Si pensabas que el ransomware se inventó hace poco, no eres el único. Pero también estás equivocado.

El primer ransomware (bautizado como el AIDS Trojan) apareció allá por 1989. Se enviaron por correo postal medios físicos con el malware en disquetes a los asistentes de una conferencia de la OMS sobre el sida. El AIDS Trojan cifraba los nombres de los archivos objetivo en la computadora de la víctima y luego exigía un pago enviado por correo postal a un apartado postal en Panamá.

Durante los siguientes 24 años, el ransomware existió pero nunca ganó tracción significativa: la infraestructura técnica y los mecanismos de pago simplemente no estaban listos todavía. CryptoLocker cambió eso en 2013. Usaba cifrado asimétrico, exigía el pago en Bitcoin y se propagaba a gran escala a través de archivos adjuntos de phishing. Las organizaciones criminales finalmente encontraron una forma sostenible de sacar provecho.

Para 2016, surgieron las primeras plataformas verdaderas de ransomware como servicio (RaaS), ecosistemas que evolucionarían hasta convertirse en la vasta economía de RaaS que conocemos hoy, con operadores que actúan menos como crimen organizado y más como empresas de software con programas de afiliados, soporte técnico y reparto de ingresos.

En 2017, WannaCry y NotPetya le enseñaron al mundo cuán destructivo podía ser el ransomware. Ambos usaban capacidades de tipo "gusano" que se propagaban automáticamente por las redes al explotar vulnerabilidades sin parchear. WannaCry terminó infectando más de 300.000 sistemas en aproximadamente 150 países y causó daños estimados en cientos de millones a miles de millones de dólares, incluida una interrupción generalizada en el Servicio Nacional de Salud del Reino Unido. NotPetya, que comenzó en Ucrania pero se propagó rápidamente por todo el mundo, ahora se considera ampliamente uno de los ciberataques más destructivos de la historia, con pérdidas totales estimadas en más de $10 mil millones.

La evolución del malware se entiende mejor como varias historias paralelas: actores difusos que ajustan sus estrategias a medida que cambia el terreno y surgen nuevas vulnerabilidades.

El ransomware como servicio se vuelve masivo

Más allá de comoditizar la creación y el despliegue de ransomware, los grupos de RaaS le dieron a cualquiera con intención criminal (y una billetera de Bitcoin) acceso a su producto sin necesidad de conocimientos técnicos para ejecutar un ataque. La barrera de entrada se derrumbó.

La doble extorsión se vuelve la norma

Maze fue pionero en una táctica que básicamente volvió inútiles las copias de seguridad de la noche a la mañana: exfiltrar los datos antes de cifrarlos, y luego amenazar con publicarlos si no se paga el rescate. Las organizaciones que antes podían sobrellevar un evento de cifrado ahora enfrentaban un segundo problema: datos de clientes filtrados en un foro público.

El cambio de ataques masivos a ataques de alto impacto

El ransomware ya no es algo que se lanza a todos esperando que algo funcione. Es táctico. Dirigido. Con reconocimiento previo. Los atacantes ahora se toman el tiempo de identificar qué organizaciones son más propensas a pagar los rescates más altos y tienen más incentivo para pagar rápido, como las del sector salud, manufactura, infraestructura crítica y gobiernos.

Vivir de lo que hay en el sistema (LOTL)

En lugar de desplegar ejecutables maliciosos evidentes, los atacantes recurren cada vez más a herramientas ya instaladas en tus sistemas para moverse lateralmente, como PowerShell, RDP, WMI y utilidades administrativas legítimas. La detección se vuelve mucho más difícil cuando la actividad maliciosa se esconde dentro de lo que parece un comportamiento administrativo rutinario.

Lo que hace único al ransomware de hoy es la sofisticación operativa y la seguridad que han desarrollado los grupos de amenazas.

