Play: cómo recuperar tus archivos y qué hacer

Esta guía es orientativa y se actualiza conforme surge nueva información. No garantiza la recuperación de archivos.

Resumen

Play (también conocido como PlayCrypt) es una familia de ransomware activa desde junio de 2022, que opera mediante doble extorsión (cifrado y exfiltración de datos) y ha afectado a numerosas organizaciones en América Latina. Esta guía describe cómo identificar la infección, contener el incidente, preservar evidencia y evaluar opciones de recuperación. Importante: al momento de esta publicación no existe un descifrador gratuito conocido públicamente para Play.

TL;DR

• No hay descifrador gratuito conocido para Play. Desconfía de cualquier herramienta que prometa descifrar archivos .play.
• Identifica la infección por la extensión .play / .PLAY y la nota de rescate ReadMe.txt.
• Aísla de inmediato los equipos afectados de la red, pero no los apagues si necesitas preservar memoria volátil.
• Preserva evidencia (imágenes forenses, logs) antes de reinstalar o limpiar.
• Restaura desde respaldos offline verificados una vez confirmada la erradicación.
• Asume que hubo exfiltración de datos y activa tus obligaciones legales de notificación.
• ¿Necesitas apoyo? Contáctanos: (800) 649-0625 o [email protected].

1. Qué es Play

Play es un ransomware observado por primera vez en junio de 2022 que emplea un modelo de doble extorsión: cifra los archivos de la víctima y, además, exfiltra información sensible que amenaza con publicar si no se paga el rescate [1], [2].

Sus vectores de acceso inicial son similares a los de otras familias: phishing, explotación de servicios expuestos a Internet y compromiso de cuentas válidas [3]. En abril de 2023, investigadores de Symantec documentaron dos herramientas propias del grupo: un infostealer en .NET que enumera software y servicios mediante WMI, WinRM, Remote Registry y Remote Service, verificando la presencia de software de seguridad, respaldo y herramientas de administración remota, guardando los resultados en archivos .CSV que luego comprime en un .ZIP para exfiltración manual [1].

El grupo ha explotado vulnerabilidades conocidas, entre ellas fallas en dispositivos FortiOS y la cadena ProxyNotShell de Microsoft Exchange (CVE-2022-41040 y CVE-2022-41082), como rutas de acceso y escalamiento [2].

2. Cómo identificar la infección (notas, extensiones, IOCs)

Señales típicas de un incidente con Play:

• Extensiones de archivo cifrado: los archivos afectados suelen renombrarse con .play o .PLAY.
• Nota de rescate: archivo de texto llamado ReadMe.txt, que normalmente incluye una dirección de correo de contacto (frecuentemente en dominios como @gmx.de) y una URL para negociación en la red Tor [2].
• Actividad de reconocimiento: presencia de archivos .CSV con inventarios de software/servicios comprimidos en .ZIP, indicativos del infostealer .NET del grupo [1].
• Herramientas de doble uso: uso de utilidades legítimas para movimiento lateral, exfiltración y desactivación de defensas (por ejemplo, herramientas de administración remota, PsExec, Cobalt Strike) [2].
• Borrado de respaldos y Shadow Copies: ejecución de comandos para eliminar copias de sombra de Windows.

Nota educativa: la "red Tor" es una red de anonimato donde los sitios .onion alojan portales de negociación. En esta guía no enlazamos direcciones .onion por seguridad y política editorial.

3. Pasos inmediatos (contención, preservación de evidencia)

1. Aísla los equipos afectados. Desconéctalos de la red (cable, Wi-Fi, VPN). Si puedes, aísla a nivel de switch o segmento en vez de apagar, para conservar memoria volátil útil en el análisis forense.
2. No apagues los sistemas de forma masiva hasta capturar evidencia; el apagado puede destruir artefactos en memoria y claves temporales.
3. Preserva evidencia: genera imágenes forenses de discos y volcados de memoria de sistemas clave; resguarda registros de EDR, firewall, VPN, Active Directory y servidores de correo.
4. Rota credenciales de cuentas privilegiadas y de servicio, especialmente cuentas de dominio, asumiendo compromiso total del directorio.
5. Identifica el vector de entrada (servicio expuesto, phishing, cuenta comprometida) para evitar reinfección.
6. Activa tu plan de respuesta a incidentes y notifica a las áreas legal, dirección y, cuando aplique, a las autoridades y reguladores.
7. Asume exfiltración de datos y evalúa obligaciones de notificación a titulares afectados.

