Así como la industria del software legítimo se dio cuenta de que vender servicios continuos era más rentable y sostenible que vender licencias únicas, las organizaciones cibercriminales han adoptado la economía de suscripción. Esto crea una cadena de suministro interconectada de proveedores criminales que se especializan en diferentes componentes de la cadena de ataque. Los operadores se enfocan en crear y mantener el malware, mientras que los afiliados alquilan estas herramientas para ejecutar ataques.

Suscripción y licenciamiento

Los operadores de cibercrimen como servicio usan algunos modelos diferentes:

• Suscripciones mensuales y anuales: Comunes para malware de "volumen" como infostealers, keyloggers y kits de phishing. Los afiliados pagan una tarifa recurrente fija (generalmente entre $150 y $1.000 al mes) para acceder al creador de malware, al panel de control y a actualizaciones regulares. 

• Licencias de por vida: Un pago único, que se ve con frecuencia en herramientas de nivel inferior o para promover el lanzamiento inicial de una nueva cepa de malware.

• Reparto de ingresos con afiliados: El estándar para el Ransomware-as-a-Service (RaaS) de alto riesgo. En lugar de un pago inicial, el modelo se basa en compartir ganancias. Los afiliados se quedan con la mayor parte del rescate (70%–90%), mientras que el operador principal de RaaS se queda con el resto. El operador solo cobra si el afiliado tiene éxito, lo que incentiva un ransomware de alta calidad e indetectable. 

Experiencia del cliente

Como los servicios clandestinos de cibercrimen son un mercado competitivo, ofrecer la mejor experiencia al cliente es crucial para destacar. Los operadores de MaaS de primer nivel ofrecen materiales de capacitación de calidad empresarial respaldados por soporte al cliente 24/7, generalmente a través de canales de Telegram o foros de la dark web. Los "tribunales de arbitraje" de la dark web responsabilizan aún más a los operadores

El mercado de MaaS cuenta con operadores en casi cada paso de la cadena de ataque, lo que reduce considerablemente la barrera de entrada para los afiliados. Algunos ejemplos de malware como servicio incluyen:

Corredores de acceso inicial (IABs)

Los IABs se especializan en vulnerar redes corporativas y vender las "llaves del castillo", como credenciales de protocolo de escritorio remoto (RDP), cuentas VPN o web shells instalados en servidores comprometidos. El precio suele basarse en los ingresos anuales del objetivo, su ubicación y el nivel de privilegios. Los IABs han acelerado drásticamente el ritmo de los ciberataques, dejando menos tiempo a los equipos de defensa para detectar intrusiones antes de que causen impacto.

Cargadores (loaders) y droppers

Los loaders son los camiones de reparto del mundo del MaaS: malware diseñado para lograr un punto de apoyo persistente en un sistema, establecer persistencia e implementar cargas adicionales. Pikabot, el sucesor de Qakbot, se ha convertido en una herramienta preferida para distribuir ransomware. Generalmente se ejecuta mediante archivos adjuntos maliciosos de correo electrónico, y Pikabot establece una conexión a un servidor de comando y control (C2), donde espera para implementar cargas secundarias. 

Ladrones de información (info-stealers)

Los info-stealers son programas maliciosos que recopilan datos sensibles, principalmente de los navegadores, incluyendo contraseñas, información de autocompletado y, lo más crítico, cookies de sesión. Estos registros se venden al por mayor y suelen ser una vía hacia brechas de alto impacto, permitiendo a los atacantes evadir el MFA para acceder a redes corporativas. El año pasado, la cantidad de info-stealers distribuidos mediante phishing aumentó un 84%.

Modelo de phishing como servicio (PhaaS)

El phishing ha evolucionado de sitios simples de recolección de credenciales a plataformas sofisticadas de adversario en el medio (AiTM) capaces de evadir el MFA tradicional en tiempo real. Plataformas como Tycoon 2FA envían a las víctimas a un sitio proxy idéntico a una página de inicio de sesión legítima (por ejemplo, Microsoft 365). La víctima ingresa sus credenciales, que se retransmiten al servicio real. Esto activa el proceso de MFA, que también se intercepta, permitiendo al atacante secuestrar la sesión. 

