Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Cactus
Detectada por primera vez en marzo de 2023, esta operación de doble extorsión rápidamente se hizo un nombre al atacar a grandes entidades comerciales. Son conocidos por explotar vulnerabilidades de VPN, pero su movimiento más singular es cifrar su propio binario para evitar la detección. Vaya.
Perfil del actor de amenazas
Cactus
País de origen
Se desconoce el origen exacto del grupo Cactus. Aunque no hay pruebas definitivas, algunos investigadores especulan sobre una posible conexión con un grupo hacktivista malasio del mismo nombre. Sin embargo, estas conexiones no están confirmadas y la verdadera ubicación del grupo sigue siendo un misterio.
Miembros
Al igual que su liderazgo, se desconoce el número de miembros y sus alias. Cactus opera como un grupo de ransomware como servicio (RaaS), lo que significa que se asocia con socios afiliados para llevar a cabo ataques. Este modelo oculta el tamaño del grupo central y dificulta atribuir los ataques a personas específicas. Los operadores parecen ser altamente capacitados, lo que sugiere un equipo central pequeño y experimentado.
Liderazgo
¿Quién manda en Cactus? No lo sabemos con certeza. La estructura de liderazgo y las identidades de sus figuras clave se mantienen muy bien ocultas. Dada la sofisticación y el rápido crecimiento del grupo, es probable que esté dirigido por veteranos experimentados del cibercrimen que saben cómo mantenerse en las sombras.
Técnicas de Cactus (TTPs)
Cactus no es solo otra variante de ransomware; estos atacantes son astutos. Usan una combinación de técnicas ingeniosas para vulnerar redes, mantenerse ocultos y presionar a las víctimas para que paguen.
tácticas
El objetivo principal de Cactus es simple: ganancia financiera. Lo logran mediante un modelo de doble extorsión. Primero, cifran tus datos críticos, lo que paraliza las operaciones del negocio. Luego, amenazan con filtrar la información sensible que robaron antes del cifrado, sumando humillación pública y multas regulatorias a tu lista de problemas.
técnicas
Cactus logra entrar explotando vulnerabilidades conocidas en aplicaciones públicas, en particular dispositivos VPN (como Fortinet y Qlik Sense) y otros servicios de acceso remoto. Una vez dentro, usan tácticas de "Living-off-the-Land" (LotL), aprovechando herramientas legítimas como PowerShell, Rclone y software de gestión remota (AnyDesk, Splashtop) para mezclarse con el tráfico normal de la red y evadir la detección.
Procedimientos
La cadena de ataque de Cactus es una máquina bien aceitada.
Acceso inicial: logran entrar explotando VPN sin parches, realizando campañas de phishing o comprando credenciales robadas en foros de la dark web.
Persistencia y descubrimiento: crean una puerta trasera SSH y usan tareas programadas para mantener el acceso. Luego escanean la red con herramientas como SoftPerfect Network Scanner para mapear el entorno y encontrar más objetivos.
Acceso a credenciales: el grupo extrae credenciales de LSASS y de los navegadores para escalar privilegios y moverse lateralmente.
Evasión de defensas: aquí está su movimiento característico. Cactus cifra su propio binario de ransomware para evitar ser detectado por las soluciones antivirus. También usan scripts para desinstalar herramientas de seguridad comunes.
Exfiltración e impacto: antes de implementar el ransomware, roban datos con herramientas como Rclone. Finalmente, un script de PowerShell automatiza el proceso de cifrado en toda la red, dejando su nota de rescate, "cAcTuS.readme.txt".
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
El ataque de enero de 2024 a Schneider Electric puso a Cactus en los titulares. El grupo vulneró la división de Sustainability Business de la empresa, que atiende a clientes importantes como Walmart, Hilton y PepsiCo. Cactus afirmó haber exfiltrado 1,5 TB de datos antes de desplegar el ransomware, lo que demuestra su capacidad de atacar objetivos globales de alto valor.
Aplicación de la ley y arrestos
Hasta finales de 2025, no se han anunciado públicamente arrestos ni operaciones de las fuerzas del orden dirigidas específicamente al grupo de ransomware Cactus. Estos grupos son notoriamente difíciles de rastrear, pero las agencias globales trabajan activamente para desmantelar las operaciones de RaaS.
Cómo defenderte de Cactus
1
Parchea, parchea, parchea: Cactus adora explotar vulnerabilidades conocidas de VPN. Mantén tus sistemas actualizados para cerrar esos puntos de entrada fáciles.
2
Usa autenticación fuerte: Implementa autenticación multifactor (MFA) en todos los servicios. Las contraseñas robadas no les servirán de mucho si no pueden sortear la MFA.
3
Capacita a tu equipo: Capacita a los empleados sobre la importancia de identificar correos de phishing y de usar contraseñas fuertes y únicas.
4
Segmenta tu red: Aísla los sistemas críticos para dificultar que los atacantes se muevan lateralmente si logran entrar.
5
Monitorea tu entorno: No puedes detener lo que no puedes ver. Huntress Managed EDR ofrece monitoreo 24/7 por cazadores de amenazas humanos que pueden detectar las sutiles técnicas de "Living-off-the-Land" que usa Cactus. Detectamos scripts de PowerShell sospechosos, acceso remoto anómalo y otros comportamientos que señalan una vulneración antes de que empiece siquiera el cifrado.
Referencias
