DragonForce

DragonForce es un ransomware diseñado para llevar a cabo ataques de doble extorsión, es decir, cifra archivos críticos de la víctima y, además, exfiltra información sensible para amenazar con su publicación si no se paga un rescate. Este malware ha sido utilizado principalmente contra organizaciones en América Latina, destacándose ataques dirigidos a instituciones financieras, lo que sugiere una planificación cuidadosa por parte de los atacantes.

El funcionamiento de DragonForce se basa en comprometer primero la red de la víctima mediante técnicas como el phishing, la explotación de vulnerabilidades o el uso de credenciales robadas. Una vez dentro, los atacantes se mueven lateralmente para identificar activos clave, desactivar medidas de protección y finalmente desplegar el ransomware en múltiples sistemas. Los archivos son cifrados con algoritmos fuertes y se añade una nota de rescate que exige el pago en criptomonedas, advirtiendo sobre la posible filtración de datos.

El impacto de DragonForce va más allá de la pérdida de acceso a los archivos: puede paralizar operaciones completas, dañar la reputación de las víctimas y desencadenar consecuencias legales y financieras debido a la exposición de información confidencial. Su enfoque dirigido y el uso de técnicas avanzadas de evasión lo convierten en una amenaza seria dentro del panorama actual del cibercrimen.

Funcionamiento

DragonForce opera como una herramienta de ransomware de tipo “double extortion”, diseñada para maximizar el daño a las organizaciones mediante la combinación de cifrado de archivos y exfiltración de datos sensibles. Su ejecución se divide en varias fases que siguen un patrón táctico conocido por grupos avanzados de amenazas persistentes (APT), combinando técnicas ofensivas automatizadas y manuales. El ransomware suele desplegarse tras un acceso inicial a la red, el cual es obtenido comúnmente a través de credenciales comprometidas (RDP expuesto), spear phishing con cargas maliciosas, o mediante el aprovechamiento de vulnerabilidades sin parchear en aplicaciones expuestas a internet.

Una vez dentro del sistema, DragonForce establece persistencia utilizando técnicas como la creación de tareas programadas, modificaciones en claves de registro (Run, RunOnce), o abuso de servicios del sistema. Posteriormente, ejecuta acciones de reconocimiento del entorno a través de herramientas como netstat, ipconfig, tasklist, nltest, y whoami, para identificar recursos compartidos, controladores de dominio, y sistemas críticos. La elevación de privilegios es llevada a cabo por medio de exploits locales o mediante herramientas como Mimikatz, que permiten obtener credenciales de administradores. Con privilegios elevados, el malware ejecuta movimiento lateral utilizando PsExec, WMI, o scripts de PowerShell, replicándose hacia otros equipos de la red.

Antes del cifrado, DragonForce desactiva o elimina mecanismos de defensa como antivirus, EDRs y copias de seguridad locales (VSS), ejecutando comandos como vssadmin delete shadows o wmic shadowcopy delete. El proceso de cifrado se realiza mediante algoritmos robustos, típicamente AES-256 en modo CBC o GCM para los archivos individuales, y luego la clave de sesión AES es cifrada con un esquema de clave pública RSA, impidiendo el descifrado sin la clave privada en posesión del atacante. Los archivos cifrados reciben una extensión personalizada (que puede variar según la campaña) y se genera una nota de rescate en texto plano o HTML con instrucciones para el pago. En paralelo, los archivos robados previamente son subidos a servidores controlados por los atacantes a través de protocolos como FTP, HTTP POST o incluso servicios de almacenamiento legítimos abusados (Mega, anonfiles, etc.). El acceso de comunicación con el operador del ransomware se establece comúnmente por medio de enlaces onion (Tor) o plataformas de mensajería cifrada.

Impacto y consecuencias

El impacto técnico de DragonForce es profundo y multifacético, ya que este ransomware no solo afecta la disponibilidad de los datos mediante cifrado, sino que compromete gravemente la confidencialidad e integridad de la información corporativa. En su fase de ejecución, DragonForce elimina copias de seguridad locales (mediante comandos como vssadmin delete shadows o bcdedit /set {default} recoveryenabled No), inutiliza puntos de restauración del sistema y desactiva servicios esenciales como antivirus, bases de datos, y servidores de archivos, lo que impide una recuperación rápida y agrava el daño operativo. Esta acción deja a las organizaciones en estado de parálisis funcional, forzando la detención de procesos críticos como sistemas de atención al cliente, operaciones bancarias, transacciones comerciales o servicios públicos.

Además del cifrado, DragonForce se caracteriza por su capacidad de exfiltrar grandes volúmenes de datos sensibles antes de cifrar los archivos. Este proceso de doble extorsión genera una amenaza significativa a la privacidad y cumplimiento regulatorio. Información robada puede incluir documentos internos, bases de datos de clientes, secretos industriales, contratos financieros, y credenciales administrativas. La filtración o venta de esta información en foros clandestinos puede generar repercusiones legales conforme a normativas como GDPR, HIPAA o leyes locales de protección de datos. La exposición pública de estos datos también representa un riesgo reputacional considerable, con efectos prolongados sobre la confianza de socios, clientes e inversionistas.

Desde el punto de vista técnico, DragonForce puede ocasionar daños colaterales a dispositivos no directamente cifrados pero comprometidos durante el movimiento lateral, generando fallos en la red y aumentando los tiempos de recuperación. El uso de técnicas de persistencia avanzadas puede permitir a los atacantes mantener acceso a la red incluso después del cifrado, elevando el riesgo de reinfección si no se realiza una erradicación completa del entorno. La infraestructura IT queda comprometida no solo por el daño directo, sino por la pérdida de control sobre la integridad del entorno: binarios modificados, puertas traseras, configuraciones alteradas y trazas de acceso remoto pueden persistir si no se hace un análisis forense profundo. En muchos casos, la restauración completa implica formateo de sistemas, reconstrucción de dominios y reimplementación de políticas de seguridad, lo que representa un enorme costo en tiempo, recursos y capital humano.

Origen y Motivación

DragonForce tiene su origen en actores cibercriminales de habla portuguesa, con actividad observada principalmente en América Latina, especialmente en sectores financieros. Su motivación es predominantemente económica, utilizando un modelo de doble extorsión que combina cifrado de archivos y exfiltración de datos para presionar a las víctimas a pagar rescates en criptomonedas. Sin embargo, también se ha evidenciado una narrativa de desafío hacia instituciones gubernamentales y bancarias, lo que sugiere una posible intención de desestabilización o generar impacto mediático como parte de su estrategia de intimidación.

• Relación de acciones para mitigar el riesgo de esta actividad maliciosa.