Fernando.VH en 21:34 21 ago 2026

2026-08-21T21:34:44Z

← Revisión anterior		Revisión del 21:34 21 ago 2026
Línea 112:		Línea 112:
	* [[TrickBot]]		* [[TrickBot]]
	* [[Conti]]		* [[Conti]]
	* [[~~Cobalt Strike~~]]		* [[CobaltStrike]]
	* [[Mimikatz]]		* [[Mimikatz]]

Fernando.VH: Página creada con «Categoría:Familias de malware = Ryuk = '''Ryuk''' es una familia de ransomware y un grupo de ciberdelincuencia que opera bajo un modelo de '''big-game hunting''' (caza mayor), dirigido a grandes organizaciones como empresas, hospitales, escuelas y entidades gubernamentales. Activo principalmente desde 2018 hasta mediados de 2020, Ryuk se convirtió en una de las amenazas de ransomware más destructivas de su período [citation:1]. El nombre "Ryuk" proviene de u…»

2026-08-21T21:34:20Z

Página creada con «Categoría:Familias de malware = Ryuk = '''Ryuk''' es una familia de ransomware y un grupo de ciberdelincuencia que opera bajo un modelo de '''big-game hunting''' (caza mayor), dirigido a grandes organizaciones como empresas, hospitales, escuelas y entidades gubernamentales. Activo principalmente desde 2018 hasta mediados de 2020, Ryuk se convirtió en una de las amenazas de ransomware más destructivas de su período [citation:1]. El nombre "Ryuk" proviene de u…»

Página nueva

[[Categoría:Familias de malware]]
= Ryuk =

'''Ryuk''' es una familia de ransomware y un grupo de ciberdelincuencia que opera bajo un modelo de '''big-game hunting''' (caza mayor), dirigido a grandes organizaciones como empresas, hospitales, escuelas y entidades gubernamentales. Activo principalmente desde 2018 hasta mediados de 2020, Ryuk se convirtió en una de las amenazas de ransomware más destructivas de su período [citation:1].

El nombre "Ryuk" proviene de un personaje del popular anime ''Death Note'', lo que refleja la naturaleza lúdica pero letal de sus operadores [citation:10].

== Características principales ==

=== Origen y atribución ===
* Ryuk está atribuido al grupo de ciberdelincuencia conocido como '''WIZARD SPIDER''', un actor de amenazas con sede en Rusia o en países de la Comunidad de Estados Independientes (CEI) [citation:1][citation:4].
* El grupo opera dentro del ecosistema de ransomware-as-a-service y está estrechamente vinculado al sindicato criminal más amplio de '''TrickBot''' [citation:1][citation:4][citation:10].
* Muchos investigadores evalúan que la posterior operación de ransomware '''Conti''' surgió del ecosistema de Ryuk [citation:1][citation:4].
* '''Recompensa''': El gobierno de EE.UU. ofreció una recompensa de hasta 10 millones de dólares por información que condujera a la identificación o localización de los líderes del grupo Ryuk/Conti [citation:1].

=== Relación con Hermes y TrickBot ===
* Ryuk comparte similitudes de código con el ransomware '''Hermes''', que se utilizó en el ataque al Far Eastern International Bank de Taiwán en 2017. Se cree que Ryuk es una versión altamente modificada y mejorada de Hermes [citation:6][citation:10][citation:11].
* '''No se atribuye a Corea del Norte''': Aunque Hermes fue utilizado por el grupo Lazarus de Corea del Norte, los investigadores determinaron que los operadores de Ryuk probablemente tuvieron acceso al código fuente de Hermes a través de mercados clandestinos y compilaron una nueva versión [citation:10].
* Ryuk mantiene una relación simbiótica con '''TrickBot'''. Los operadores de Ryuk utilizan redes infectadas con TrickBot como acceso inicial, pagando a los operadores de TrickBot por este servicio [citation:5][citation:10].

=== Filiación técnica: Hermes y Ryuk ===
Según el análisis de MITRE ATT&CK, Ryuk comparte varias similitudes con Hermes [citation:11]:
* '''Algoritmos de cifrado idénticos''': Ambos utilizan una combinación de '''AES-256''' (cifrado simétrico) y '''RSA-2048''' (cifrado asimétrico) para proteger las claves [citation:6][citation:11].
* '''Mismos flujos de llamadas''': La forma en que ambos generan y verifican los marcadores de cifrado (para saber si un archivo ya fue cifrado) es casi idéntica [citation:6].
* '''Uso de objetos binarios grandes (BLOBs)''': Ambos utilizan estructuras de datos similares para almacenar las claves de cifrado [citation:6].

