Cómo se esconden las bandas de ransomware y cómo acaban atrapadas

Las bandas de ransomware llegan a extremos extraordinarios para permanecer invisibles: alojamiento a prueba de balas, redes de anonimato en capas, criptomonedas, identidades compartimentadas y la decisión deliberada de operar desde lugares a los que la policía de sus víctimas no puede llegar. Y, aun así, los últimos años han traído un goteo constante de desenmascaramientos, incautaciones y detenciones. La lección para los defensores no es que estos operadores sean genios imparables: es que esconder una empresa criminal a escala es frágil, y los errores se acumulan.

La atribución empieza por saber que una misma banda puede tener varios nombres: la piedra de Rosetta de nombres de APT de PlayCISO los relaciona entre proveedores.

El manual del anonimato, a grandes rasgos

Entender cómo intentan desaparecer las bandas es la base para detectarlas y atribuirlas. A nivel conceptual, sus técnicas se agrupan en unos pocos temas recurrentes.

• Infraestructura resistente. Los operadores prefieren proveedores de alojamiento que ignoran las quejas por abuso y las solicitudes de retirada (el llamado ecosistema a prueba de balas) y rotan dominios y direcciones IP de forma agresiva (fast-flux y redespliegue constante), para que cualquier entrada en una lista de bloqueo quede obsoleta enseguida.
• Redes de anonimato. Los sitios de filtraciones, los portales de negociación y los canales de mando se colocan con frecuencia detrás de Tor y otras redes superpuestas, de modo que la dirección pública no revela nada sobre dónde está físicamente el servidor.
• Criptomonedas. Los rescates se exigen en criptomonedas y después pasan por mezcladores, saltos entre cadenas y redes de retirada de efectivo para intentar romper el vínculo entre el pago y una persona real.
• Identidades compartimentadas. Los operadores serios mantienen rígidamente separados su alias en los foros, su identidad como desarrolladores de malware y su vida real, y nunca reutilizan credenciales, correos ni apodos entre esos mundos.
• Arbitraje de jurisdicciones. Muchas bandas operan desde Estados sin una relación de extradición significativa con los países de sus víctimas, apostando a que las acusaciones en el extranjero nunca se traducirán en una detención en casa.
• Normas internas. Los programas de ransomware como servicio incorporan, como es sabido, normas para los afiliados (la más conocida, la prohibición de cifrar sistemas en la propia región de los operadores) precisamente para no atraer la atención de las fuerzas del orden locales.

Esto es deliberadamente un mapa conceptual, no un manual. Lo que importa a los defensores es que cada una de estas capas deja costuras, y los investigadores se han vuelto muy buenos encontrándolas.

El anonimato es un sistema, y los sistemas tienen modos de fallo

Ayuda pensar en el anonimato de una banda no como un único muro sino como una cadena de controles, cada uno de los cuales debe aguantar de forma continua y simultánea. El alojamiento nunca debe rastrearse hasta un cliente real. La red de anonimato nunca debe saltarse por un error de configuración. El dinero nunca debe vincularse a una cuenta en la que se pueda gastar. Las identidades nunca deben tocarse. El equipo nunca debe desertar. Una empresa de ransomware es un negocio con desarrolladores, afiliados, negociadores, blanqueadores y administradores, y cada persona adicional es otro eslabón que puede fallar.

Esa fragilidad estructural es la razón por la que los desmantelamientos de los últimos años se leen menos como golpes de suerte aislados y más como algo inevitable que se cumple con retraso. El tiempo juega a favor del defensor: el operador tiene que ser disciplinado en cada inicio de sesión, cada registro y cada cobro durante años, mientras que al investigador le basta con detectar un solo descuido y después corroborarlo con paciencia.

Por qué el disfraz sigue fallando

El anonimato a escala es una disciplina que tiene que mantenerse perfecta, para siempre, en todo un equipo. Casi nunca ocurre. Vale la pena interiorizar los modos de fallo recurrentes, porque son los mismos que aprovechan los defensores y los equipos de inteligencia de amenazas.

• Filtración entre identidades. La perdición más común es la reutilización: una dirección de correo, una cartera de criptomonedas, un alias de foro, una cuenta de Jabber o una contraseña que conecta una identidad criminal con otra antigua, corriente y atribuible. Una sola cadena reutilizada puede derrumbar una década de compartimentación.
• Descuido operativo con el tiempo. La disciplina se erosiona. Alguien se conecta una vez sin su capa de anonimato, registra un dominio con datos reales, presume en un chat o deja que un error de configuración del servidor revele su IP real. Los investigadores son pacientes y solo necesitan que el error ocurra una vez.
• La infraestructura es física. Los servidores están en centros de datos reales de países reales. Cuando los investigadores los localizan y los copian, recuperan configuraciones, logs, listas de afiliados, datos de víctimas y, a veces, claves de descifrado, y convierten un desmantelamiento en un filón de inteligencia.
• El dinero tiene que poder gastarse. Las criptomonedas son seudónimas, no anónimas. El libro mayor público es permanente, y retirar el dinero acaba pasando por un exchange regulado con registros de conocimiento del cliente (KYC).
• La gente habla. Las bandas son organizaciones con afiliados descontentos, socios a los que no se paga y rivalidades internas. Los internos filtran, los informantes colaboran y los miembros detenidos intercambian información.

