Publicado: 2/12/2025
Escrito por: Lizzie Danielson
El ransomware Surtr es una variante destructiva de malware diseñada para cifrar archivos y exigir pagos de rescate a las víctimas a cambio de claves de descifrado. Se cree que apunta principalmente a corporaciones y organizaciones gubernamentales. Surtr es conocido por sus capacidades de cifrado rápido y sus tácticas disruptivas. Este ransomware opera con el claro propósito de causar una presión operativa significativa en sus víctimas, mientras aprovecha esa presión para extraer pagos.
El ataque del ransomware Surtr salió a la luz pública a principios de 2022. Sus campañas iniciales comenzaron a surgir alrededor de enero, con un aumento de actividad notado durante el primer trimestre del año. Este período marca una etapa en la que los ataques de ransomware se habían vuelto más sofisticados y dirigidos a nivel mundial.
Las identidades detrás del ransomware Surtr siguen siendo desconocidas, aunque algunos expertos en ciberseguridad especulan que podría estar vinculado a un grupo cibercriminal con motivación financiera. A pesar de las investigaciones en curso, no se ha confirmado la atribución a un grupo específico ni a un actor de un estado-nación.
El ransomware Surtr se propagó a través de varios vectores de ataque, incluidos correos de phishing con archivos adjuntos maliciosos, vulnerabilidades explotadas en software desactualizado, y acceso comprometido mediante el protocolo de escritorio remoto (RDP). Una vez dentro de una red, Surtr se movía lateralmente, cifrando archivos críticos e intentando deshabilitar los sistemas de respaldo y los mecanismos de recuperación para maximizar su influencia sobre las víctimas.
El ransomware Surtr apuntó a sectores como organizaciones gubernamentales, instituciones de salud y grandes empresas. Una víctima destacada fue un importante registro público en Eslovaquia, lo que resaltó la capacidad del ransomware para paralizar servicios esenciales. Muchas víctimas enfrentaron tiempos de inactividad prolongados e interrupciones operativas debido a la gravedad del ataque.
Los atacantes de Surtr exigieron rescates en criptomoneda, con montos que iban desde $50.000 hasta más de $500.000, dependiendo del tamaño de la organización y de su supuesta capacidad de pago. Algunas víctimas pagaron el rescate, mientras que otras trabajaron con firmas de ciberseguridad y autoridades para recuperar sus sistemas sin financiar a los actores criminales.
Surtr aprovechaba algoritmos de cifrado avanzados, como AES y RSA, para bloquear a las víctimas el acceso a sus datos. Su payload a menudo incluía técnicas de ofuscación para evadir la detección y medidas antianálisis, como deshabilitar el software de seguridad. El ransomware también eliminaba las copias de seguridad ocultas para dificultar la recuperación y se propagaba rápidamente una vez desplegado en una red.
El ransomware Surtr utilizó campañas de spear phishing como su mecanismo principal de distribución, explotando el error humano para obtener acceso inicial. Dependía de la escalada de privilegios para obtener control a nivel de administrador y empleaba herramientas para identificar y cifrar archivos de alto valor, mientras exfiltraba datos para presionar a las víctimas con la amenaza de exposición pública.
Las organizaciones deben monitorear los siguientes IoCs para detectar y mitigar posibles ataques del ransomware Surtr:
IPs: Actividad maliciosa reportada desde direcciones IP específicas (por ejemplo, 192.0.2.123, 198.51.100.45).
Dominios: Resolución de actividad en dominios sospechosos, como surtr-encryption[dot]com.
Nombres de archivo: Archivos cifrados con la extensión .surtr_locked.
El ransomware Surtr causó una interrupción operativa y financiera significativa, lo que provocó tiempos de inactividad del sistema, filtraciones de datos y daños a la reputación de muchas organizaciones. El ataque al registro de la propiedad de Eslovaquia resultó en servicios retrasados y afectó la confianza pública. Las estimaciones de los daños totales alcanzaron los millones, considerando los costos de recuperación y la pérdida de productividad.
Los esfuerzos para combatir el ransomware Surtr involucraron la colaboración de autoridades, firmas privadas de ciberseguridad y organizaciones afectadas. Los equipos de respuesta a incidentes se enfocaron en aislar los sistemas infectados, restaurar las copias de seguridad e implementar parches de seguridad integrales. Las lecciones aprendidas incluyeron la importancia de las defensas en múltiples capas y una capacitación sólida en ciberseguridad para empleados.
Si bien las actividades de Surtr parecieron disminuir a fines de 2022, los expertos en ciberseguridad advierten que sus operadores o grupos afiliados podrían seguir desarrollando nuevas variantes. La vigilancia y el monitoreo continuo de la inteligencia de amenazas siguen siendo fundamentales para mitigar riesgos futuros.
Para prevenir y protegerse contra el ransomware Surtr y amenazas similares, las organizaciones deben:
Mantener los sistemas operativos y el software actualizados con los últimos parches.
Habilitar la autenticación multifactor (MFA) en todas las cuentas.
Realizar capacitaciones periódicas para que los empleados reconozcan intentos de phishing.
Mantener copias de seguridad de datos confiables y sin conexión.
Utilizar soluciones avanzadas de detección y respuesta para endpoints (EDR).
Mantente informado sobre el ransomware Surtr y otras ciberamenazas visitando el Blog de Huntress.
Aprende más sobre estrategias de protección contra ransomware a través de estos recursos de Huntress:
El ransomware es un tipo de malware que corta tu acceso a computadoras, sistemas o redes. Mira el video de nuestro el centro de operaciones de seguridad (SOC) para conocer a fondo la ruta de un ataque de ransomware, para que puedas detectarlo a tiempo, detenerlo y evitar que los hackers se lleven el dinero.
Para cuando ves la nota de rescate, el ataque lleva horas en curso, a veces días. El cifrado es el último paso, no el primero. Si solo reaccionas cuando los archivos se bloquean, ya perdiste la parte que importaba.
Surtr se propaga mediante correos de phishing, acceso comprometido por RDP y vulnerabilidades de software. Hacer clic en enlaces maliciosos o descargar archivos adjuntos infectados permite el despliegue inicial del ransomware.
El descifrado depende de si los investigadores de seguridad desarrollan una herramienta para el ransomware Surtr. Sin una solución de descifrado, las organizaciones deben depender de copias de seguridad o pagar el rescate, lo cual se desaconseja firmemente.
El ransomware apuntó principalmente a infraestructura crítica, organizaciones gubernamentales y grandes empresas, con impactos notables en el registro de la propiedad de Eslovaquia y entidades públicas similares.
Las organizaciones pueden protegerse contra Surtr actualizando el software, capacitando a los empleados para detectar intentos de phishing, habilitando la MFA e implementando medidas sólidas de ciberseguridad, como sistemas avanzados de detección de amenazas.
