Actor de amenazas
¿Qué es Akira?
Se dice que el grupo de ransomware Akira surgió en marzo de 2023, y existe mucha especulación sobre sus vínculos con el antiguo grupo de ransomware CONTI. Vale la pena señalar que, con el fin de la operación de CONTI, varios afiliados migraron a campañas independientes como Royal, BlackBasta y otras. Según algunos informes, los afiliados de Akira también trabajan con otras operaciones de ransomware, como Snatch y BlackByte, ya que se identificó un directorio abierto de herramientas utilizadas por un operador de Akira que también tenía conexiones con el ransomware Snatch. La primera versión del ransomware Akira estaba escrita en C++ y agregaba a los archivos la extensión '.akira', creando una nota de rescate llamada 'akira_readme.txt', parcialmente basada en el código fuente de Conti V2. Sin embargo, el 29 de junio de 2023, Avast habría publicado un descifrador para esta versión. Posteriormente, el 2 de julio de 2023, se lanzó una versión que corregía la falla de descifrado. Desde entonces, se dice que la nueva versión está escrita en Rust, esta vez llamada 'megazord.exe', y cambia la extensión de los archivos cifrados a '.powerranges'. La mayoría de los vectores de acceso inicial de Akira utilizan intentos de fuerza bruta contra dispositivos VPN de Cisco (que solo usan autenticación de un solo factor). Además, se ha identificado la explotación de las CVE CVE-2019-6693 y CVE-2022-40684 para obtener acceso inicial. Fuente: https://github.com/crocodyli/ThreatActors-TTPs
Si Akira atacó a tu organización, no pagues el rescate sin hablar antes con un especialista. Hay una guía de recuperación para esta familia.
- Víctimas en México
- 4
- Última víctima publicada
- 27 de enero de 2026
- Sector más afectado
- Servicios empresariales
- En seguimiento desde
- 26 de abril de 2023
Si Akira cifró tus sistemas
- Aísla, no apagues todavía. Desconecta los equipos afectados de la red y del almacenamiento compartido para frenar el cifrado. Apagar de golpe puede destruir claves que aún viven en memoria y que, en algunas familias, permiten recuperar archivos.
- Preserva la evidencia. No borres ni reinstales los equipos cifrados, y conserva las notas de rescate y los archivos con la extensión añadida. Sin esos datos ya no se puede identificar la variante después, y la variante es la que decide si hay recuperación.
- Confirma la variante. El nombre del grupo no basta: los descifradores dependen de la versión exacta. Usa el identificador gratuito con la nota de rescate y la extensión de los archivos.
- Revisa todos los respaldos antes de negociar. Copias offline, instantáneas de volumen, versiones en la nube y respaldos de buzones. En muchos incidentes aparece una copia utilizable que nadie había revisado.
- No pagues bajo el contador. Pagar no garantiza la recuperación y financia el siguiente ataque. Si vas a considerarlo, hazlo con asesoría y después de agotar las vías técnicas.
Descifrador para Akira
Solo algunas familias de ransomware tienen un descifrador gratuito publicado, y casi siempre cubre versiones concretas y no la familia completa. Antes de ejecutar cualquier herramienta, confirma la variante y trabaja siempre sobre una copia de los archivos cifrados: un descifrador de la familia equivocada puede dañar de forma permanente archivos que hoy todavía son recuperables.
Consulta la lista de familias con descifrador gratuito conocido y su fuente oficial, y qué hacer cuando no existe ninguno.
¿Tu organización o un proveedor aparece en la lista de Akira?
Que Akira publique a una organización en su sitio de filtraciones suele significar que ya sacó datos de su red. Si reconoces un nombre en la tabla, todavía hay cosas que revisar en tu propia red.
Cuéntanos qué viste y te decimos qué significa: si la publicación es reciente, qué datos suele filtrar ese grupo y qué revisar primero.