Cómo rompen el anonimato los investigadores

La atribución rara vez es una bala de plata. Es la lenta correlación de muchas señales débiles hasta formar una fuerte, apoyándose en varias disciplinas a la vez.

Rastreo en blockchain. Como el libro mayor es público y permanente, los analistas agrupan carteras, siguen los fondos a través de mezcladores y saltos entre cadenas y vigilan el momento en que el dinero llega a un exchange al que se puede enviar un requerimiento judicial. El caso de Colonial Pipeline de 2021, en el que las autoridades de EE. UU. recuperaron una gran parte del rescate pagado, es la demostración de referencia de que las criptomonedas «imposibles de rastrear» son un argumento de marketing, no un hecho técnico.

Incautación y toma de la infraestructura. Las operaciones coordinadas hacen cada vez más que desenchufar. En la Operación Cronos (2024), una coalición policial incautó la infraestructura de LockBit y después usó el propio sitio de filtraciones del grupo contra él, publicando datos de afiliados, estadísticas y, más adelante, afirmaciones sobre la identidad detrás del alias «LockBitSupp». Incautaciones similares desmantelaron el mercado de la darknet Hydra y el bazar de credenciales Genesis Market.

Filtraciones internas y desertores. Cuando en 2022 salieron a la luz los registros de chat internos de la banda Conti, los equipos de inteligencia de amenazas obtuvieron una visión poco habitual de salarios, organigramas, herramientas y fricciones de gestión: una plantilla de cómo funcionan realmente estas empresas y un rico conjunto de datos para la atribución.

Trabajo policial tradicional y cooperación. La inteligencia humana sigue importando. Las detenciones de REvil mostraron que ni siquiera los operadores que se refugian en el arbitraje de jurisdicciones son intocables para siempre cuando cambian los vientos políticos y la cooperación internacional. La infiltración, los informantes y las solicitudes de asistencia judicial mutua siguen siendo discretamente decisivos, y un solo afiliado que colabore puede entregar a los investigadores el organigrama, las herramientas y los alias de una vez.

Correlación entre fuentes. Ninguno de estos métodos funciona solo. El grupo de carteras de un analista de blockchain cobra sentido cuando coincide con un registro de chat filtrado, con los registros de acceso de un servidor incautado y con un alias reutilizado de un foro antiguo. La atribución moderna es la fusión de la telemetría técnica, la investigación financiera, las pruebas incautadas y la inteligencia humana en un cuadro que se sostiene ante un tribunal, y cuantas más capas construye una banda para esconderse, más superficies existen con las que correlacionar.

Las lecciones de Conti y LockBit

Dos casos enmarcan la idea. La filtración de Conti se la infligió el propio grupo desde dentro: la prueba de que la mayor amenaza para el secreto de una organización criminal suelen ser sus propios miembros. El desmantelamiento de LockBit vino de fuera: la prueba de que una presión policial sostenida y coordinada puede incautar la misma infraestructura que una banda creía intocable y volver su marca contra ella. En ambos casos, la mitología del operador invencible y sin rostro no sobrevivió al contacto con la realidad.

Qué significa esto para los defensores

La necesidad del adversario de esconderse es también una fuente de oportunidades defensivas. Convierte sus técnicas en tu superficie de detección.

• La infraestructura del adversario se puede detectar. Los mismos dominios rotativos, rangos a prueba de balas y puntos de salida de redes de anonimato que dan resistencia a las bandas producen también patrones observables. Lleva los indicadores de inteligencia de amenazas (rangos de IP maliciosos, huellas de alojamiento, infraestructura de sitios de filtraciones) a tus flujos de detección y bloqueo.
• Los IOC y los TTP tienen un valor real. La información pública de proveedores y los avisos gubernamentales asocian bandas concretas a comportamientos concretos. Relacionar esos TTP con tu telemetría (al estilo de ATT&CK) te permite detectar pronto un manual conocido, durante la intrusión y no ante la nota de rescate.
• La atribución determina la respuesta. Saber a qué banda te enfrentas te dice su tiempo de permanencia probable, sus hábitos de exfiltración de datos, su postura negociadora y si pagar es siquiera legal, dadas las sanciones. La atribución no es vanidad: cambia el plan de respuesta a incidentes.
• La desarticulación es un deporte de equipo. Las victorias que importan nacen de la cooperación: víctimas que notifican rápido y por completo, que comparten indicadores con sus pares y con los ISAC y que conservan las pruebas forenses para que las incautaciones de infraestructura y el rastreo en blockchain tengan material con el que trabajar. Tu notificación discreta puede ser una señal débil que, correlacionada con otras cien, acabe con una banda.

El hilo conductor es sencillo y vale la pena repetírselo a tu consejo: los operadores de ransomware pueden encarecer su captura, pero no pueden hacer desaparecer las pruebas. El libro mayor es permanente, los servidores son físicos, las identidades se filtran y la gente habla. Un delito a esta escala no permanece oculto, y los defensores que entienden por qué están mejor situados para detectarlo, atribuirlo y ayudar a derribarlo.