Publicado: 21/11/2025
Escrito por: Monica Burgess
El ataque de ransomware a Halliburton en 2024 afectó al gigante petrolero y gasífero, lo que provocó $35 millones en daños. Dirigido a datos y operaciones sensibles, el ataque paralizó temporalmente sistemas cruciales para la producción y la logística. Demostró la importancia de fortalecer la ciberseguridad industrial para prevenir interrupciones de esta magnitud.
El ransomware Halliburton se refiere al ciberataque que aprovechó malware sofisticado para cifrar datos críticos de la empresa, deteniendo las operaciones y exigiendo un pago para descifrarlos. Los atacantes buscaban interrumpir a una de las mayores empresas de servicios petroleros del mundo, sabiendo que el efecto dominó podía afectar las cadenas de suministro energético globales. Este ataque evidenció las vulnerabilidades dentro de los sistemas industriales y de infraestructura crítica.
El ataque de ransomware a Halliburton comenzó en agosto de 2024, y la empresa reveló públicamente el incidente en septiembre tras detectar la brecha. Esta divulgación tardía evidenció el desafío que enfrentan las organizaciones para evaluar el alcance de ciberataques tan sofisticados.
Las personas específicas responsables del ataque de ransomware a Halliburton siguen sin identificarse. Los informes públicos y los indicadores técnicos señalan fuertemente a la banda RansomHub, una operación de ransomware como servicio con motivación financiera (posiblemente con la participación de algunos exafiliados de BlackCat o LockBit). Sin embargo, no hay evidencia directa que atribuya el ataque a LockBit o a BlackCat en sí.
Aquí hay un desglose de los eventos en torno al ataque de ransomware a Halliburton:
Infección inicial: correos de phishing dirigidos a empleados de Halliburton entregaron enlaces o archivos adjuntos maliciosos.
Robo de credenciales: una vez que accedieron a los sistemas, los atacantes escalaron privilegios para obtener control a nivel de administrador.
Movimiento lateral: el malware se desplazó por las redes internas, cifrando datos críticos e interrumpiendo las operaciones en todo el sector.
Rescate: los atacantes apuntaron a las divisiones de finanzas y TI con exigencias de rescate, pagaderas en criptomoneda.
Los sistemas sin parches y la segmentación insuficiente dentro de la enorme infraestructura de red de Halliburton agravaron el alcance de la propagación.
La víctima principal fue Halliburton Company, pero el ataque también afectó indirectamente a la industria más amplia de petróleo y gas. Las interrupciones en la logística y las operaciones administrativas generaron retrasos, y los clientes de servicios petroleros reportaron problemas. Distribuidores de energía y empresas de transporte marítimo global que dependían de los sistemas de Halliburton también sufrieron efectos en cadena.
Las identidades detrás del ataque de ransomware a Halliburton siguen sin confirmarse. Aunque la empresa no ha revelado si pagó un rescate, informó haber absorbido aproximadamente $35 millones en costos relacionados con la recuperación. El incidente resalta el importante costo financiero que el ransomware puede imponer a corporaciones de Fortune 500, incluso sin pagos directos de rescate.
El malware usado en el ataque a Halliburton integró protocolos de cifrado avanzados con tácticas para evitar la detección, incluyendo:
Cifrado de archivos: el ransomware empleó un esquema de cifrado híbrido, combinando AES o ChaCha20 con criptografía de curva elíptica (Curve25519) para bloquear archivos de forma segura y proteger las claves de descifrado.
Propagación por la red: los atacantes aprovecharon configuraciones incorrectas en entornos de Active Directory para escalar privilegios y propagarse lateralmente por los sistemas.
Anti-detección: herramientas de evasión integradas desactivaron las protecciones de endpoints al terminar procesos de antivirus y EDR, usando técnicas como Bring-Your-Own-Vulnerable-Driver (BYOVD) y el borrado de registros para evitar el análisis forense.
Campañas de phishing: usaron correos personalizados con señuelos relacionados con ingeniería para apuntar a empleados de Halliburton.
Explotación de vulnerabilidades: aprovecharon fallas de aplicación en software VPN.
Recolección de credenciales: capturaron credenciales de inicio de sesión de empleados para establecer persistencia.
Detección de ejecutable malicioso: presencia de maintenance.exe, el cifrador de RansomHub.
Conexiones de red sospechosas: tráfico saliente hacia IPs de C2 conocidas de RansomHub, especialmente en Europa del Este (p. ej., 45.95.67[.]41, 193.106.175[.]107).
Actividad anti-forense: desactivación inesperada de antivirus/EDR, cambio de nombre de ejecutables y eliminación de registros del sistema, un comportamiento coherente con las tácticas de evasión de RansomHub.
El ataque de ransomware a Halliburton dejó marcas significativas en la organización y en la industria, incluyendo:
Interrupción operativa: las herramientas de planificación de producción y seguimiento de envíos quedaron inaccesibles durante varios días.
Pérdidas financieras: los esfuerzos de limpieza y recuperación generaron costos directos de $35 millones.
Daño reputacional: clientes y partes interesadas expresaron preocupación por la postura de ciberseguridad de Halliburton.
Filtración de datos: planos confidenciales y datos industriales propietarios fueron exfiltrados durante el ataque.
Halliburton tomó medidas inmediatas para responder al ataque de ransomware, incluyendo:
Aislamiento de redes afectadas: los equipos de TI segmentaron las partes infectadas de la red para evitar más propagación.
Implementación de copias de seguridad: los sistemas críticos se restauraron usando copias de seguridad fuera de línea, aunque los retrasos afectaron algunos servicios.
Coordinación con las fuerzas del orden: Halliburton trabajó con agencias de ciberseguridad de EE. UU., incluyendo al FBI, para el análisis y la atribución de la amenaza.
Evaluación posterior: la empresa inició una auditoría amplia de su infraestructura de ciberseguridad para fortalecer sus defensas de cara al futuro.
Según la inteligencia de amenazas, los ataques de ransomware como el de Halliburton siguen siendo muy frecuentes en las operaciones industriales. Aunque la variante específica de ransomware ha cesado su actividad pública, persisten campañas imitadoras que emulan sus técnicas, lo que representa riesgos para las empresas que descuidan los fundamentos de seguridad.
Tanto los esfuerzos individuales como los organizacionales son cruciales para evitar futuros ataques similares al ransomware Halliburton. Los expertos recomiendan:
Mejorar la higiene cibernética: actualiza los sistemas regularmente para minimizar las vulnerabilidades.
Capacitación en concientización sobre seguridad del correo electrónico: enseña a los empleados a identificar correos de phishing y a evitar abrir enlaces desconocidos.
Implementar segmentación de redes: restringe el movimiento lateral dividiendo los activos operativos críticos.
Implementar Detección y respuesta para endpoints (EDR) avanzada: monitorea y neutraliza anomalías en tiempo real.
Mantener copias de seguridad cifradas: almacénalas fuera del sitio para garantizar una recuperación fluida cuando los sistemas se vean comprometidos.
Mantente al día sobre los avances en ciberseguridad y las estrategias de prevención de ransomware a través de la Biblioteca de inteligencia sobre amenazas de Huntress.
Huntress ofrece recursos detallados para ayudar a las organizaciones a protegerse de los ataques de ransomware. Consulta estos materiales para aprender más:
Para cuando ves la nota de rescate, el ataque lleva horas en curso, a veces días. El cifrado es el último paso, no el primero. Si solo reaccionas cuando los archivos se bloquean, ya perdiste la parte que importaba.
