Una nueva señal de alarma sacude el panorama del ransomware. Según una investigación compartida por una firma de inteligencia en ciberseguridad, un actor que opera bajo el nombre Ransom Busters ha sido detectado enviando mensajes a organizaciones que afirman haber sido víctimas, ofreciendo “recuperación” a cambio de pagos que oscilan entre 20.000 y 60.000 dólares. El punto crítico: la supuesta ayuda viene acompañada de prácticas que, para los analistas, encajan más con la extorsión y el engaño que con un servicio legítimo.
El caso destaca un patrón preocupante: no solo existen grupos criminales que roban y cifran datos, también aparecen “intermediarios” que pretenden borrar información o revertir consecuencias por una tarifa. Y, como advierten los investigadores, confiar en esas promesas puede empeorar la situación.
Qué hace Ransom Busters según los investigadores
De acuerdo con el análisis, Ransom Busters contacta a víctimas de manera proactiva por correo electrónico. En sus mensajes, el actor se presenta como un tercero que puede ayudar a la organización a recuperarse de un incidente de ransomware, pero a cambio exige una cantidad fija: entre 20.000 y 60.000 dólares.
Además, el atacante afirma haber identificado vulnerabilidades en paneles de administración asociados a operaciones de ransomware-as-a-service (RaaS) y asegura que logró acceder a servidores durante un periodo prolongado, superior a tres años. En su discurso, también sostiene que encontró datos robados en al menos uno de los servidores a los que dice haber accedido recientemente.
En la práctica, la oferta se presenta como un trato: pagar para “recuperar” el acceso a archivos y datos y para que el actor elimine copias y respaldos que la organización criminal habría mantenido. Sin embargo, los especialistas no ven esto como una acción de recuperación real, sino como un intento de presionar a las víctimas a pagar.
Por qué la comunicación “resalta como anomalía”
Una de las observaciones más relevantes del informe es el momento y el estilo del contacto. Los analistas subrayan que las empresas de ciberseguridad suelen comunicarse con víctimas cuando el incidente ya es público o al menos cuando la organización dispone de información suficiente para valorar el riesgo y las opciones de respuesta. En cambio, los mensajes atribuidos a Ransom Busters aparecen con una dinámica distinta.
La firma señala que, aunque es posible que un proveedor ofrezca consultoría o servicios de recuperación, normalmente eso ocurre después de que el ataque se conoce. En este caso, el contacto temprano y la promesa de borrado por pago se perciben como atípicos, lo que alimenta la sospecha de que el objetivo no es ayudar, sino obtener dinero mediante extorsión.
La investigación también indica que la actividad está vinculada a un perfil que parece funcionar como afiliado con presencia en múltiples operaciones RaaS, lo que aumenta la probabilidad de que el actor esté aprovechando el caos del incidente para monetizar la urgencia.
Señales técnicas: herramientas y reutilización de acceso
Los investigadores sostienen que analizaron la forma de operar a partir de incidentes en los que Ransom Busters se puso en contacto con las víctimas. Allí identificaron similitudes “llamativas”, incluyendo solapamientos en herramientas utilizadas para reconocimiento interno y exfiltración.
Entre los elementos mencionados aparecen:
- SoftPerfect Network Scanner para reconocimiento interno.
- s5cmd para exfiltrar datos hacia almacenamiento en la nube mediante AWS.
- Un RMM (monitoreo y administración remota) instalado mediante un script de PowerShell.
Otro indicio clave es la creación de una cuenta de acceso trasero local usando una contraseña concreta (según el análisis, “Numlock!123”) y la detección de un mismo hostname controlado por el atacante (DESKTOP-BBETH6K) en dos intrusiones diferentes.
Con este conjunto de detalles, la conclusión propuesta por los analistas apunta a que podría tratarse de un solo operador o afiliado detrás de la actividad, más que de una organización externa “bien intencionada” actuando por separado.
El mensaje no promete una solución real: sin “balas mágicas”
Una parte especialmente contundente del análisis es la advertencia sobre la falta de garantías. Los expertos remarcan que pagar a cualquier parte criminal no ofrece seguridad sobre la eliminación efectiva de los datos robados.
