Ransomware Chaos

El ransomware Chaos se refiere actualmente a dos entidades distintas que comparten el mismo nombre. Por un lado, existe un nuevo grupo de Ransomware-as-a-Service (RaaS) que surgió alrededor de febrero de 2025 y que, según investigaciones de Cisco Talos, estaría formado por antiguos miembros del grupo BlackSuit (Royal), adoptando el nombre "Chaos" para generar confusión y ocultar su identidad mientras realizan ataques de doble extorsión y big-game hunting contra grandes organizaciones, principalmente en Estados Unidos, Reino Unido, Nueva Zelanda e India. Este grupo utiliza un ransomware multiplataforma compatible con Windows, ESXi, Linux y sistemas NAS, cifra archivos añadiendo la extensión .chaos, exige rescates de aproximadamente $300,000 y se caracteriza por emplear técnicas avanzadas de ingeniería social que combinan spam y vishing (phishing por voz) para obtener acceso inicial, así como el abuso de herramientas legítimas como Microsoft Quick Assist, RMMs (AnyDesk, ScreenConnect) y software de sincronización como GoodSync para la exfiltración de datos. Por otro lado, se ha identificado una variante destructiva conocida como Chaos-C++ (escrita en C++, a diferencia de versiones anteriores basadas en .NET), que además de cifrar archivos (usando AES-256-CFB o XOR como mecanismo de respaldo) incorpora una novedosa capacidad de clipboard hijacking para robar criptomonedas reemplazando direcciones de billetera Bitcoin en el portapapeles de la víctima, y elimina el contenido de archivos grandes (>1.3 GB) en lugar de cifrarlos, causando pérdida irreversible de datos. Es crucial diferenciar a este grupo de las variantes generadas por el antiguo builder "Chaos" (como Yashma), ya que no están relacionados y los operadores de este nuevo RaaS explotan deliberadamente la confusión de nombres para complicar su identificación y atribución.

Funcionamiento

El ecosistema de Chaos ransomware requiere una distinción fundamental: por un lado, existe un nuevo grupo RaaS (Ransomware-as-a-Service) surgido en febrero de 2025, posiblemente formado por antiguos miembros de BlackSuit/Royal, que opera con un modelo de negocio de doble extorsión y big-game hunting; por otro lado, existe el malware "Chaos-C++" , una variante técnicamente destructiva descubierta en 2025 que representa la primera versión de Chaos no escrita en .NET, incorporando capacidades de wiper y robo de criptomonedas mediante clipboard hijacking. A continuación se describe el funcionamiento técnico de la variante Chaos-C++, que constituye la evolución más significativa y peligrosa de esta familia.

1. Cadena de Infección y Evasión Inicial

El proceso de infección de Chaos-C++ comienza con un dropper cuidadosamente diseñado para evitar la detección:

Vector de distribución: El malware se propaga mediante un instalador falso denominado "System Optimizer v2.1" (SHA256: 2fb01284cb8496ce32e57d921070acd54c64cab5bb3e37fa5750ece54f88b2a4), que abre una consola con mensajes falsos de optimización del sistema para ganar credibilidad mientras despliega silenciosamente el payload de ransomware en segundo plano.

Despliegue del payload: El downloader genera un archivo de log oculto (sysopt.log) en el directorio %TMP% para registrar el proceso de descarga y ejecución. El payload principal se escribe en %TMP%\\svc[XXXX].tmp, donde [XXXX] representa cuatro caracteres aleatorios. Para lanzar el payload, el downloader intenta primero invocar CreateProcessA() con la flag CREATE_NO_WINDOW (0x08000000), asegurando una ejecución sin ventana visible; si falla, recurre a la ejecución mediante línea de comandos con cmd.exe /c start /b.

Persistencia y ocultamiento: Una vez ejecutado, Chaos-C++ se disfraza como un proceso legítimo de Windows, estableciendo el título de la ventana de consola como svchost.exe. También crea un archivo de log en %TMP%\svchost_debug.log y genera un mutex llamado SvcHost_Mutex_7z459ajrk para garantizar que solo una instancia del malware se ejecute simultáneamente.

Detección de sandbox y análisis: El malware implementa un retraso inicial de 15 segundos antes de comenzar el cifrado, una táctica común para evadir entornos de sandbox automatizados que analizan el malware por períodos cortos.

2. Comprobaciones de Entorno y Desactivación de Defensas

Antes de proceder con el cifrado, Chaos-C++ realiza una serie de verificaciones y acciones destructivas:

Verificación de ejecución previa: El malware busca la existencia del archivo %APPDATA%\READ_IT.txt. Si este archivo está presente, indica que el ransomware ya se ha ejecutado anteriormente; en ese caso, Chaos-C++ no reinicia el cifrado y en su lugar entra en un modo de monitoreo donde observa el portapapeles del sistema.

