Conti

Conti es un ransomware de alto impacto que operó bajo el modelo Ransomware-as-a-Service (RaaS) entre 2019 y 2022, sucediendo al infame Ryuk y consolidándose como uno de los grupos de cibercrimen más prolíficos y organizados de la historia . Atribuido con alta confianza a actores con vínculos con Rusia, Conti funcionaba como una empresa criminal estructurada con roles claramente definidos: codificadores, crypters, testers, analistas de OSINT para perfilar víctimas, administradores de sistemas y comunicaciones, y negociadores de rescate dedicados . Sus miembros clave, conocidos por alias como Stern, Bentley, Mango y Target, supervisaban el desarrollo, la infraestructura, la coordinación de afiliados y las operaciones de extorsión, operando con silos organizativos que evidenciaban un nivel de profesionalización poco común en el cibercrimen .

Técnicamente, Conti se caracterizaba por su arquitectura modular y su capacidad de propagación rápida mediante técnicas avanzadas de evasión y movimiento lateral. Utilizaba Cobalt Strike para post-explotación y movimiento lateral, Mimikatz para el volcado de credenciales del LSASS, y herramientas nativas de Windows como net.exe, nltest.exe, tasklist y sc para la enumeración del dominio . Para el cifrado, empleaba un algoritmo de cifrado multihilo que maximizaba la velocidad de encriptación, combinado con técnicas de Process Hollowing para inyectar su código en procesos legítimos y evadir defensas . El ransomware también implementaba obfuscación de código, técnicas anti-forenses y abusaba de servicios legítimos como Rclone para la exfiltración de datos a servicios de almacenamiento en la nube, garantizando que incluso si el cifrado era detectado, los datos ya habrían sido robados .

El impacto de Conti fue global y devastador, con ataques que afectaron a organizaciones en más de 40 países, incluyendo Estados Unidos (128 víctimas documentadas), Canadá (14), Reino Unido (11) y Alemania (4) . Su ataque al Health Service Executive (HSE) de Irlanda en mayo de 2021 paralizó la infraestructura hospitalaria del país, cifrando 700 GB de datos y exigiendo un rescate de 20 millones de dólares, lo que llevó al gobierno irlandés a declarar que no pagaría el rescate . En 2022, Conti llevó a cabo su ataque más ambicioso contra Costa Rica, declarando una emergencia nacional tras comprometer los sistemas del Ministerio de Finanzas y el Ministerio de Trabajo, y exigiendo un rescate que llevó al país a declarar el estado de emergencia nacional . La operación de Conti llegó a su fin en mayo de 2022, tras la filtración interna de más de 170,000 mensajes de chat de Jabber y el código fuente del ransomware, lo que provocó la desintegración del grupo y su posterior rebranding hacia nuevas operaciones, aunque su legado continúa influyendo en el panorama del ransomware actual .

Funcionamiento de Conti

1. Cadena de Infección y Acceso Inicial

Los operadores de Conti empleaban múltiples vectores para obtener acceso inicial a las redes objetivo:

Phishing con documentos armados: Correos electrónicos con archivos adjuntos de Word o ZIP que, al abrirse, desplegaban cargas útiles de primera etapa, típicamente Cobalt Strike beacons .
Fuerza bruta RDP: Escaneo de puertos RDP abiertos (3389) y ataques de fuerza bruta contra credenciales débiles o reutilizadas .
Explotación de vulnerabilidades: Uso de exploits como ZeroLogon (CVE-2020-1472) para comprometer controladores de dominio y escalar privilegios .
Compra de acceso inicial: Adquisición de acceso a redes corporativas en mercados clandestinos, donde otros actores venden credenciales o acceso RDP ya comprometido .