El acceso inicial suele ser absurdamente fácil

Señuelos de phishing modernos. Puertos RDP sin parches abiertos en internet. Credenciales de VPN compradas a corredores de acceso inicial. Servicios expuestos. Contraseñas débiles. Los atacantes rara vez necesitan ingeniárselas para obtener acceso a tu entorno; solo necesitan encontrar una forma de entrar. Piensa en el acceso inicial como la fruta más fácil de alcanzar. La verdadera pericia se nota en cómo se mueven los atacantes una vez que están adentro.

Los atacantes se mueven más rápido que nunca

Durante años, los criminales de ransomware obtenían acceso a una red, permanecían inactivos y regresaban días o incluso meses después para ejecutar el ransomware. A medida que mejoró la tecnología de detección, los atacantes comprimieron sus plazos para mantenerse un paso adelante. Hoy, muchos despliegues de ransomware avanzan desde la infiltración inicial hasta el cifrado completo en menos de 24 horas, y en algunos casos en apenas cinco horas, a medida que el tiempo de permanencia promedio del ransomware sigue disminuyendo.

La IA se está convirtiendo en una herramienta criminal

Así como los equipos de seguridad usan la IA generativa para maximizar la productividad, los ciberdelincuentes también lo hacen. Los atacantes usan la IA para automatizar las fases del ataque y reducir la fricción, desde correos de phishing generados por IA que aceleran el robo de credenciales hasta escáneres de vulnerabilidades impulsados por IA que encuentran brechas explotables más rápido de lo que tu equipo de seguridad puede cerrarlas.

Antivirus basado en firmas. Monitoreo de red. Parchado reactivo sin estrategia. Estas soluciones siguen siendo importantes, pero no sirven de mucho cuando un atacante vive de lo que hay en el sistema, usando herramientas administrativas legítimas que ya están en tu red para atacarte. Deja de pensar en cómo evitar que los atacantes entren a tu red y empieza a pensar en qué harás si ya están adentro.

La carrera armamentista en detección y respuesta ha impulsado una adopción significativa de la detección y respuesta para endpoints (EDR) y la detección y respuesta de amenazas de identidad (ITDR). No puedes prevenir todos los ataques, así que detéctalos y detenlos rápido.

Los ataques de ransomware no están disminuyendo. De hecho, la investigación muestra que en más de la mitad de los incidentes investigados, el ransomware ahora se despliega dentro de un día después del acceso inicial, con una parte importante ejecutada en solo unas horas, y los objetivos se vuelven cada vez más deliberados y de alto valor.

Esperemos más ataques impulsados por la identidad

Tu superficie de ataque ya no es solo tu red y tus endpoints. También es tu capa de identidad. Los atacantes se enfocan en las contraseñas y en todo lo que esté protegido por un nombre de usuario y una contraseña. Espera más ataques que ingresen a través de Active Directory, que apunten a identidades en la cloud y que exploten contraseñas débiles y brechas en la autenticación multifactor (MFA).

La orientación multiplataforma sigue en expansión

Los puntos predilectos del ransomware no van a desaparecer. Solo se están expandiendo. A medida que los entornos empresariales virtualizan su infraestructura crítica, los servidores Linux y ESXi se están convirtiendo cada vez más en objetivos principales.

Las organizaciones más pequeñas entran cada vez más en el radar

El ransomware moderno es tan lucrativo que, si una gran empresa no paga, los atacantes buscan empresas más pequeñas. Cada vez más pequeñas y medianas empresas que dan servicio a organizaciones más grandes dentro de la cadena de suministro se están convirtiendo en objetivos viables y atractivos.

La evolución del ransomware no muestra señales de desacelerarse, y cada nueva táctica exige una respuesta más inteligente y proactiva.

La plataforma agéntica completa de Huntress combina Managed EDR, Managed ITDR, Managed SIEM y Managed Security awareness training para proteger tus endpoints, identidades y entornos de cloud/correo electrónico, respaldada por un SOC centrado en IA disponible 24/7. Detén el ransomware antes de que comience. Obtén una demo de la plataforma y descubre exactamente cómo detenemos a los atacantes antes de que te detengan a ti.