Comprobación de privilegios de administrador: Chaos-C++ intenta crear un archivo en C:\WINDOWS\test.tmp, una ubicación que requiere privilegios administrativos. Si la creación falla, indica que el ransomware no se ejecuta con permisos elevados. Sin embargo, si el archivo se crea exitosamente, Chaos-C++ lo elimina y procede a ejecutar una serie de comandos diseñados para impedir la recuperación del sistema:

vssadmin delete shadows /all /quiet >nul 2>&1
wmic shadowcopy delete >nul 2>&1
bcdedit /set {default} bootstatuspolicy ignoreallfailures >nul 2>&1
bcdedit /set {default} recoveryenabled no >nul 2>&1
wbadmin delete catalog -quiet >nul 2>&1

Estos comandos eliminan las copias de sombra (Volume Shadow Copies), deshabilitan la política de recuperación del sistema y eliminan el catálogo de backups de Windows, haciendo imposible la restauración del sistema a un punto anterior.

3. Estrategia de Recorrido y Selección de Archivos

Chaos-C++ implementa una estrategia de cifrado basada en el tamaño del archivo que representa una evolución significativa respecto a variantes anteriores:

Recorrido de archivos: El malware comienza la enumeración de archivos en los directorios de usuario (Desktop, Documents, Downloads) antes de expandirse a otras unidades disponibles. Excluye deliberadamente rutas críticas del sistema como Program Files, Windows, ProgramData y System Volume Information para evitar desestabilizar el sistema operativo y mantener la máquina funcional el tiempo suficiente para presionar a la víctima.

Categorización por tamaño:

• ≤ 50 MB: El archivo es completamente cifrado
• 50 MB – 1.3 GB: El archivo es omitido y dejado intacto, posiblemente para reducir el tiempo de cifrado o evitar la detección en archivos grandes comúnmente incluidos en backups
• > 1.3 GB: El contenido es eliminado, no cifrado. Esta táctica inusual causa pérdida irreversible de datos, afectando particularmente a archivos de bases de datos, backups y archivos de máquinas virtuales

Esta estrategia de destrucción selectiva representa un cambio fundamental en el modelo de negocio del ransomware: en lugar de cifrar datos para su posterior recuperación mediante pago, Chaos-C++ destruye permanentemente archivos grandes, eliminando cualquier posibilidad de recuperación incluso si se paga el rescate.

Extensiones objetivo: Chaos-C++ apunta a una amplia gama de extensiones de archivos, incluyendo documentos de Office .doc, .docx, .xls, .xlsx, .ppt, .pptx; imágenes .jpg, .jpeg, .png; archivos de código .py, .cpp, .java, .js; bases de datos .sql, .mdb, .accdb; archivos comprimidos .zip, .rar, .7z, .tar, .gz; backups .bak, .backup; e imágenes de disco .iso, .vdi, .vmdk.

4. Proceso de Cifrado con Mecanismo de Fallback

Chaos-C++ implementa un sistema de cifrado dual con un mecanismo de fallback para garantizar su funcionamiento en cualquier entorno:

Generación de clave: Para cada archivo marcado para cifrado, Chaos-C++ genera aleatoriamente una cadena de texto, la hashea y luego la utiliza para derivar la clave de cifrado AES.

Verificación de CryptoAPI: El malware verifica si las funciones de Windows CryptoAPI son accesibles y han sido cargadas correctamente en memoria. Estas funciones son necesarias para realizar el cifrado AES estándar.

Cifrado AES-256-CFB (método primario) : Si CryptoAPI está accesible, Chaos-C++ realiza una secuencia de llamadas API:

• CryptAcquireContextA: Inicializa un contexto criptográfico usando el proveedor PROV_RSA_AES (0x18)
• CryptCreateHash: Crea un objeto hash usando SHA-256 (ALG_ID = 0x800C)
• CryptHashData: Procesa la cadena aleatoria generada para producir un hash SHA-256 finalizado
• CryptDeriveKey: Usa el hash para generar una clave AES de 256 bits (CALG_AES_256 = 0x6610)
• CryptSetKeyParam: Establece el modo de cifrado a CFB (Cipher Feedback, mode = 4)

Cifrado XOR (método de fallback) : Si las funciones CryptoAPI no están disponibles, Chaos-C++ aplica un cifrado XOR como respaldo. Llama a GetTickCount() para obtener los milisegundos desde el inicio del sistema y usa este valor como clave XOR. Cada byte del contenido del archivo es sometido a XOR con bytes derivados del tick count.

