Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
¿Qué es el malware BlackSuit?
BlackSuit es una operación sofisticada de ransomware que cifra los archivos de la víctima y exige un pago por descifrarlos, mientras exfiltra datos y amenaza con publicarlos en un sitio de filtración en la dark web si no se paga el rescate, una técnica conocida como doble extorsión. Ataca a empresas e infraestructura crítica en múltiples sectores y usa técnicas avanzadas de evasión para evitar las defensas tradicionales.
¿Cuándo se descubrió BlackSuit por primera vez?
BlackSuit se observó por primera vez en mayo de 2023, cuando los investigadores identificaron un nuevo codificador de ransomware y un sitio de filtración de datos distinto de Royal. La aparición de BlackSuit coincidió con la desaceleración de la actividad del ransomware Royal; las dos operaciones no se superpusieron. En agosto de 2024, el FBI y CISA confirmaron formalmente en un aviso conjunto actualizado (AA23-061A) que BlackSuit es un cambio de marca directo de la operación de ransomware Royal, con similitudes significativas a nivel de código entre ambas.
¿Quién creó BlackSuit?
Las identidades y la cantidad de personas detrás de BlackSuit siguen siendo desconocidas, aunque se sospecha que es obra de un grupo cibercriminal con motivaciones financieras.
¿A qué apunta BlackSuit?
BlackSuit ataca principalmente sistemas basados en Windows en industrias como salud, finanzas y manufactura. Se ha observado en ataques en Norteamérica y Europa.
Algunas víctimas confirmadas y notables incluyen:
- CDK Global (junio de 2024): gran interrupción del software para concesionarios automotrices, que afectó a más de 15.000 concesionarios en Norteamérica
- Ciudad de Dallas, Texas (mayo de 2023, como Royal): comprometió las comunicaciones policiales y se robó más de 1 TB de datos
- KADOKAWA / Niconico (junio de 2024): robo de datos confidenciales de la empresa y de empleados del conglomerado mediático japonés
- Sistema escolar del condado de Henry, Georgia: todo el distrito quedó fuera de línea; se comprometieron los datos de más de 40.000 estudiantes
Método de distribución de BlackSuit
BlackSuit se propaga mediante correos de phishing, archivos adjuntos maliciosos y kits de explotación. También aprovecha conexiones comprometidas de protocolo de escritorio remoto (RDP) para infiltrarse en las redes.
Análisis técnico del malware BlackSuit
BlackSuit cifra archivos usando algoritmos robustos, dejando a las víctimas con notas de rescate que exigen pago en criptomoneda. Emplea mecanismos de persistencia para permanecer activo y usa técnicas de ofuscación para evadir la detección
Tácticas, técnicas y procedimientos (TTPs)
Según el aviso conjunto AA23-061A del FBI y CISA y MITRE ATT&CK:
- T1566 – Phishing (acceso inicial mediante correos maliciosos)
- T1078 – Cuentas válidas (uso de credenciales comprometidas para acceso inicial y movimiento lateral)
- T1133 – Servicios remotos externos (explotación de RDP y VPN)
- T1190 – Explotación de aplicación expuesta a internet (VMware ESXi y otras vulnerabilidades expuestas a internet)
- T1486 – Datos cifrados para impacto (cifrado parcial con RSA-4096/AES-256)
- T1048 – Exfiltración mediante protocolo alternativo (datos preparados con 7-Zip y exfiltrados vía RClone)
- T1490 – Inhibición de la recuperación del sistema (eliminación de copias de sombra y copias de seguridad antes del cifrado)
- T1562.001 – Deterioro de defensas: deshabilitar o modificar herramientas (deshabilitación activa de antivirus/EDR antes de la implementación)
- T1021 – Servicios remotos (movimiento lateral usando herramientas legítimas de acceso remoto)
- T1560.001 – Archivado de datos recolectados: archivado mediante utilidad (7-Zip usado para comprimir archivos exfiltrados)
Indicadores de compromiso (IoCs)
El FBI y CISA han publicado IoCs detallados en el aviso conjunto AA23-061A (actualizado el 7 de agosto de 2024), disponible en cisa.gov/news-events/cybersecurity-advisories/aa23-061a. Las organizaciones deben consultar el aviso oficial para obtener la lista completa y verificada de direcciones IP, hashes de archivos e indicadores de comportamiento, ya que estos se actualizan a medida que el FBI dispone de nueva información de respuesta a amenazas.
