INC es una operación de ransomware asociada con cifrado de archivos, notas de rescate y, como se ha visto en algunas investigaciones de Huntress, preparación o exfiltración de datos antes del cifrado.
Huntress ha documentado actividad relacionada con INC en investigaciones de 2023, 2024, y en febrero y septiembre de 2026. Las rutas de acceso observadas, las herramientas y el comportamiento de los operadores varían según el incidente, por lo que este perfil se centra en comportamientos documentados en lugar de presentar un manual fijo y único de INC.
Términos como "grupo de ransomware INC", "operación INC" y "actividad relacionada con INC" describen el nombre del ransomware y la actividad observada en investigaciones específicas. No establecen que todos los incidentes hayan involucrado a los mismos individuos, infraestructura o modelo operativo.
Los informes públicos citados por Huntress ubican la aparición del grupo alrededor de agosto de 2023. Poco después, los analistas de Huntress documentaron una intrusión que duró una semana e incluyó descubrimiento, recolección de datos, preparación, exfiltración e intento de despliegue del cifrador, lo que dio a los defensores una visión temprana y detallada de cómo puede desarrollarse un incidente de INC desde el acceso inicial hasta el intento de impacto.
Desde entonces, Huntress ha observado actividad relacionada en 2024, 2025 y 2026, incluyendo abuso de software de administración y monitoreo remoto (RMM) y manipulación de controles de seguridad. Estos hallazgos se describen como actividad "observada por Huntress" en investigaciones específicas. No afirmamos que todos los incidentes posteriores hayan sido llevados a cabo por los mismos individuos; las variantes de ransomware suelen ser utilizadas por más de un grupo de operadores, y corroborar eso está fuera del alcance de una revisión de un solo incidente.
Las investigaciones de Huntress no han confirmado de manera independiente quién está detrás de INC, y Huntress ha identificado diferentes rutas de acceso y diferentes herramientas en los incidentes relacionados con INC, lo que desaconseja tratar a INC como un actor único con un método de operación fijo.
Los informes de terceros ofrecen una atribución más específica de la que ofrecen por sí solos los datos de incidentes de Huntress. Fortra ha informado que el ransomware INC es operado por un grupo cibercriminal anónimo vinculado a Rusia, identificado como INC Ransom (también conocido como Gold Ionic o Tarnished Scorpion), que opera bajo un modelo de Ransomware-as-a-Service (RaaS).
Como ocurre con muchas operaciones de ransomware, un incidente de INC puede involucrar a varios participantes distintos sin importar la identidad del operador: un agente de acceso inicial que vende o proporciona entrada a una red, un afiliado que lleva a cabo la intrusión y un operador que despliega el payload de cifrado. Estos roles pueden o no estar ocupados por las mismas personas de un incidente a otro, incluso bajo un modelo RaaS.
El incidente de septiembre de 2026 que Huntress investigó presentó una pausa de 17 días entre el acceso inicial y el despliegue del ransomware y la nota, lo cual podría indicar el uso de un agente de acceso inicial.
Las intrusiones relacionadas con INC pueden involucrar diferentes rutas de acceso y herramientas. Las siguientes etapas resumen comportamientos observados en investigaciones específicas; no son requisitos para toda intrusión relacionada con INC.
Huntress ha observado abuso de cuentas válidas y actividad de protocolo de escritorio remoto (RDP) en diferentes investigaciones, junto con actividad de RMM en ciertos casos.
Sin embargo, el vector de acceso inicial no siempre pudo determinarse porque la visibilidad comenzó después de la intrusión o fue incompleta. La evidencia disponible no respalda identificar el phishing, una vulnerabilidad específica, el RDP o el software de RMM como el método definitivo de acceso de INC.
En el incidente de 2023 que Huntress investigó, el operador realizó descubrimiento de dominio y de red, enumeró cuentas de administrador de dominio, accedió a múltiples sistemas e interactuó con recursos compartidos de archivos.
La actividad observada de administración remota y movimiento lateral incluyó RDP, Windows Management Instrumentation (WMI), PsExec y actividad de servicios remotos. Estas herramientas tienen usos administrativos legítimos, por lo que los defensores deben evaluar la cuenta, el endpoint, el proceso principal, el momento, el destino y si la actividad coincide con un flujo de trabajo aprobado.
En el incidente de septiembre de 2026, el actor de amenazas aprovechó tareas programadas que apuntaban a scripts de PowerShell para el movimiento lateral y la persistencia.