4. Opciones de recuperación

Aviso destacado: al momento de escribir esta guía NO existe un descifrador gratuito conocido públicamente para Play. Cualquier producto o servicio que afirme "descifrar gratis" o "garantizar" la recuperación de archivos .play debe considerarse sospechoso. Existen estafas que revenden herramientas falsas o que simplemente intermedian el pago al atacante sin transparencia.

Opciones realistas, en orden de preferencia:

1. Restauración desde respaldos offline / inmutables. Es la vía más confiable. Verifica que los respaldos no estén cifrados ni comprometidos y restáuralos solo en un entorno ya erradicado y endurecido.
2. Reconstrucción desde cero de sistemas críticos cuando no haya respaldo válido, priorizando servicios esenciales.
3. Consultar recursos legítimos: el portal No More Ransom [4] mantiene un catálogo de descifradores verificados. Si en el futuro apareciera una herramienta para Play, se publicaría allí. Hoy no la hay.
4. Preservar copias de los datos cifrados. Aunque no exista descifrador ahora, guarda una copia íntegra: podría aparecer una solución más adelante (por errores en el esquema de cifrado o incautaciones de claves por autoridades).

Sobre el pago del rescate: agencias como el FBI y CISA desaconsejan pagar, ya que no garantiza la recuperación ni la no publicación de datos, y financia futuros ataques [2]. La decisión final debe tomarse con asesoría legal y, en su caso, con especialistas en respuesta a incidentes.

5. Prevención y endurecimiento

• Parcheo prioritario de servicios expuestos, especialmente VPN, correo (Exchange) y appliances perimetrales; corrige ProxyNotShell y vulnerabilidades de FortiOS [2].
• MFA en todos los accesos remotos y cuentas privilegiadas.
• Respaldos 3-2-1 con al menos una copia offline o inmutable y pruebas periódicas de restauración.
• Segmentación de red para limitar movimiento lateral.
• EDR/XDR con detección de PsExec, Cobalt Strike y abuso de WMI/WinRM.
• Reducción de superficie: cierra RDP expuesto, restringe administración remota y aplica principio de menor privilegio.
• Concientización antiphishing y monitoreo de accesos anómalos.

Advertencias honestas (limitaciones)

• Esta guía no sustituye un análisis forense profesional; cada incidente tiene particularidades técnicas.
• No garantizamos la recuperación de archivos: sin respaldos válidos ni descifrador, es posible que algunos datos sean irrecuperables.
• Los indicadores (correos, extensiones, TTP) evolucionan; los operadores de Play modifican sus herramientas con frecuencia.
• La existencia o ausencia de descifrador puede cambiar; verifica siempre fuentes oficiales antes de actuar.

¿Necesitas ayuda especializada para responder a un incidente de Play? Contáctanos: (800) 649-0625 o [email protected].

Referencias

[1] Symantec Threat Hunter Team, "Play Ransomware's Attack Playbook Similar to that of Hive, Nokoyawa Groups," Symantec Enterprise Blogs, 2023. Disponible en: https://www.security.com/threat-intelligence/play-ransomware

[2] Cybersecurity and Infrastructure Security Agency (CISA), FBI y ASD's ACSC, "#StopRansomware: Play Ransomware," AA23-352A, 2023. Disponible en: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-352a

[3] Trend Micro, "Ransomware Spotlight: Play," Trend Micro Research, 2023. Disponible en: https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/ransomware-spotlight-play

[4] No More Ransom Project, "Decryption Tools." Disponible en: https://www.nomoreransom.org/es/decryption-tools.html