RansomHub
RansomHub era una variante de ransomware como servicio (RaaS), anteriormente conocida como Cyclops y Knight.
El origen de RansomHub
Aparecido en febrero de 2024, el grupo ha cifrado y filtrado datos de más de 210 víctimas, aprovechando la colaboración de afiliados de alto perfil de otros grupos de ransomware como LockBit y ALPHV. La operación de RansomHub se centró en un modelo de doble extorsión, en el que los afiliados cifran los sistemas y filtran los datos, amenazando con publicar los datos robados si no se pagan los rescates. El grupo era conocido por su profesionalidad y sofisticación técnica. RansomHub fue visto por última vez en marzo de 2025.
Países objetivo de RansomHub
RansomHub tenía un alcance global, con víctimas principalmente en Estados Unidos y Europa, centrándose en infraestructuras críticas e industrias clave.
El grupo afirmó evitar atacar a la Comunidad de Estados Independientes (CEI), Cuba, Corea del Norte y China, probablemente debido a refugios operativos o protecciones legales.
Industrias objetivo de RansomHub
RansomHub se dirige a una amplia gama de industrias, siendo los principales sectores los servicios empresariales, el comercio minorista y la industria manufacturera. Otros sectores afectados con frecuencia son los servicios educativos, la administración pública, las finanzas, la construcción, la sanidad, la tecnología y las infraestructuras críticas. El hecho de que el grupo se centre en sectores críticos pone de manifiesto su amplio alcance operativo, que supone una amenaza significativa tanto para entidades públicas como privadas.
A pesar de la eficacia del grupo, afirman no tener como objetivo las organizaciones sin ánimo de lucro.
Víctimas de RansomHub
Más de 844 organizaciones han sido víctimas de RansomHub desde su aparición, con un enfoque notable en la infraestructura pública, incluidos los sistemas de salud y las instalaciones gubernamentales. Estos ataques interrumpieron servicios vitales, lo que provocó importantes interrupciones operativas y sustanciales demandas de rescate.
Método de ataque de RansomHub
Los afiliados de RansomHub obtuvieron acceso mediante phishing , aprovechando vulnerabilidades y mediante el método de «spray de contraseñas». Entre las vulnerabilidades más comunes explotadas se incluyen CVE-2023-3519 (Citrix ADC), CVE-2023-27997 (Fortinet) y CVE-2020-1472 (escalada de privilegios de Netlogon).
Una vez dentro, los afiliados aumentaron sus privilegios utilizando herramientas como Mimikatz, lo que les permitió obtener el control total sobre los sistemas comprometidos.
Desactivaron las herramientas de seguridad, borraron los registros y renombraron los ejecutables del ransomware para que se mezclaran con los archivos del sistema, evadiendo así la detección.
Mediante herramientas de volcado de credenciales y pulverización de contraseñas, los afiliados recopilaron credenciales administrativas para acceder a sistemas de alto valor.
Se llevó a cabo un reconocimiento de la red utilizando herramientas como Nmap y PowerShell para identificar objetivos valiosos y planificar una mayor explotación.
Los afiliados se movieron lateralmente utilizando herramientas como el Protocolo de Escritorio Remoto (RDP), PsExec y AnyDesk, obteniendo acceso a sistemas adicionales dentro de la red.
Los datos confidenciales se filtraron utilizando herramientas como Rclone y WinSCP, a menudo con fines de doble extorsión, en los que los datos robados se utilizaban como moneda de cambio en las negociaciones para el pago del rescate.
El ransomware se ejecutó en toda la red de la víctima, cifrando los archivos mediante el cifrado de curva elíptica Curve 25519.
Los datos se filtraron a través de protocolos cifrados, cloud o transferencias directas a servidores controlados por los atacantes.
El cifrado de RansomHub inutilizó los sistemas de las víctimas, lo que a menudo provocó un prolongado tiempo de inactividad operativa. Los afiliados eliminaron las copias de seguridad y las instantáneas de volumen para impedir los esfuerzos de recuperación, lo que aumentó al máximo la presión sobre las víctimas para que pagaran el rescate.