Inserción de metadatos de clave: Después del cifrado, Chaos-C++ reescribe el archivo original con una estructura específica: primero incrusta el tamaño de la clave de cifrado y la clave utilizada, seguido del contenido cifrado. Este proceso utiliza las API de Windows CreateFileW() y WriteFileW().

Adición de extensión: El malware añade la extensión .chaos al nombre del archivo original, sirviendo como indicador de compromiso y desalentando a la víctima a manipular los archivos cifrados.

5. Clipboard Hijacking (Robo de Criptomonedas)

Una de las innovaciones más significativas de Chaos-C++ es la incorporación de capacidades de clipboard hijacking, una funcionalidad no presente en variantes anteriores de Chaos:

Validación de direcciones Bitcoin: El ransomware valida las direcciones Bitcoin potenciales verificando su longitud (26-64 caracteres) y su prefijo. Las direcciones que comienzan con 1 (P2PKH), 3 (P2SH) o bc1 (Bech32) son reconocidas como formatos de wallet legítimos.

Reemplazo automático: Una vez que se identifica una dirección válida, Chaos-C++ la reemplaza con una dirección Bech32 de Bitcoin controlada por el atacante, hardcodeada en el malware. Esto asegura que cualquier intento de pago en Bitcoin sea redirigido silenciosamente al atacante, independientemente del destinatario previsto por la víctima.

Implementación técnica: El proceso de reemplazo se implementa mediante la API de Clipboard de Windows. Chaos-C++ asigna memoria usando GlobalAlloc(), copia la dirección del atacante a ese espacio de memoria, limpia el portapapeles y finalmente inyecta la dirección del atacante usando SetClipboardData().

6. Entrega de Nota de Rescate y Finalización

Una vez completada la rutina de cifrado, Chaos-C++:

1. Muestra el mensaje "Encryption complete. Total files: [cantidad]" en el símbolo del sistema
2. Deposita una nota de rescate en el directorio %AppData% que contiene instrucciones de pago, el correo electrónico de contacto del atacante y un identificador único de la víctima
3. Activa una alerta MessageBoxW que dirige al usuario a leer la nota de rescate, asegurando que la víctima sea notificada del ataque

7. Comparativa Evolutiva: De Wiper a Ransomware Híbrido

Es importante contextualizar que las primeras versiones de Chaos (v1.0 y v2.0, 2021) no realizaban cifrado real, sino que eran wipers que sobrescribían archivos con datos aleatorios sin posibilidad de recuperación. Utilizaban un esquema que codificaba en Base64 la cadena "<EncryptedKey>" + cadena aleatoria de 31 caracteres + "<EncryptedKey> " + 2 caracteres aleatorios, destruyendo permanentemente los datos. No fue hasta Chaos v3.0 que se introdujo el cifrado tradicional, aunque limitado.

Chaos-C++ representa, por tanto, la culminación de esta evolución: un ransomware que combina capacidades de wiper (para archivos >1.3 GB), cifrado selectivo (para archivos más pequeños), y robo de criptomonedas (mediante clipboard hijacking), todo ello mientras mantiene la capacidad de evadir defensas mediante técnicas de anti-sandbox y anti-análisis.

Impacto y consecuencias

El análisis del impacto de Chaos ransomware requiere distinguir entre dos realidades paralelas: por un lado, el grupo RaaS (Ransomware-as-a-Service) operativo desde febrero de 2025 formado por antiguos miembros de BlackSuit/Royal, que ha impactado predominantemente a organizaciones en Estados Unidos, Reino Unido, Nueva Zelanda e India con demandas de rescate alrededor de $300,000 y un modelo de triple extorsión que combina robo de datos, cifrado de sistemas y ataques de denegación de servicio distribuido (DDoS) ; por otro lado, se ha documentado que el grupo de espionaje iraní MuddyWater (también conocido como Seedworm, vinculado al Ministerio de Inteligencia de Irán) ha utilizado la marca Chaos como bandera falsa para ocultar operaciones de ciberespionaje . Esta dualidad hace que el impacto real de Chaos sea particularmente complejo de evaluar, ya que no siempre está claro si una intrusión busca beneficio económico o recolección de inteligencia geopolítica.

