Actor de amenazas
¿Qué es RansomHub?
El grupo surgió a mediados de febrero de 2024 y ya ha publicado a varias organizaciones como presuntas víctimas de sus ataques, resultado de la extorsión mediante cifrado y filtración de datos. El anuncio de la venta del nuevo Ransomware-as-a-Service (RaaS) de RansomHub se publicó en uno de los foros de origen ruso que utiliza el cibercrimen para promocionar servicios maliciosos, conocido como RAMP4U (o RAMP). Un usuario con el apodo y la identidad de 'koley' anunció el programa de afiliados el 2 de febrero de 2024. En el anuncio del nuevo RaaS se mencionó que la operación de lavado de dinero de los rescates pagados es responsabilidad del afiliado. Esto significa que toda la comunicación y el envío del descifrador a la víctima se realizan a través del chat. La repartición de este RaaS sería de 90% del valor para el afiliado y 10% para el desarrollador, que en este caso sería la identidad de Koley. Además, según la publicación, el payload del ransomware está escrito en lenguaje Golang, utiliza el algoritmo asimétrico basado en x25519 y los algoritmos de cifrado AES256, ChaCha20 y xChaCha20, y destaca por su velocidad. El cifrado está ofuscado mediante AST. El payload admitiría la propagación por la red y el cifrado de datos tanto en modo seguro como en modo local. Según Koley, el ransomware está diseñado para operar en plataformas como Windows, Linux y ESXi, así como en otras arquitecturas como ARM y MIPS. Como se señaló en el panel y como ya lo había destacado el equipo de inteligencia, Koley afirmó que el panel utiliza un dominio .onion, lo que permite al afiliado organizar y administrar objetivos y salas de chat, consultar registros de acceso, responder automáticamente cuando está desconectado y crear páginas de blog privadas. Fuente: https://github.com/crocodyli/ThreatActors-TTPs
Si RansomHub atacó a tu organización, no pagues el rescate sin hablar antes con un especialista. Hay una guía de recuperación para esta familia.
- Víctimas en México
- 7
- Última víctima publicada
- 24 de enero de 2025
- Sector más afectado
- Tecnología
- En seguimiento desde
- 10 de febrero de 2024
Si RansomHub cifró tus sistemas
- Aísla, no apagues todavía. Desconecta los equipos afectados de la red y del almacenamiento compartido para frenar el cifrado. Apagar de golpe puede destruir claves que aún viven en memoria y que, en algunas familias, permiten recuperar archivos.
- Preserva la evidencia. No borres ni reinstales los equipos cifrados, y conserva las notas de rescate y los archivos con la extensión añadida. Sin esos datos ya no se puede identificar la variante después, y la variante es la que decide si hay recuperación.
- Confirma la variante. El nombre del grupo no basta: los descifradores dependen de la versión exacta. Usa el identificador gratuito con la nota de rescate y la extensión de los archivos.
- Revisa todos los respaldos antes de negociar. Copias offline, instantáneas de volumen, versiones en la nube y respaldos de buzones. En muchos incidentes aparece una copia utilizable que nadie había revisado.
- No pagues bajo el contador. Pagar no garantiza la recuperación y financia el siguiente ataque. Si vas a considerarlo, hazlo con asesoría y después de agotar las vías técnicas.
Descifrador para RansomHub
Solo algunas familias de ransomware tienen un descifrador gratuito publicado, y casi siempre cubre versiones concretas y no la familia completa. Antes de ejecutar cualquier herramienta, confirma la variante y trabaja siempre sobre una copia de los archivos cifrados: un descifrador de la familia equivocada puede dañar de forma permanente archivos que hoy todavía son recuperables.
Consulta la lista de familias con descifrador gratuito conocido y su fuente oficial, y qué hacer cuando no existe ninguno.
¿Tu organización o un proveedor aparece en la lista de RansomHub?
Que RansomHub publique a una organización en su sitio de filtraciones suele significar que ya sacó datos de su red. Si reconoces un nombre en la tabla, todavía hay cosas que revisar en tu propia red.
Cuéntanos qué viste y te decimos qué significa: si la publicación es reciente, qué datos suele filtrar ese grupo y qué revisar primero.