pruebas de que Black Basta había adquirido un exploit para el cortafuegos de Juniper.
Ransomware reempaquetado
Los grupos de ransomware también están reutilizando variantes más antiguas. Un ejemplo destacado en 2025 hasta la fecha es el supuesto resurgimiento de Babuk (se abre en una nueva pestaña) , del que se descubrió que no era más que código extraído de RansomHub, FunkSec y LockBit.
Reestructuración de los grupos de ransomware
Tal y como observamos cada trimestre, los grupos de ransomware siguen reestructurándose: algunos van desapareciendo, surgen otros nuevos y los afiliados pasan de un grupo a otro.
En este contexto, muchos grupos de ransomware también llevan a cabo un proceso de cambio de marca.
Grupos de ransomware a los que hay que prestar atención en 2025
Rapid7 recomienda prestar atención a los siguientes grupos, según sus datos correspondientes al primer trimestre de 2025:
- RansomHub
- Cl0p
- Anubis
- Lince
- Qilin
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El informe Rapid7 resume muy bien el panorama actual de las amenazas de ransomware, afirmando: «Todo sigue igual, y el negocio va viento en popa». El ransomware mantiene un ritmo constante, a medida que siguen apareciendo nuevos actores en este ámbito. Todo apunta a que la amenaza ha llegado para quedarse.
Curiosamente, Rapid7 señala que muchos grupos están adoptando la mentalidad de «si no está roto, no lo arregles», en lugar de adaptarse continuamente e introducir nuevas amenazas. El informe también destaca las medidas clave (se abre en una nueva pestaña) que las organizaciones pueden adoptar para garantizar su seguridad.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