Impacto Financiero y Operacional del Grupo RaaS Chaos

El grupo Chaos RaaS ha causado un impacto financiero significativo a través de su programa de afiliados, que se promociona activamente en foros de cibercrimen como RAMP (antes de su desmantelamiento) y RehubCom . Las consecuencias técnicas directas para las víctimas incluyen:

Cifrado destructivo y pérdida de datos: A diferencia del ransomware tradicional, la variante Chaos-C++ implementa una estrategia de cifrado basada en el tamaño del archivo: archivos ≤50 MB son cifrados con AES-256-CFB, archivos entre 50 MB y 1.3 GB son omitidos, y archivos >1.3 GB son eliminados permanentemente (funcionando como wiper), causando pérdida irreversible de datos particularmente en bases de datos, backups y archivos de máquinas virtuales. Este comportamiento genera un impacto catastrófico incluso si la víctima paga el rescate.

Triple extorsión: El grupo ha evolucionado desde la doble extorsión (robo de datos + cifrado) hacia un modelo de triple extorsión que añade ataques DDoS contra la infraestructura de la víctima, paralizando operaciones comerciales en tiempo real y forzando pagos rápidos . Las amenazas adicionales incluyen notificar a competidores y clientes sobre la brecha, aumentando la presión reputacional .

Objetivos de alto valor (big-game hunting): Chaos se especializa en ataques contra grandes organizaciones en sectores críticos, incluyendo servicios de emergencia, salud, finanzas, construcción y agricultura . Su ransomware es multiplataforma, compatible con Windows, ESXi, Linux y sistemas NAS, y ataca directamente el hipervisor VMware ESXi usando el comando esxcli -killvm para terminar máquinas virtuales y desbloquear discos virtuales para su cifrado, creando un punto ciego donde las herramientas de seguridad tradicionales que residen dentro de las VMs no pueden detectar el ataque .

Persistencia y evasión avanzada: El malware implementa técnicas de anti-análisis que detectan entornos de depuración, sandbox y VM, utiliza cifrado selectivo multi-hilo para máxima velocidad, y establece mecanismos de persistencia mediante scripts batch en bucle que monitorean y restauran el ejecutable si un administrador intenta eliminarlo, todo ello mientras se disfraza como procesos legítimos como explorer.exe o svchost.exe .

El Impacto del "Chaos como Cortina de Humo" (MuddyWater)

El hallazgo más significativo en términos de impacto estratégico es el uso de la marca Chaos por parte del grupo de espionaje iraní MuddyWater para ocultar operaciones de inteligencia . En una intrusión documentada por Rapid7 en una organización no identificada, los atacantes:

Utilizaron ingeniería social a gran escala: Iniciaron chats con empleados a través de Microsoft Teams, establecieron sesiones de compartición de pantalla interactiva, cosecharon credenciales y manipularon la autenticación multifactor (MFA) en tiempo real, todo bajo la apariencia de un ataque de ransomware convencional . Las credenciales fueron robadas mediante páginas de phishing que imitaban Microsoft Quick Assist o engañando a las víctimas para que escribieran contraseñas en archivos de texto locales.

Evitaron el cifrado deliberadamente: A pesar de afirmar haber desplegado ransomware, los atacantes nunca ejecutaron un payload de cifrado, no dejaron nota de rescate y no proporcionaron medios de negociación . En su lugar, establecieron persistencia a largo plazo mediante herramientas de acceso remoto como DWAgent y AnyDesk, desplegaron un backdoor personalizado (Game.exe) disfrazado como aplicación Microsoft WebView2, y procedieron a exfiltrar grandes volúmenes de datos sin cifrar sistemas .

Cambio en la victimología: Mientras el grupo Chaos RaaS típicamente ataca objetivos en países occidentales, MuddyWater orientó sus operaciones hacia entidades en Medio Oriente, Norte de África, Sudeste Asiático y Australia, específicamente países con algún nivel de involucramiento en el conflicto en torno a Irán, indicando motivaciones geopolíticas más que financieras .

Infraestructura compartida: Los investigadores establecieron vínculos de alta confianza mediante la identificación de un certificado de firma de código ("Donald Gay"), el dominio de C2 moonzonet[.]com y técnicas específicas de inyección de código (pythonw.exe para inyectar código en procesos suspendidos) que coinciden con operaciones previas de MuddyWater .

Consecuencias Estratégicas y Lecciones para la Defensa

La dualidad de Chaos ransomware tiene implicaciones profundas para la comunidad de seguridad:

Convergencia entre crimen y estado-nación: Este es un ejemplo claro de cómo actores patrocinados por estados están adoptando activamente tácticas, técnicas y procedimientos (TTPs) del cibercrimen para ocultar operaciones de espionaje y complicar la atribución . La estrategia permite a grupos como MuddyWater "difuminar las líneas" entre actividad estatal y criminalidad financiera, retrasando la identificación de mecanismos de persistencia subyacentes mientras los defensores se enfocan en la respuesta al ransomware .