Desde esta perspectiva, no existen “soluciones mágicas” para revertir la exfiltración una vez que ocurrió. En otras palabras, incluso si el atacante afirma que borrará respaldos o datos, la víctima no puede validar de forma fiable lo que se borra, lo que queda en sistemas externos o lo que ya se haya copiado previamente.
Por eso, el informe recomienda tratar la narrativa de Ransom Busters como una maniobra engañosa: un intento de incentivar pagos adicionales bajo la apariencia de salvación.
El contexto: el auge de operaciones de extorsión coordinadas
El caso de Ransom Busters llega en un momento en que el sector observa una evolución constante de las tácticas criminales. En ese marco, el mismo informe repasa otra operación: un adversario identificado como UNC6671, descrito como un ataque “adversary-in-the-middle” (AitM) que apunta a servicios financieros, sector legal y otras industrias, usando múltiples marcas de extorsión.
En ese apartado, los analistas señalan un modelo que prioriza el “caza de presas grandes” (big game hunting), alejándose de implementaciones oportunistas. También se reportan pagos acumulados de más de 8 millones de dólares distribuidos en varias carteras de Bitcoin y una cantidad importante de subdominios usados para campañas de phishing.
Esta sección sirve para subrayar el patrón general: la extorsión no solo se limita a cifrar sistemas, sino que se apoya en acceso previo, robo de credenciales y operaciones más industrializadas.
Panorama del ransomware en cambio: más fragmentación y pagos dispares
Más allá del caso puntual, el artículo también encuadra el estado del ransomware. Se mencionan nuevas familias y campañas recientes, y se observa que el ecosistema se vuelve más fragmentado: disminuye el peso relativo de los grupos líderes, mientras aumenta el número de actores activos.
En paralelo, se destacan cambios en el enfoque. Investigadores citados en el informe señalan que muchas campañas modernas se preparan antes de cifrar: centran esfuerzos en recolección de credenciales, reconocimiento del entorno, escalada de privilegios y preparación de la infraestructura para maximizar el impacto.
También aparece un dato financiero relevante desde análisis de proveedores de servicios: el valor promedio de los pagos puede aumentar con “pagos grandes” pero menos frecuentes, mientras que la mediana puede bajar. Esa diferencia sugiere que algunas victimizaciones terminan en extorsiones más costosas por el volumen o la sensibilidad de la información sustraída.
Qué deberían hacer las organizaciones ante correos como los de Ransom Busters
Cuando una víctima recibe un mensaje que promete borrar datos o “arreglar” el incidente por dinero, la reacción debe ser especialmente prudente. Aunque el correo busque presionar con urgencia, los indicios del informe apuntan a que Ransom Busters actúa más como un mecanismo de extorsión adicional que como un canal de recuperación verificable.
En términos prácticos, el enfoque recomendado por la lógica del riesgo es el siguiente:
- No asumir que un pago garantiza la eliminación de información robada.
- Verificar el incidente con el equipo interno o consultores de confianza, basándose en evidencias técnicas.
- Preservar indicios (logs, trazas y artefactos) para evaluar alcance, persistencia y posibles accesos no autorizados.
- Coordinar la respuesta en lugar de seguir instrucciones del remitente del correo.
En conjunto, el mensaje central es claro: en entornos de ransomware, los actores criminales no se comportan como aliados y pueden traicionar sus propias “alianzas” cuando su interés financiero lo exige. Por eso, los correos que se presentan como soluciones deben analizarse con escepticismo y con criterio forense.
Conclusión
El caso de Ransom Busters ilustra una amenaza que va más allá del cifrado: la extorsión puede sumar capas cuando aparecen intermediarios que contactan a víctimas, prometen borrar información y solicitan pagos de 20.000 a 60.000 dólares. La investigación analizada sugiere que la supuesta ayuda se apoya en señales técnicas y patrones de acceso reutilizados, lo que refuerza la idea de que se trata de una maniobra para maximizar ganancias.
Para las organizaciones, la lección es directa: ante mensajes de ese tipo, no hay garantías con el pago y no existen soluciones mágicas. La prioridad debe ser una respuesta controlada, verificable y basada en evidencia.
Fuente: https://thehackernews.com/2026/08/ransom-busters-claims-it-hacked.html
