Ver el código de «Ataque de Ransomware Rhysida al Gobierno de Berlín: Robo de 5.79 TB de Datos y Extorsión Pre-electoral (2026)»

== Nombres Alternativos / Aliases ==

* Rhysida Ransomware Attack (Ataque de ransomware Rhysida)
* Berlin Government Data Breach (Brecha de datos del gobierno de Berlín)
* Berlin Senate Network Cyberattack (Ciberataque a la red del Senado de Berlín)
* Berlin Election Ransomware Incident (Incidente de ransomware en las elecciones de Berlín)

----

== Fecha de Detección / Actividad ==

* Primera actividad sospechosa: 7 de agosto de 2026 (detección interna de flujo de datos)
* Período de exfiltración de datos: 7-12 de agosto de 2026
* Fecha de divulgación pública: 17 de agosto de 2026
* Aislamiento de departamentos afectados: 14 de agosto de 2026
* Reclamación de responsabilidad por Rhysida: 28 de agosto de 2026
* Reconexión de departamentos al Senado: 23 de agosto de 2026
* Elecciones de Berlín: 20 de septiembre de 2026 (menos de un mes después del ataque)
* Estado: Activa (investigación forense en curso, datos en subasta en la dark web)

----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Característica
!Detalle
|-
|Nombre del Actor
|Rhysida (grupo de ransomware como servicio - RaaS)
|-
|Origen
|Presuntamente Rusia o Europa del Este
|}

* ☑  Vínculo Gubernamental | No establecido |  | Tipo de Actor | Ciberdelincuencia / Ransomware-as-a-Service (RaaS) |  | Antigüedad | Activo desde mayo de 2023
* ☑  Número de víctimas | ~280 ataques reclamados desde su aparición
* ☑  Distribución de víctimas | ~50% en EE.UU., seguido de Reino Unido, Canadá e Italia
* ☑  Víctimas notables anteriores | British Library (octubre 2023), ejército de Chile, ciudad de Stuttgart (mayo 2026), Welthungerhilfe (junio 2025), Puerto de Seattle (septiembre 2024)
* ☑  Sectores objetivo | Educación, salud, manufactura, tecnología de la información, gobierno
* ☑  Relación con Vice Society | Similitudes documentadas con Vice Society (DEV-0832 / Storm-0832)
* ☑  Modelo de negocio | RaaS con reparto de beneficios entre el grupo y los afiliados
* ☑  Método de ataque | "Objetivos de oportunidad" - explotan vulnerabilidades conocidas y configuraciones deficientes

----

== Resumen Ejecutivo ==
El gobierno del estado de Berlín ha sido víctima de un ataque de ransomware por parte del grupo Rhysida, que ha resultado en la exfiltración de 5.79 terabytes de datos de la red administrativa de la ciudad-estado. El ataque ocurrió en un momento crítico, menos de un mes antes de las elecciones parlamentarias de Berlín del 20 de septiembre de 2026 .

=== Descubrimientos clave ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Datos exfiltrados (reclamados)
|5.79 TB, ~1.44 millones de archivos
|}

* ☑  Personas afectadas (reclamadas) | 12,076 individuos
* ☑  Período de exfiltración | 7-12 de agosto de 2026
* ☑  Demanda de rescate | 30 Bitcoin (~$77,622 USD / ~€2 millones)
* ☑  Plazo de pago | 7 días (subasta pública si no se paga)
* ☑  Postura del gobierno | "No cederemos a la extorsión"
* ☑  Elecciones | 20 de septiembre de 2026 (infraestructura electoral no afectada, según las autoridades)
* ☑  Investigación | En curso por LKA, fiscalía y autoridades federales

=== Datos reclamados por Rhysida ===
El grupo afirma haber robado información extremadamente sensible :
{| class="wikitable"
!Categoría
!Datos
|-
|Datos personales
|12,076 personas, 16,389 correos electrónicos, 11,963 números de teléfono, 148 IBAN
|-
|Registros sensibles
|>5,000 expedientes de personal, >5,000 expedientes de faltas administrativas, datos de nómina
|-
|Credenciales
|Contraseñas en texto plano para sistemas como GebäudAtlas, PAYONE y cuentas Z_ADMIN
|-
|Documentos gubernamentales
|Procedimientos disciplinarios, casos judiciales, documentos de supervisión, registros de la NDA, protocolos del Bundesrat
|-
|Información clasificada
|Datos relacionados con material clasificado y documentos con supuestos secretos de Estado
|-
|Infraestructura crítica
|Análisis de vulnerabilidad del suministro de agua de Berlín
|-
|Documentos de identidad
|Pasaportes y tarjetas de identificación de registros de personal
|-
|Otros
|Contratos (46,500), documentos financieros, registros de RRHH, archivos de infraestructura, datos de salud, almacenes de contraseñas, archivos SQL/PST, mapas y datos geoespaciales (124,823 archivos)
|}
<blockquote>''"El grupo también alega que el material podría infringir el RGPD, la normativa alemana sobre información clasificada, el derecho penal y los requisitos de KRITIS/BSIG. Estas son afirmaciones de Rhysida y no han sido verificadas de forma independiente."''</blockquote>
----