Una investigación de 2024 documentó actividad que involucraba cambios en Windows Defender e intentos de interferir con otros controles de seguridad.
La investigación observó SystemSettingsAdminFlows.exe junto con el ID de evento 5007 de Windows Defender, que registra cambios de configuración. Esta es una pista de detección específica del incidente, no una firma universal de actividad de INC.
En el incidente de septiembre de 2026, el actor de amenazas instaló la aplicación de escritorio remoto AnyDesk para desplegar netscan.exe y un controlador vulnerable. Bring Your Own Vulnerable Driver (BYOVD) es una táctica común en la que los atacantes cargan un controlador legítimo pero vulnerable para obtener acceso a nivel de kernel, por lo general con el fin de deshabilitar herramientas de seguridad antes de un mayor compromiso.
Las investigaciones documentaron recolección de datos, creación de archivos comprimidos, preparación y actividad relacionada con herramientas de transferencia de archivos o almacenamiento en la cloud.
Las herramientas observadas incluyeron:
Estas herramientas tienen usos comerciales legítimos. La detección debe considerar qué cuenta ejecutó la herramienta, qué proceso la inició, si la actividad era esperada, dónde se preparó la información y si los datos se transfirieron a un destino aprobado.
En una investigación de febrero de 2026, Huntress observó preparación de datos basada en Restic y actividad asociada con infraestructura de almacenamiento en la cloud. Este hallazgo describe esa investigación y no debe tratarse como una técnica obligatoria en toda intrusión relacionada con INC.
En el incidente de 2023 que Huntress investigó, el cifrador fue copiado y ejecutado de forma remota usando WMI y PsExec.
En febrero de 2026, Huntress observó un ejecutable de INC lanzado desde C:\perflogs\win.exe con los switches --sup --hide --mode medium.
En septiembre de 2026, Huntress observó a los atacantes usando la utilidad de ejecución remota atexec.py de Impacket para ejecutar herramientas de forma remota en múltiples endpoints mediante la creación y ejecución de tareas programadas temporales. Las tareas se usaron para instalar el controlador eliminador de EDR/AV y lanzar el ransomware INC.
Los nombres de payload, las rutas, los hashes y los argumentos de línea de comandos pueden variar entre investigaciones. Estos indicadores deben correlacionarse con el comportamiento en lugar de tratarse como identificadores permanentes de la actividad de INC.
Las notas de rescate de INC han amenazado con publicar los datos robados. Las investigaciones de Huntress documentaron notas de rescate, incluyendo INC-README.txt, DATALEAK_PRESS_RELEASE.txt y nombres de archivo relacionados con la extensión .inc.
Estos patrones de notas son ejemplos documentados, no requisitos para todo incidente relacionado con INC. Los listados en sitios de filtración y las afirmaciones del actor de amenazas deben tratarse como no verificados a menos que una fuente autorizada los corrobore.
La actividad relacionada con INC afecta a organizaciones en diferentes industrias y entornos. En lugar de nombrar víctimas específicas, este perfil describe la selección de objetivos y las tácticas a nivel sectorial, a menos que una víctima haya sido nombrada públicamente por una fuente autorizada. Cuando se hace referencia a un incidente interno de Huntress, la organización se anonimiza y el enfoque se mantiene en las tácticas observadas.
También vale la pena señalar que los listados en sitios de filtración son afirmaciones hechas por el actor de amenazas, no confirmaciones verificadas de una brecha. Trátalos como un punto de partida para la investigación, no como un hecho establecido.
Las demandas de rescate y los resultados de los pagos pueden variar según la víctima, el sector y el incidente. Pagar un rescate no garantiza la recuperación de archivos ni la eliminación de los datos robados.
Las organizaciones que experimentan un incidente de ransomware deben involucrar recursos adecuados de respuesta a incidentes, legales, de seguros y de aplicación de la ley.
Las investigaciones de Huntress documentaron las siguientes características en muestras e incidentes específicos relacionados con INC.
El cifrador ataca archivos en los sistemas afectados, haciéndolos inaccesibles hasta que se restauren o se descifren.
La investigación de 2023 documentó:
.inc como extensión de archivo cifradoINC-README.txtEn una investigación de 2026, los investigadores de Huntress encontraron dos notas de rescate de INC en los sistemas afectados de la organización víctima. La segunda nota, DATALEAK_PRESS_RELEASE.txt, parecía ser un intento de ejercer más presión sobre la víctima.