== Técnicas y tácticas avanzadas ==

=== Vectores de ataque ===
* '''Phishing y malspam''': El vector de acceso inicial más común. Los correos electrónicos suelen contener documentos de Office con macros maliciosas que descargan el payload [citation:1][citation:5][citation:6].
* '''Explotación de vulnerabilidades''': Uso de vulnerabilidades como '''ZeroLogon (CVE-2020-1472)''' para escalar privilegios de forma extremadamente rápida. En un caso documentado, los atacantes completaron todo el ataque en solo 5 horas [citation:8].
* '''Compra de acceso a brokers (IABs)''': Adquisición de credenciales y accesos a redes corporativas a través de intermediarios especializados [citation:1][citation:4].
* '''RDP expuesto''': Ataques de fuerza bruta contra servicios de Escritorio Remoto expuestos a Internet [citation:4][citation:10].

=== Herramientas de post-explotación ===
Una vez dentro de la red, los operadores de Ryuk utilizan un arsenal de herramientas ofensivas:
* '''Cobalt Strike''': Para establecer canales de comando y control (C2) y moverse lateralmente [citation:1][citation:8].
* '''AdFind''' y '''BloodHound/SharpHound''': Para realizar reconocimiento de Active Directory y mapear relaciones de confianza [citation:1][citation:8].
* '''Mimikatz''': Para robar credenciales y tickets Kerberos [citation:1].
* '''PowerShell y WMI''': Para ejecutar comandos de forma remota y realizar reconocimiento [citation:1][citation:5].
* '''PsExec''': Para desplegar payloads en sistemas remotos [citation:2][citation:4].
* '''GMER''': Para identificar y terminar procesos defensivos (EDR/AV) [citation:1].

=== Cifrado y extorsión ===
* '''Doble extorsión''': Ryuk exfiltra datos sensibles antes de cifrarlos y amenaza con publicarlos en su sitio de leaks si no se paga el rescate [citation:4].
* '''Cifrado avanzado''': Utiliza una combinación de '''AES-256''' (para cifrar archivos rápidamente) y '''RSA-2048''' (para cifrar la clave AES). Los archivos cifrados reciben la extensión `.RYK` [citation:6][citation:11].
* '''Eliminación de respaldos''': Ryuk utiliza `vssadmin Delete Shadows /all /quiet` para eliminar las copias de seguridad de volumen (Volume Shadow Copies) y `vssadmin resize shadowstorage` para eliminar copias creadas por aplicaciones de terceros [citation:11].
* '''Wake-on-LAN (WoL)''': Ryuk puede "despertar" dispositivos apagados en la red utilizando la función Wake-on-LAN para cifrar equipos que de otro modo estarían fuera de su alcance [citation:12].
* '''Nota de rescate''': Deja un archivo llamado `RyukReadMe.txt` en los directorios cifrados con instrucciones para el pago [citation:11].

=== Modificación de permisos ===
Ryuk utiliza `icacls` para eliminar todas las restricciones de acceso de archivos y directorios, asegurando que pueda cifrar todo incluso si los permisos son restrictivos [citation:11].

== Campañas destacadas ==

=== Ataque a medios de comunicación (2018-2019) ===
Ryuk saltó a la fama internacional cuando se vinculó a un ataque de ransomware que afectó a las redes de distribución de periódicos de grandes medios, incluyendo el Wall Street Journal, The New York Times y Los Angeles Times [citation:10].

=== Ataques a hospitales durante la pandemia de COVID-19 ===
Ryuk fue uno de los ransomware más activos durante la pandemia, atacando hospitales y sistemas de salud en momentos críticos [citation:1][citation:5].

=== Ataque a NVA hospitals ===
Los operadores de Ryuk utilizaron campañas de phishing relacionadas con COVID-19 para infiltrarse en hospitales de EE.UU., causando interrupciones significativas en la atención médica [citation:6].

