Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Curly Spider
Curly Spider es un grupo de cibercrimen de habla rusa que surgió en 2019 y opera dentro del ecosistema de ransomware como servicio (RaaS). Conocido principalmente por la creación de la familia de ransomware Snake (Ekans), la actividad del grupo representa un cambio importante en las campañas de ransomware, al dirigirse explícitamente a los sistemas de control industrial (ICS). Al adoptar un modelo de doble extorsión, Curly Spider interrumpe entornos críticos de tecnología operativa (OT) y exige el pago mediante cifrado y amenazas de exposición de datos.
Perfil del actor de amenazas
Curly Spider
País de origen
Se reporta que Curly Spider tiene base en Europa del Este, atribuido a sus operadores de habla rusa. Aunque su ubicación exacta sigue sin confirmarse, el análisis del idioma de comunicación y de los patrones operativos respalda firmemente esta suposición. No hay evidencia actual que vincule al grupo directamente con patrocinio estatal; sin embargo, su enfoque único en entornos ICS ha alimentado especulaciones sobre posibles motivos geopolíticos.
Miembros
Se desconoce el tamaño exacto de Curly Spider, pero sus operaciones sugieren un equipo altamente especializado que emplea un modelo de ransomware operado por humanos. El análisis de la industria sugiere posibles colaboraciones con corredores de acceso y otros grupos de cibercrimen que comparten técnicas y herramientas similares.
Liderazgo
No se han identificado públicamente nombres ni alias específicos asociados con el liderazgo de Curly Spider. El grupo opera dentro del ecosistema más amplio del ransomware y a menudo colabora con otras entidades cibercriminales, pero su jerarquía interna y sus procesos de toma de decisiones siguen siendo opacos.
TTPs de Curly Spider
Curly Spider emplea una variedad de tácticas, técnicas y procedimientos (TTPs) sofisticados para lograr sus objetivos financieros y disruptivos.
tácticas
El grupo se enfoca en el despliegue de ransomware para cifrar datos e interrumpir sistemas críticos, a menudo empleando una estrategia de doble extorsión. Además de las ganancias financieras, su impacto en infraestructura industrial y crítica resalta el potencial de daño colateral a sectores de seguridad nacional.
técnicas
Para obtener acceso inicial, Curly Spider explota servicios expuestos como el protocolo de escritorio remoto (RDP) y redes privadas virtuales (VPN). Además, suele usar campañas de phishing y accesos comprados a corredores. Después de la explotación, el malware Snake se despliega manualmente, y el volcado de credenciales, los compromisos de Active Directory y los binarios de "vivir de la tierra" (por ejemplo, PsExec, WMI) ayudan al movimiento lateral.
Procedimientos
Su ransomware, Snake/Ekans, agrega a los archivos cifrados extensiones como .EKANS o .SNAKE, mientras ataca simultáneamente los procesos de ICS. Estas interrupciones se logran mediante scripts personalizados y una "lista de eliminación" predeterminada de procesos de software industrial, un método diseñado para desactivar entornos SCADA antes del cifrado.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Organizaciones estatales en Moldavia y Georgia fueron atacadas en la primera mitad de 2025. Los investigadores creyeron que esto fue impulsado por Curly Attack, ya que el ataque fue similar en cuanto a los objetivos y la referencia a herramientas. Sin embargo, esto no está confirmado.
Aplicación de la ley y arrestos
Hasta la fecha, no se han documentado arrestos ni acciones directas de las autoridades vinculadas a los operadores de Curly Spider. Sin embargo, el enfoque específico del grupo en ICS ha sido tema central de discusiones globales sobre ciberseguridad.
Cómo defenderse de Curly Spider
1
Aplica parches y protege servicios expuestos como RDP y VPN para evitar su explotación
2
Separa las redes de IT y OT para limitar el movimiento lateral.
3
Monitorea herramientas como PsExec, WMI y Cobalt Strike para detectar señales de actividad maliciosa.
4
Establece respaldos sin conexión o inmutables tanto para sistemas de IT como de OT.
5
Implementa monitoreo de ICS para detectar cualquier interrupción no autorizada de procesos o servicios.
6
Incorpora ejercicios de simulación de ransomware, incluyendo escenarios de ICS/OT, en la preparación para la respuesta a incidentes.
Descubre cómo los analistas del SOC de Huntress encontraron una clave de ejecución sospechosa en un sistema de una víctima. Encontraron malware de Cobalt Strike oculto en casi 700 valores del registro.