2. Movimiento Lateral y Escalada de Privilegios

Una vez dentro, Conti desplegaba un arsenal de herramientas y técnicas para moverse lateralmente y escalar privilegios:

Credential dumping: Utilización de Mimikatz para extraer credenciales del LSASS, y técnicas de Kerberoasting para obtener hashes de cuentas de servicio .
Movimiento lateral a través de SMB/Windows Admin Shares: Propagación mediante el protocolo SMB, utilizando las credenciales robadas para acceder a otros sistemas en la red .
Windows Management Instrumentation (WMI) y PowerShell: Uso de WMI y scripts PowerShell para ejecutar comandos de forma remota y orquestar ataques en máquinas Windows .
Abuso de herramientas de administración remota: Empleo de aplicaciones como AnyDesk y NGROK para establecer túneles RDP y mantener acceso persistente .
Enumeración del dominio: Uso de herramientas nativas de Windows como net.exe, nltest.exe y tasklist para mapear la estructura del dominio, identificar controladores de dominio y localizar sistemas críticos.

3. Desactivación de Defensas y Preparación para el Cifrado

Antes de iniciar el cifrado, los operadores realizaban una serie de acciones para deshabilitar las defensas y maximizar el impacto:

Desactivación de antivirus y EDR: Terminación de procesos de seguridad mediante scripts y herramientas personalizadas, y desactivación de Windows Defender a través de la línea de comandos .
Eliminación de copias de seguridad: Borrado de Volume Shadow Copies (VSS) para impedir la recuperación de archivos mediante el comando vssadmin delete shadows /all /quiet, y abuso de herramientas de backup como Shadow Protect SPX para comprometer backups .
Exfiltración de datos: Uso de Rclone para transferir datos robados a servicios de almacenamiento en la nube (Mega, Google Drive, Dropbox, etc.), asegurando la doble extorsión incluso si el cifrado era detectado .

4. Proceso de Cifrado

El cifrado de Conti era un proceso altamente optimizado y agresivo:

Cifrado multihilo: El ransomware empleaba múltiples hilos de ejecución para cifrar archivos en paralelo, maximizando la velocidad de cifrado y reduciendo el tiempo de detección .
Process Hollowing: La técnica de Process Hollowing permitía inyectar el código malicioso en procesos legítimos (como explorer.exe), ejecutándose bajo la firma de un proceso de confianza y eludiendo soluciones EDR .
Cifrado de archivos: Utilización de algoritmos de cifrado robustos (AES-256 combinado con RSA-2048) para cifrar archivos y exigir un rescate por la clave de descifrado .
Adición de extensión: Los archivos cifrados recibían la extensión .conti o, en algunas variantes, extensiones aleatorias, y se cambiaba el fondo de pantalla de la víctima a un mensaje de rescate .

5. Nota de Rescate y Negociación

La nota de rescate de Conti era personalizada para cada víctima, y el grupo mantenía un sitio web de filtraciones (lanzado en agosto de 2020) donde publicaban datos de víctimas que no pagaban . Las tácticas de negociación incluían:

Pruebas de vida: Envío de muestras de datos robados para probar que el grupo tenía acceso a la información .
Publicaciones escalonadas: Liberación gradual de datos para aumentar la presión sobre la víctima .
Precios personalizados: El rescate se ajustaba según el patrimonio neto percibido de la organización, llegando a exigir hasta 25 millones de dólares en algunos casos .
Monitoreo de seguros: Los operadores investigaban si la víctima tenía seguro cibernético para ajustar la demanda de rescate en consecuencia .

Impacto y consecuencias de Conti

1. Ataques de Alto Perfil y Consecuencias Económicas

Los ataques de Conti tuvieron un impacto económico y operativo devastador a nivel global:

Health Service Executive (HSE) de Irlanda (mayo 2021): El ataque paralizó la infraestructura hospitalaria del país, cifrando 700 GB de datos y exigiendo un rescate de 20 millones de dólares. El gobierno irlandés se negó a pagar, y la recuperación costó decenas de millones de euros .
Costa Rica (abril-mayo 2022): Conti comprometió los sistemas del Ministerio de Finanzas y el Ministerio de Trabajo, declarando el país una emergencia nacional, la primera vez que un país tomaba esta medida en respuesta a un ciberataque .
JVCKenwood (septiembre 2021): El grupo robó casi 2 TB de datos y exigió 7 millones de dólares .
Ciudad de Tulsa, Oklahoma (mayo 2021): El ataque cerró la red de la ciudad, y Conti publicó casi 19,000 archivos, incluyendo citaciones policiales y documentos internos .
Sector salud y redes de primeros auxilios: Conti atacó activamente al sector salud durante la pandemia de COVID-19, poniendo en riesgo vidas humanas .