Estos indicadores deben limitarse a la investigación correspondiente y no deben tratarse como firmas inmutables.
Las investigaciones observaron payloads ejecutados desde ubicaciones operativas o temporales, entre ellas:
C:\perflogs\win.exeC:\Users\win.exeC:\ProgramData\w.exeC:\Users\Public \ hwau.exe
Las rutas y nombres de archivo pueden cambiar entre incidentes.
Una muestra observada usó los siguientes switches:
--hide--sup--mode medium
Estos switches se asociaron con una muestra específica y no deben tratarse como identificadores estables en toda la actividad relacionada con INC.
Una investigación de febrero de 2026 señaló el aparente uso de la API Restart Manager. Este comportamiento puede permitir que un proceso libere bloqueos de archivos para que el cifrado pueda continuar contra archivos que de otro modo estarían en uso.
Los hashes, nombres de archivo, rutas, argumentos de línea de comandos, herramientas de apoyo e infraestructura pueden variar entre incidentes.
La presencia de una nota de rescate o extensión de archivo de INC no establece por sí sola que el mismo operador llevó a cabo la intrusión previa. La identidad del malware y la identidad del operador son preguntas separadas.
La siguiente tabla resume comportamientos documentados en investigaciones específicas.
Táctica | Comportamiento observado | Ejemplo | Recomendación defensiva |
Acceso inicial | Abuso de cuentas válidas y actividad de acceso remoto | Cuentas comprometidas y actividad de RDP | Exigir MFA para acceso remoto y cuentas privilegiadas; investigar inicios de sesión inusuales |
Ejecución | Shell de comandos, PowerShell, WMI o administración remota | Ejecución remota de comandos | Revisar actividad inusual de scripts y de WMI fuera de los flujos de trabajo aprobados |
Persistencia | Servicios o tareas programadas cuando la evidencia del incidente lo respalda | Servicios o tareas programadas creados por el atacante | Revisar nuevos servicios y tareas programadas contra una línea base establecida |
Evasión de defensas | Cambios de configuración de herramientas de seguridad o intentos de eliminación | Cambios de configuración de Windows Defender | Alertar sobre cambios inesperados en los controles de seguridad y la eliminación de productos |
Descubrimiento | Enumeración de dominios, cuentas, redes y recursos compartidos | Descubrimiento de administrador de dominio | Investigar secuencias de comandos de descubrimiento entre endpoints |
Movimiento lateral | RDP, WMI, PsExec y actividad de servicios remotos | Movimiento entre múltiples sistemas | Restringir la administración remota a usuarios, endpoints y flujos de trabajo aprobados |
Recolección | Recolección de archivos y creación de archivos comprimidos | Actividad de archivos comprimidos con 7-Zip | Revisar utilidades de compresión usadas fuera de los flujos de trabajo normales |
Exfiltración | Actividad de preparación y transferencia de archivos | MEGAsync, rclone, Restic o actividad de almacenamiento en la cloud | Monitorear destinos de transferencia no autorizados y movimiento de datos saliente inusual |
Impacto | Datos cifrados por impacto | Archivos | Mantener copias de seguridad probadas, fuera de línea o inmutables |
Categoría | Indicador | Incidente de origen |
Nombre de nota de rescate | INC-README.txt | Investigaciones de 2023 y 2026 |
Extensión de archivo cifrado | .inc | Investigación de 2023 |
Ruta de ejecución | C:\perflogs\win.exe | Investigación de febrero de 2026 |
Ruta de ejecución | C:\Users\win.exe | Investigación aprobada específica |
Ruta de ejecución | C:\ProgramData\w.exe | Investigación aprobada específica |
Nombre de archivo | ttt.exe | Investigación aprobada específica |
Nombre de archivo | win.exe | Investigación aprobada específica |
Señal de comportamiento | Cambios de configuración de Windows Defender | Investigación de 2024 |
Señal de comportamiento | Intentos de eliminación de productos de seguridad | Investigación de febrero de 2026 |
Señal de comportamiento | Actividad inusual de RDP, WMI o PsExec | Investigación de 2023 |
Señal de comportamiento | Instalación o uso inesperado de RMM | Investigación de 2024 |
Nombre de la segunda nota de rescate | DATALEAK_PRESS_RELEASE.txt | Investigación de septiembre de 2026 |
Implante de PowerShell ofuscado referenciado por una tarea programada temprana | C:\ProgramData\Vendettister\jocularities.ps1 | Investigación de septiembre de 2026 |
Dominio contactado por el implante de PowerShell ofuscado | throughoutes[.]net | Investigación de septiembre de 2026 |
IP de comando y control asociada con la instalación observada de AnyDesk | 213.111.185[.]108 | Investigación de septiembre de 2026 |
Componente eliminador de EDR/AV encontrado en C:\Users\Public\ en un controlador de dominio | hwau.exe | Investigación de septiembre de 2026 |
Ejecutable de Vicarius vRx renombrado, observado en C:\Program Files\7-Zip\ | HealthUpdater.exe | Investigación de septiembre de 2026 |
Controlador cargado por el servicio de controlador de kernel HwAudio | HWAuidoOs2Ec.sys | Investigación de septiembre de 2026 |
Servicio de controlador de kernel usado para cargar el controlador eliminador de EDR/AV | HwAudio | Investigación de septiembre de 2026 |
El impacto de un incidente relacionado con INC puede incluir:
La respuesta debe seguir la evidencia identificada en la intrusión.