Necesidad de mirar más allá de indicadores obvios: Los investigadores de Rapid7 enfatizan que los defensores deben "mirar más allá de los indicadores evidentes de ransomware" y enfocarse en el ciclo de vida completo de la intrusión . La ausencia de cifrado, la falta de nota de rescate, el uso de herramientas de acceso remoto para persistencia y los patrones de exfiltración de datos son señales reveladoras de que el objetivo real puede no ser financiero.

Impacto en la confianza en servicios de colaboración: El uso de Microsoft Teams como vector de ataque mediante ingeniería social altamente interactiva demuestra que incluso las plataformas de comunicación corporativa de confianza pueden ser weaponizadas . Esto fuerza a las organizaciones a repensar las políticas de autenticación y autorización para chats y reuniones virtuales.

Indicadores de Compromiso para detección: Los IoCs documentados incluyen la extensión .chaos para archivos cifrados, la nota de rescate README.chaos.txt, persistencia en HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, creación de servicios con nombres alfanuméricos de 7 dígitos, y tráfico de beaconing a infraestructura Cobalt Strike o proxies de la nube . Para entornos ESXi, la ejecución no autorizada de esxcli con parámetro -killvm es un indicador crítico .

Recomendaciones de mitigación: Las organizaciones deben implementar monitoreo de logs de autenticación para detectar manipulación de MFA, auditar el uso de herramientas de acceso remoto no autorizadas (AnyDesk, DWAgent), aplicar listas blancas de aplicaciones para prevenir ejecución de binarios no firmados en directorios de usuario, y mantener backups offline dadas las capacidades de wiper de Chaos-C++ . Es crucial entender que, para las variantes destructivas, el pago del rescate no garantiza la recuperación de datos, ya que archivos >1.3 GB son eliminados permanentemente .

En conclusión, el impacto de Chaos ransomware es bifurcado y estratégicamente significativo: mientras el grupo RaaS causa daño financiero directo y pérdida de datos a través de técnicas avanzadas como triple extorsión y cifrado selectivo, el uso de su marca por actores estatales como MuddyWater representa una evolución en las tácticas de ocultamiento de operaciones de espionaje, demostrando que el ransomware ya no es solo una herramienta de extorsión, sino también un mecanismo de negación plausible y distracción para campañas de inteligencia geopolítica .

Origen y motivación

El ransomware Chaos tiene un origen dual y una motivación predominantemente financiera, aunque recientemente ha sido explotado como una "cortina de humo" por parte de actores estatales. Por un lado, el grupo Chaos RaaS (Ransomware-as-a-Service) surgió alrededor de febrero de 2025 y, según evaluaciones de Cisco Talos con confianza moderada, está formado por antiguos miembros de las extintas bandas de ransomware BlackSuit y Royal, una línea de sucesión que se remonta al infame grupo Conti, y que surgió tras la incautación de la infraestructura de BlackSuit por parte de las autoridades en la denominada "Operación Checkmate" . Este grupo RaaS se promociona activamente en foros de cibercrimen en ruso como RAMP, busca afiliados para llevar a cabo ataques de "big-game hunting" (caza mayor) y su motivación principal es la ganancia económica, operando bajo un modelo de doble extorsión (robo de datos más cifrado) donde exigen rescates que rondan los $300,000 y amenazan con ataques DDoS si no se paga, declarando explícitamente que evitan atacar hospitales, entidades gubernamentales y países BRICS/CIS para no atraer atención no deseada .

Por otro lado, y de manera crucial, el nombre "Chaos" también está siendo utilizado como una "marca falsa" (flag falsa) por el grupo de ciberespionaje patrocinado por el estado iraní conocido como MuddyWater (vinculado al Ministerio de Inteligencia de Irán), cuyas motivaciones son el espionaje y la recolección de inteligencia geopolítica en lugar del beneficio financiero inmediato . En una campaña documentada por Rapid7 a principios de 2026, MuddyWater utilizó técnicas avanzadas de ingeniería social a través de Microsoft Teams para obtener acceso, exfiltrar grandes volúmenes de datos y establecer persistencia a largo plazo, pero nunca llegó a cifrar los archivos ni a desplegar un payload de rescate típico, sino que simplemente fingió ser un ataque de Chaos para ocultar sus verdaderas intenciones, incluso publicando los datos robados en el sitio de filtraciones legítimo de Chaos para mantener la farsa . Es importante destacar que este grupo RaaS no tiene ninguna relación técnica con el antiguo builder de Chaos (que generaba variantes como Yashma), sino que han adoptado el mismo nombre deliberadamente para generar confusión en la comunidad de seguridad y complicar la atribución de sus ataques .