== Vector de Ataque / Métodos de Distribución ==

=== Métodos de acceso inicial documentados (CISA/FBI) ===
Según el aviso conjunto de CISA, FBI y MS-ISAC (noviembre de 2023), Rhysida utiliza principalmente tres vectores de acceso :
{| class="wikitable"
!Vector
!Descripción
!Estado
|-
|Credenciales VPN comprometidas
|Autenticación en puntos de acceso VPN internos con credenciales válidas robadas, especialmente en organizaciones sin MFA
|Activo
|-
|Zerologon (CVE-2020-1472)
|Vulnerabilidad de elevación de privilegios en el protocolo Netlogon de Microsoft (parcheada en agosto de 2020)
|Aún explotada en sistemas sin parchear
|-
|Phishing
|Campañas de phishing tradicionales para obtener credenciales iniciales
|Activo
|}

=== Herramientas utilizadas por Rhysida ===
El grupo emplea técnicas de "living off the land" (uso de herramientas nativas del sistema operativo) y herramientas adicionales :
{| class="wikitable"
!Herramienta
!Propósito
|-
|cmd.exe, PowerShell.exe
|Ejecución de comandos nativos
|-
|PsExec.exe
|Movimiento lateral y ejecución remota de procesos
|-
|mstsc.exe
|Conexiones RDP
|-
|PuTTY.exe
|Conexiones SSH para movimiento lateral
|-
|PortStarter
|Script en Go para modificar firewall y abrir puertos C2
|-
|secretsdump
|Extracción de credenciales y volcado de NTDS
|-
|ntdsutil.exe
|Extracción de la base de datos NTDS.dit (hashes de Active Directory)
|-
|AnyDesk
|Acceso remoto y persistencia
|-
|wevtutil.exe
|Borrado de registros de eventos de Windows
|-
|PowerView
|Reconocimiento y recolección de credenciales en dominios Windows
|}

=== La brecha de tiempo crítica ===
El departamento afectado detectó un flujo de datos no autorizado el 7 de agosto, pero no fue aislado de la red hasta el 14 de agosto, una semana después . Este lapso de siete días entre la detección interna y la contención efectiva es un factor clave en la magnitud del incidente.
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Valid Accounts: Domain Accounts (T1078.002)
|Credenciales VPN comprometidas sin MFA
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|CVE-2020-1472 (Zerologon)
|-
|Initial Access (TA0001)
|Phishing: Spearphishing Attachment (T1566.001)
|Correos de phishing
|-
|Execution (TA0002)
|Command and Scripting Interpreter: PowerShell (T1059.001)
|Uso de PowerShell
|-
|Execution (TA0002)
|Remote Services: SMB/Windows Admin Shares (T1021.002)
|PsExec para ejecución remota
|-
|Persistence (TA0003)
|Remote Access Software (T1219)
|AnyDesk
|-
|Privilege Escalation (TA0004)
|Exploitation for Privilege Escalation (T1068)
|Zerologon (CVE-2020-1472)
|-
|Defense Evasion (TA0005)
|Indicator Removal: Clear Windows Event Logs (T1070.001)
|Borrado de logs con wevtutil
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Herramientas nativas camufladas
|-
|Credential Access (TA0006)
|OS Credential Dumping (T1003)
|Volcado de NTDS.dit con ntdsutil y secretsdump
|-
|Discovery (TA0007)
|Account Discovery (T1087)
|Enumeración de cuentas de Active Directory
|-
|Discovery (TA0007)
|File and Directory Discovery (T1083)
|Reconocimiento del sistema de archivos
|-
|Lateral Movement (TA0008)
|Remote Services: SMB/Windows Admin Shares (T1021.002)
|PsExec y SSH (PuTTY)
|-
|Collection (TA0009)
|Data from Local System (T1005)
|Exfiltración de 5.79 TB de datos
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|Comunicación C2
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Transferencia de datos robados
|-
|Impact (TA0040)
|Data Encrypted for Impact (T1486)
|Cifrado de archivos (ransomware)
|-
|Impact (TA0040)
|Financial Theft / Extortion (T1657)
|Extorsión y subasta de datos
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Volumen de datos
|MUY ALTO
|5.79 TB, ~1.44 millones de archivos
|-
|Sensibilidad de datos
|MUY ALTA
|Datos personales, credenciales, información clasificada, infraestructura crítica
|-
|Momento del ataque
|MUY CRÍTICO
|Menos de un mes antes de las elecciones
|-
|Respuesta del gobierno
|ALTA
|Negativa a pagar el rescate
|-
|Riesgo de publicación
|MUY ALTO
|Subasta pública en la dark web si no se paga
|-
|Riesgo legal
|ALTO
|Posibles violaciones del RGPD y otras regulaciones
|}