Aísla los sistemas afectados y preserva la evidencia relevante antes de realizar cambios que puedan destruir información forense.
Deshabilita o restringe las cuentas comprometidas y rota las credenciales afectadas según el plan de respuesta a incidentes.
Audita RDP, VPN, RMM, WMI, PsExec, servicios y tareas programadas en busca de actividad inexplicada.
Vuelve a habilitar o reinstala las herramientas de seguridad después de la contención, siguiendo los procedimientos de respuesta a incidentes de la organización y las indicaciones específicas del producto.
Busca en el entorno cuentas, herramientas, rutas, hashes, patrones de línea de comandos, tareas programadas, servicios y destinos de red relacionados.
Confirma que las copias de seguridad estén limpias y sean utilizables antes de restaurar los sistemas. Reconstruye los sistemas comprometidos cuando sea apropiado.
Considera involucrar a las fuerzas del orden, asesoría legal, seguro cibernético, respondedores de incidentes externos y proveedores de tecnología relevantes.
La visibilidad temprana de endpoints, la centralización de registros y la revisión de analistas pueden ayudar a las organizaciones a investigar la actividad antes de que ocurra el cifrado. Estas capacidades no garantizan la prevención, contención, recuperación, descifrado ni eliminación de los datos robados.
Huntress ha documentado actividad relacionada con INC tan recientemente como en septiembre de 2026.
Estas observaciones demuestran actividad reciente asociada con el nombre del ransomware INC, pero no prueban que un solo grupo haya operado de forma continua desde 2023 ni que todos los incidentes hayan involucrado a los mismos operadores.
Los defensores deben enfocarse en los comportamientos observados en las investigaciones relevantes, incluyendo:
Las organizaciones deben considerar los siguientes controles:
El ransomware es un tipo de malware que corta tu acceso a computadoras, sistemas o redes. Mira el video de nuestro el centro de operaciones de seguridad (SOC) para conocer a fondo la ruta de un ataque de ransomware, para que puedas detectarlo a tiempo, detenerlo y evitar que los hackers se lleven el dinero.
Para cuando ves la nota de rescate, el ataque lleva horas en curso, a veces días. El cifrado es el último paso, no el primero. Si solo reaccionas cuando los archivos se bloquean, ya perdiste la parte que importaba.
INC es una operación de ransomware asociada con el cifrado de archivos y la extorsión. Los casos observados por Huntress han incluido, en algunos incidentes, preparación o exfiltración de datos antes del cifrado.
Las rutas de acceso observadas varían según el incidente. Huntress ha documentado el abuso de cuentas válidas, actividad de RDP y actividad de RMM, pero no siempre fue posible determinar el vector de acceso inicial porque la visibilidad comenzó después de la intrusión o fue incompleta.
Las posibles señales de advertencia incluyen:
.incNingún indicador por sí solo es concluyente.
No existe una respuesta general. La recuperación depende de la muestra específica, las copias de seguridad disponibles, si existe un descifrador y las circunstancias del incidente.
Pagar un rescate no garantiza la recuperación de los archivos ni la eliminación de los datos robados.
Huntress ha documentado actividad relacionada con INC tan reciente como septiembre de 2026. Esto confirma actividad reciente asociada con el nombre de ransomware INC, pero no establece una operación continua por parte de un solo grupo ni operadores idénticos en todos los incidentes.