Indicadores de comportamiento/artefactos:
- Nombre del archivo de rescate: README.BlackSuit.txt
- Extensión del archivo cifrado: .blacksuit
- Uso de 7z.exe con las marcas -tzip y -mx=9 para preparar datos antes de la exfiltración
- Presencia de RClone, Cobalt Strike o Brute Ratel en los endpoints
- Utilidades de recolección de credenciales de NirSoft en los sistemas de las víctimas
Cómo saber si estás infectado con BlackSuit
Entre las señales de infección están los archivos con la extensión .blacksuit, la presencia de notas de rescate README.BlackSuit.txt en los directorios afectados, el software antivirus o EDR desactivado, y una actividad de red anormal coherente con el movimiento lateral o la preparación de grandes volúmenes de datos.
Instrucciones para eliminar BlackSuit
Para eliminar BlackSuit, desconecta el sistema infectado de la red, usa herramientas EDR y consulta los servicios de remediación de Huntress para recibir ayuda experta.
¿Sigue activo BlackSuit?
La infraestructura de BlackSuit fue desarticulada en agosto de 2025 mediante la Operación Checkmate, con servidores, dominios y criptomoneda incautados por las fuerzas del orden internacionales. Sin embargo, se considera que los operadores se reagruparon bajo una nueva operación llamada Chaos. Dado el historial de cambios de nombre del grupo (Conti → Royal → BlackSuit → Chaos), las organizaciones deben monitorear los feeds de inteligencia de amenazas en busca de actividad de los mismos operadores, en lugar de considerar el nombre BlackSuit como el fin de la amenaza.
Estrategias de mitigación y prevención
Previene infecciones de BlackSuit implementando la autenticación multifactor (MFA), aplicando controles de seguridad sólidos para RDP (o desactivando RDP donde no se necesite), aplicando parches a los sistemas expuestos a internet y educando a los usuarios sobre los riesgos de phishing e ingeniería social.
Preguntas frecuentes sobre el malware BlackSuit
BlackSuit es una operación de ransomware de doble extorsión que cifra archivos usando RSA-4096 y AES-256 y exige el pago en criptomoneda para descifrarlos. Antes de cifrar, el grupo exfiltra datos confidenciales y amenaza con publicarlos en un sitio de filtraciones de la dark web si no se paga el rescate.
BlackSuit se infiltra en los sistemas mediante campañas de phishing, kits de explotación y credenciales débiles de RDP. Una vez dentro, el grupo realiza un reconocimiento extendido, recolecta credenciales, exfiltra datos y luego despliega el cifrador de ransomware.
La infraestructura de BlackSuit fue incautada en agosto de 2025 mediante la Operación Checkmate, pero se cree que los operadores continuaron su actividad bajo el nombre Chaos. Dado el patrón demostrado por el grupo de cambiar de nombre tras una desarticulación, de Conti a Royal a BlackSuit, las organizaciones deben mantenerse alerta ante operaciones sucesoras de los mismos actores de amenazas.
Las organizaciones pueden protegerse contra BlackSuit implementando MFA, aplicando endurecimiento de la seguridad o deshabilitando RDP donde no sea necesario, manteniendo copias de seguridad fuera de línea, aplicando parches a las vulnerabilidades, educando a los empleados sobre los riesgos de phishing y usando el monitoreo 24/7 de Huntress para una detección temprana.