=== Consecuencias para la víctima ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Exposición de datos personales
|Crítica
|12,076 personas con datos sensibles expuestos
|-
|Exposición de credenciales
|Crítica
|Contraseñas en texto plano para sistemas críticos
|-
|Compromiso de infraestructura crítica
|Crítica
|Análisis de vulnerabilidad del suministro de agua de Berlín
|-
|Daño reputacional
|Alta
|Gobierno de Berlín comprometido semanas antes de elecciones
|-
|Riesgo electoral
|Media
|Posible impacto en la confianza pública en el proceso electoral
|-
|Riesgo de extorsión
|Alta
|Amenaza de subasta de datos sensibles
|}

=== La brecha de tiempo crítica ===
El departamento afectado detectó un flujo de datos no autorizado el 7 de agosto, pero no fue aislado de la red hasta el 14 de agosto, una semana después . Este lapso de siete días entre la detección interna y la contención efectiva es un factor clave en la magnitud del incidente.
----

== Detección y Respuesta ==

=== Respuesta del gobierno de Berlín ===
{| class="wikitable"
!Medida
!Descripción
|-
|Aislamiento de sistemas
|Desconexión de los departamentos afectados del Landesnetz el 14 de agosto
|-
|Investigación forense
|En curso por LKA, fiscalía y autoridades federales
|-
|Notificación a autoridades
|Comisionado de Protección de Datos y BSI informados continuamente
|-
|Negativa a pagar
|"El estado de Berlín no se someterá a la extorsión"
|-
|Restauración de servicios
|Reconexión de todos los departamentos del Senado el 23 de agosto
|-
|Notificación a afectados
|Pendiente (sin asesoramiento específico a los 12,076 afectados hasta el 29 de agosto)
|}

=== Declaración oficial ===
<blockquote>''"El estado de Berlín es víctima de un delito grave. El Senado no aceptará las demandas de los extorsionadores."''

— Kai Wegner, Alcalde de Berlín</blockquote><blockquote>''"Según el estado actual, no se han filtrado datos en las áreas relevantes para la realización de las elecciones del 20 de septiembre. El entorno electoral es seguro según nuestros responsables de seguridad."''

— Iris Spranger, Senadora del Interior de Berlín</blockquote>
----

== Recomendaciones de Mitigación ==

=== Para organizaciones gubernamentales y críticas ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|MFA en todos los accesos remotos
|CRÍTICA
|Especialmente VPN y RDP
|-
|Parchear Zerologon (CVE-2020-1472)
|CRÍTICA
|Aunque es una vulnerabilidad antigua, sigue siendo explotada
|-
|Segmentación de red
|CRÍTICA
|Limitar el movimiento lateral de los atacantes
|-
|Monitoreo de actividad anómala
|ALTA
|Especialmente el uso de PsExec y herramientas de administración remota
|-
|Auditoría de logs
|ALTA
|Detectar borrado de logs de eventos (wevtutil)
|-
|Rotación de credenciales
|ALTA
|Si hay sospecha de compromiso de NTDS.dit, rotar todas las contraseñas del dominio
|-
|Plan de respuesta a incidentes
|ALTA
|Incluyendo planes de comunicación para víctimas potenciales
|-
|Copias de seguridad offline
|ALTA
|Inmutables y aisladas de la red principal
|-
|Educación de usuarios
|ALTA
|Capacitación sobre phishing y riesgos de credenciales
|}

=== Para el gobierno de Berlín (pendiente) ===
{| class="wikitable"
!Acción
!Descripción
|-
|Notificar a los afectados
|Proporcionar asesoramiento específico a las personas cuyos datos pueden haber sido comprometidos
|-
|Revisar políticas de seguridad
|Analizar cómo el departamento afectado pudo tener datos expuestos durante una semana sin aislamiento
|-
|Auditoría de acceso
|Revisar todos los accesos VPN y RDP durante el período de exfiltración
|-
|Análisis forense profundo
|Determinar el alcance exacto de los datos exfiltrados
|}
----

== Contexto Más Amplio: Rhysida a Nivel Global ==
{| class="wikitable"
!Estadística
!Dato
|-
|Primera aparición
|Mayo de 2023
|-
|Víctimas totales
|~280
|-
|Víctimas en Alemania
|9 (incluyendo Stuttgart y Welthungerhilfe)
|-
|Víctimas en EE.UU.
|~50% del total
|-
|Otros países
|Reino Unido, Canadá, Italia
|-
|Víctimas notables
|British Library, Ejército de Chile, Puerto de Seattle
|-
|Modelo de negocio
|Ransomware-as-a-Service (RaaS)
|}
----

== Opiniones de Expertos ==
<blockquote>''"Rhysida no es un nombre desconocido para quienes rastrean el ransomware dirigido contra objetivos gubernamentales. Según servicios de seguimiento citados por Reuters, el grupo ha cobrado alrededor de 280 víctimas desde su aparición en 2023, incluyendo nueve solo en Alemania y objetivos destacados como la Biblioteca Británica y el ejército de Chile."''