2. Consecuencias para la Ciberseguridad y la Industria

El legado de Conti transformó el panorama del ransomware:

Profesionalización del RaaS: Conti demostró que el ransomware podía operar como una empresa criminal estructurada, con departamentos de recursos humanos, reclutamiento y jerarquías claras, estableciendo un modelo que otras bandas emularían .
Filtración de código fuente y chats internos: La filtración de más de 170,000 mensajes de chat de Jabber y el código fuente de Conti en febrero de 2022 proporcionó a la industria de seguridad una visión sin precedentes de las operaciones internas de un grupo de ransomware, incluyendo herramientas, técnicas, estructuras organizativas y estrategias de negociación .
Carrera armamentista defensiva: La sofisticación técnica de Conti forzó a la industria a desarrollar nuevas capacidades de detección, incluyendo monitoreo de movimiento lateral a través de SMB, detección de técnicas de Process Hollowing y análisis de tráfico C2 .
Regulación y respuesta gubernamental: Los ataques de Conti llevaron a una mayor cooperación internacional en la lucha contra el ransomware, culminando en sanciones, listas negras y la desintegración del grupo en 2022 .

3. Consecuencias Regulatorias y Legales

El impacto de Conti trascendió el ámbito técnico para generar consecuencias legales y regulatorias significativas:

Sanciones y listas negras: El grupo fue sancionado por el gobierno de Estados Unidos, y sus cuentas de criptomonedas fueron rastreadas y congeladas .
Demandas y litigios: Las víctimas de Conti presentaron demandas contra las empresas afectadas por negligencia en la protección de datos, y se iniciaron investigaciones sobre el papel de los intermediarios de criptomonedas en el lavado de dinero de los rescates .
Regulación del ransomware: El impacto de Conti contribuyó a la implementación de nuevas regulaciones en varios países, incluyendo la obligación de reportar ataques de ransomware a las autoridades y la prohibición de pagar rescates en algunos casos .

4. Lecciones para la Defensa

El análisis de Conti ofrece varias lecciones técnicas y estratégicas para equipos de seguridad:

Segmentación de red: Aislar sistemas críticos y segmentar redes para limitar el movimiento lateral de ransomware, especialmente a través de SMB .
Autenticación multifactor (MFA): Implementar MFA para todos los usuarios, especialmente para cuentas privilegiadas, para mitigar el riesgo de acceso inicial a través de credenciales robadas .
Monitoreo de tráfico de red: Vigilar el tráfico de red en busca de conexiones a servicios de almacenamiento en la nube (Rclone) y a puertos no estándar (80, 443, 8080, 8443, 53) .
Protección de Active Directory: Implementar controles para proteger Active Directory, incluyendo la monitorización de Kerberoasting, la protección de cuentas de administrador de dominio y la aplicación de políticas de contraseñas robustas .
Copias de seguridad offline: Mantener copias de seguridad en ubicaciones offline y con versionado para recuperarse de ataques de ransomware sin necesidad de pagar rescates .

Origen y motivación de Conti

Conti fue un ransomware operado bajo el modelo Ransomware-as-a-Service (RaaS) por un grupo de cibercriminales con presuntos vínculos con Rusia, que estuvo activo desde 2019 hasta su desintegración en 2022. La motivación principal del grupo era económica, generando ingresos a través del pago de rescates millonarios por parte de las víctimas, que en total se estiman en cientos de millones de dólares. Conti operaba como una empresa criminal estructurada, con roles claramente definidos (codificadores, testers, analistas OSINT, negociadores), y reclutaba activamente a hackers como empleados, ofreciendo beneficios y salarios altos . El grupo también tenía una motivación geopolítica secundaria, manifestada en su apoyo público a Rusia tras la invasión de Ucrania en febrero de 2022, lo que precipitó la filtración de sus chats internos y el colapso de la organización. Aunque el grupo se disolvió oficialmente en mayo de 2022, muchos de sus miembros se dispersaron hacia otras operaciones de ransomware, continuando su actividad criminal bajo nuevas marcas .

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.