Por una tarifa mensual, el afiliado obtiene acceso a infraestructura alojada, plantillas personalizables y un panel para administrar las sesiones robadas.

Familias de ransomware como servicio (RaaS)

A pesar de que cada vez más organizaciones se niegan a pagar rescates, el RaaS es uno de los segmentos más destructivos financieramente de la economía MaaS, con un costo promedio de una brecha de ransomware de $5.08 millones (sin incluir el rescate). 

El crecimiento explosivo del malware como servicio se debe a ventajas estructurales que lo hacen escalable, resiliente y enormemente rentable. El MaaS ha democratizado el cibercrimen. Los hackers ya no necesitan un conocimiento técnico profundo de programación, redes, criptografía y desarrollo de exploits. Con una suscripción a RaaS y una lista de credenciales RDP comprometidas, un "script kiddie" sin habilidades de programación puede lanzar un ataque de nivel empresarial en cuestión de horas. 

Además, la filosofía de inteligencia compartida del underground ha ayudado a elevar el nivel de toda una generación de cibercriminales, con manuales filtrados de Conti y de LockBit que funcionan como una clase magistral.

La competencia entre operadores y con la comunidad de ciberseguridad también genera actualizaciones constantes. Los operadores de MaaS deben innovar continuamente para evadir la detección y ofrecer una ventaja que retenga a los suscriptores. 

Con la promesa de un retorno de inversión considerable, el ecosistema de MaaS sigue atrayendo nuevos actores. Cuando una inversión de $500 en un kit de phishing y acceso a un IAB puede generar ganancias de seis o siete cifras, el atractivo del MaaS es evidente.

La ciberseguridad frente al MaaS exige un cambio respecto a la defensa perimetral tradicional. Las organizaciones deben asumir que la brecha ya ocurrió y enfocarse en la detección rápida, la contención y la resiliencia. 

Protecciones de identidad

Con el aumento del phishing AiTM y los info-stealers, proteger la identidad del usuario se ha convertido en una primera línea de defensa fundamental. Los métodos tradicionales de MFA (por ejemplo, SMS, notificaciones push) son vulnerables a ataques de proxy. Las organizaciones deben adoptar los estándares FIDO2/WebAuthn para un MFA resistente al phishing.

Los proveedores de identidad deben configurarse para aplicar un acceso condicional estricto. Las políticas que restringen el acceso según el estado del dispositivo (dispositivos compatibles/administrados), la geolocalización y los viajes imposibles pueden evitar que un atacante use una cookie de sesión robada. La detección y respuesta ante amenazas de identidad (ITDR) puede ayudar a detectar amenazas basadas en identidad en tiempo real.

Detección y respuesta para endpoints (EDR)

Los operadores están usando IA para escribir ransomware polimórfico que se adapta para evadir el software antivirus. EDR protege contra esto al monitorear el comportamiento en lugar de los hashes de archivos. Estas herramientas pueden detectar relaciones sospechosas entre procesos, como las que usan loaders como Pikabot, y terminarlas automáticamente. 

SIEM 

La gestión de información y eventos de seguridad (SIEM) cumple un papel crucial al unir señales de dispositivos, aplicaciones, etc. en tu red para identificar ataques complejos de varias etapas.  Por ejemplo, detectar inicios de sesión VPN desde una fuente nueva que figura en una lista conocida de inteligencia de amenazas de hackers, seguidos de actividad inusual en un endpoint. 

Coordinación de desmantelamientos

Las operaciones de las fuerzas del orden cumplen un papel vital al interrumpir el ecosistema de MaaS. Operaciones como la "Duck Hunt" del FBI, que desmanteló la infraestructura de Qakbot, interrumpen la cadena de suministro al confiscar servidores y redirigir el tráfico del botnet. Aunque estas interrupciones suelen ser temporales, obligan a los adversarios a reconstruir su infraestructura, aumentando sus costos operativos y la fricción. 

Simulacros de respuesta a incidentes

Malware-as-a-service le ha dado a cada atacante capacidades de hacking de nivel empresarial, acelerando los ataques y alimentando el auge del ransomware. Huntress es la plataforma de ciberseguridad para MaaS diseñada para interrumpir las cadenas de ataque de MaaS con monitoreo de identidad, endpoint y registros, todo bajo un SOC disponible 24/7 asistido por IA.