— Pierluigi Paganini, Security Affairs</blockquote><blockquote>''"La negativa de Berlín a pagar el rescate sigue las recomendaciones de larga data de las agencias federales estadounidenses, que advierten que pagar un rescate no garantiza la recuperación de datos y puede incentivar más ataques. Decir no al rescate es una cosa; afrontar las consecuencias si los atacantes publican los datos robados es otra muy distinta."''

— Security Affairs</blockquote><blockquote>''"La IT-Sicherheitsexpertin Bianca Kastl (CCC) considera correcta la decisión del gobierno de no pagar: 'Porque a través del modelo de negocio se permite que haya un flujo constante de dinero para estas bandas'. Sin embargo, advirtió que los datos podrían ser vendidos en la dark web a otros grupos criminales."''

— Bianca Kastl, Chaos Computer Club (CCC)</blockquote>
----

== Referencias y Fuentes ==

# ThaiCERT. (2026, 31 de agosto). ''Berlin Government Hit by Rhysida Ransomware Ahead of Election''.
# Berlin.de. (2026, 28 de agosto). ''Wegner and Spranger: "Berlin will not give in to blackmail"''.
# U.S. News & World Report / Reuters. (2026, 28 de agosto). ''Ransomware Group Says It Stole Berlin Data, Offers It for Auction''.
# The Hacker News. (2026, 28 de agosto). ''Berlin Refuses to Pay Hackers Who Stole Data From the City's State Network''.
# Security Affairs. (2026, 29 de agosto). ''Rhysida Ransomware Group Targets Berlin Government Ahead of Vote''.
# Mitteldeutsche Zeitung. (2026, 29 de agosto). ''Senatskanzlei äußert sich nicht zu den Erpressern''.
# CISA/FBI/MS-ISAC. (2023, 15 de noviembre). ''#StopRansomware: Rhysida Ransomware''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-08-31
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en informes de ThaiCERT, Security Affairs, The Hacker News, Reuters, Berlin.de y otros
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Hashes (CISA/FBI) ===
{| class="wikitable"
!Archivo
!SHA256
!Propósito
|-
|<code>conhost.exe</code>
|<code>6633fa85bb234a75927b23417313e51a4c155e12f71da3959e168851a600b010</code>
|Binario de ransomware
|-
|<code>psexec.exe</code>
|<code>078163d5c16f64caa5a14784323fd51451b8c831c73396b967b4e35e6879937b</code>
|Ejecución remota
|-
|<code>S_0.bat</code>
|<code>1c4978cd5d750a2985da9b58db137fc74d28422f1e087fd77642faa7efe7b597</code>
|Script de preparación
|-
|<code>1.ps1</code>
|<code>4e34b9442f825a16d7f6557193426ae7a18899ed46d3b896f6e4357367276183</code>
|Lista de extensión de archivos
|-
|<code>S_1.bat</code>
|<code>97766464d0f2f91b82b557ac656ab82e15cae7896b1d8c98632ca53c15cf06c4</code>
|Script de copia de ransomware
|}

=== Técnicas de evasión ===
{| class="wikitable"
!Técnica
!Descripción
|-
|Borrado de logs
|<code>wevtutil.exe</code> para limpiar registros de eventos del sistema, aplicación y seguridad
|-
|Directorio de staging
|Carpetas <code>C:\in</code> y <code>C:\out</code> para alojar ejecutables maliciosos
|}

=== Comportamiento a monitorear ===
{| class="wikitable"
!Categoría
!Comportamiento
|-
|Autenticación
|Intentos de autenticación VPN desde ubicaciones inusuales
|-
|Procesos
|Ejecución de <code>PsExec.exe</code>, <code>PuTTY.exe</code>, <code>AnyDesk</code> no autorizados
|-
|Archivos
|Creación de carpetas <code>in</code> y <code>out</code> en la raíz de C:
|-
|Logs
|Borrado de registros de eventos de Windows (<code>wevtutil</code>)
|-
|Active Directory
|Volcado de NTDS.dit (<code>ntdsutil.exe</code>, <code>secretsdump</code>)
|}
----

== Etiquetas / Categorías ==
 rhysida-ransomware berlin-government-cyberattack berlin-election-ransomware 5.79tb-data-theft zerologon-cve-2020-1472 german-government-breach vpn-credential-theft-raas ransomware-extortion