Los afiliados de RansomHub obtuvieron acceso mediante phishing , aprovechando vulnerabilidades y mediante el método de «spray de contraseñas». Entre las vulnerabilidades más comunes explotadas se incluyen CVE-2023-3519 (Citrix ADC), CVE-2023-27997 (Fortinet) y CVE-2020-1472 (escalada de privilegios de Netlogon).
Una vez dentro, los afiliados aumentaron sus privilegios utilizando herramientas como Mimikatz, lo que les permitió obtener el control total sobre los sistemas comprometidos.
Desactivaron las herramientas de seguridad, borraron los registros y renombraron los ejecutables del ransomware para que se mezclaran con los archivos del sistema, evadiendo así la detección.
Mediante herramientas de volcado de credenciales y pulverización de contraseñas, los afiliados recopilaron credenciales administrativas para acceder a sistemas de alto valor.
Se llevó a cabo un reconocimiento de la red utilizando herramientas como Nmap y PowerShell para identificar objetivos valiosos y planificar una mayor explotación.
Los afiliados se movieron lateralmente utilizando herramientas como el Protocolo de Escritorio Remoto (RDP), PsExec y AnyDesk, obteniendo acceso a sistemas adicionales dentro de la red.
Los datos confidenciales se filtraron utilizando herramientas como Rclone y WinSCP, a menudo con fines de doble extorsión, en los que los datos robados se utilizaban como moneda de cambio en las negociaciones para el pago del rescate.
El ransomware se ejecutó en toda la red de la víctima, cifrando los archivos mediante el cifrado de curva elíptica Curve 25519.
Los datos se filtraron a través de protocolos cifrados, cloud o transferencias directas a servidores controlados por los atacantes.
El cifrado de RansomHub inutilizó los sistemas de las víctimas, lo que a menudo provocó un prolongado tiempo de inactividad operativa. Los afiliados eliminaron las copias de seguridad y las instantáneas de volumen para impedir los esfuerzos de recuperación, lo que aumentó al máximo la presión sobre las víctimas para que pagaran el rescate.
TTPs utilizados por RansomHub
Cómo detectar actores maliciosos con Vectra AI
Preguntas frecuentes
¿A qué sectores se dirige principalmente RansomHub?
RansomHub ataca sectores de infraestructuras críticas como la sanidad, los servicios financieros y las instalaciones gubernamentales.
¿Cuáles son los países más afectados por RansomHub?
El grupo se dirige principalmente a organizaciones de Estados Unidos y Europa, evitando los países de la CEI, Cuba, Corea del Norte y China.
¿Cómo obtiene RansomHub el acceso inicial?
Los afiliados explotan vulnerabilidades conocidas, utilizan ataques a phishing y aprovechan credenciales robadas para infiltrarse en los sistemas.
¿Cuáles son los métodos de exfiltración de datos de RansomHub?
Utilizan herramientas como Rclone y WinSCP para filtrar datos confidenciales a través de canales cifrados.
¿Cómo aumenta RansomHub los privilegios dentro de una red?
Los afiliados utilizan herramientas como Mimikatz para extraer credenciales y escalar a privilegios a nivel de sistema.
¿Qué método de cifrado utiliza RansomHub?
Los afiliados a RansomHub utilizan el cifrado de curva elíptica Curve 25519 para bloquear los archivos de las víctimas.
¿Cómo evitan ser detectados los afiliados a RansomHub?
Desactivan las herramientas de seguridad, borran los registros y cambian el nombre de los ejecutables del ransomware para confundirlos con archivos legítimos.
¿Qué herramientas utiliza RansomHub para el movimiento lateral?
Herramientas como Remote Desktop Protocol (RDP), AnyDesk y PsExec se utilizan para moverse lateralmente dentro de redes comprometidas.
¿Qué estrategias de mitigación pueden ayudar a prevenir los ataques de RansomHub?
La implantación de una autenticación multifactor (AMF) resistente a phishing, la aplicación de parches a las vulnerabilidades y la segmentación de las redes son estrategias de mitigación clave.
¿Cuál es el impacto de un ataque RansomHub?
Las víctimas suelen sufrir importantes periodos de inactividad y pérdidas de datos debido al cifrado y a la eliminación de las copias de seguridad, lo que provoca una parálisis operativa y elevadas peticiones de rescate.