== Impacto económico ==
* Se estima que los operadores de Ryuk han obtenido más de '''150 millones de dólares''' en pagos de rescate desde 2018 [citation:4].
* Solo en los primeros años de operación, se calcula que el grupo acumuló al menos '''3.7 millones de dólares''' [citation:10].

== Prevención y mitigación ==

=== Defensas técnicas ===
* '''MFA (Autenticación Multifactor)''': Obligatorio para todos los accesos, especialmente RDP y servicios de administración [citation:2][citation:5].
* '''Segmentación de red''': Limitar el movimiento lateral mediante microsegmentación [citation:2][citation:5].
* '''Copias de seguridad offline''': Mantener respaldos fuera de la red principal y probar su restauración regularmente. Aplicar la regla 3-2-1 [citation:2][citation:5][citation:7].
* '''Gestión de parches''': Priorizar parches para vulnerabilidades de VPN, Exchange y RDP, especialmente ZeroLogon (CVE-2020-1472) [citation:4][citation:7].
* '''EDR y monitoreo continuo''': Implementar soluciones de detección y respuesta de endpoints (EDR) con análisis de comportamiento para detectar actividades propias de ransomware antes del cifrado [citation:2][citation:7].
* '''Principio de Mínimo Privilegio''': Reducir al mínimo los permisos de usuarios y cuentas de servicio [citation:5][citation:7].

=== Concienciación del factor humano ===
* '''Formación en phishing''': Capacitar a los empleados para reconocer correos electrónicos sospechosos, especialmente aquellos que solicitan habilitar macros en documentos de Office [citation:6][citation:7].
* '''Simulacros de phishing''': Realizar ejercicios periódicos para mantener la concienciación y medir la vulnerabilidad del personal [citation:2][citation:7].
* '''Cultura de reporte''': Establecer canales claros para que los empleados reporten correos sospechosos sin miedo a represalias [citation:7].

=== Respuesta a incidentes ===
* '''Aislamiento inmediato''': Desconectar los sistemas afectados de la red para evitar la propagación [citation:2][citation:7].
* '''Preservación de evidencia''': Guardar logs y discos antes de limpiar los sistemas para análisis forense [citation:2][citation:7].
* '''No pagar el rescate''': El pago no garantiza la recuperación de los datos y financia futuros ataques [citation:2][citation:7].
* '''Restauración desde backups''': La recuperación desde copias de seguridad limpias y sin comprometer es la vía más confiable [citation:2][citation:7].

== Legado y sucesores ==
* Tras el colapso de la operación Conti (sucesora de Ryuk), múltiples grupos escindidos han surgido, incluyendo el '''Silent Ransom Group''' (también conocido como Luna Moth, Chatty Spider, UNC3753), que ha pasado de la implementación de ransomware a la extorsión basada únicamente en robo de datos [citation:1].
* Ryuk es uno de los casos de estudio más importantes en la evolución del ransomware moderno, demostrando la transición de ataques de "spray and pray" a ataques "big-game hunting" altamente dirigidos y manuales.

== Relación con otros conceptos ==

* '''[[Ransomware]]''': Ryuk es uno de los ejemplos más representativos del ransomware moderno.
* '''[[Cifrado]]''': Utiliza cifrado de alto nivel (AES-256 + RSA-2048).
* '''[[Ingeniería Social]]''': Los ataques comienzan con phishing y manipulación de empleados.
* '''[[Gestión de Vulnerabilidades]]''': La explotación de ZeroLogon demuestra la importancia crítica de los parches.
* '''[[Defensa en profundidad]]''': Múltiples capas de defensa son necesarias para detener a Ryuk.
* '''[[Zero Trust]]''': La capacidad de moverse lateralmente subraya la necesidad de verificación continua.
* '''[[Factor Humano]]''': La formación es clave para prevenir el acceso inicial mediante phishing.

* [[Mitigaciones Ransomware|Relación de acciones para mitigar el riesgo de esta actividad maliciosa.]]

== Véase también ==

* [[Ransomware]]
* [[Ciberdelincuentes]]
* [[Malware]]
* [[Cifrado]]
* [[TrickBot]]
* [[Conti]]
* [[Cobalt Strike]]
* [[Mimikatz]]

----

''Esta página forma parte de la [[:Categoría:Familias de malware]].''

Ryuk - Historial de revisiones

Fernando.VH en 21:34 21 ago 2026