Ryuk

Ryuk es una familia de ransomware y un grupo de ciberdelincuencia que opera bajo un modelo de big-game hunting (caza mayor), dirigido a grandes organizaciones como empresas, hospitales, escuelas y entidades gubernamentales. Activo principalmente desde 2018 hasta mediados de 2020, Ryuk se convirtió en una de las amenazas de ransomware más destructivas de su período [citation:1].

El nombre "Ryuk" proviene de un personaje del popular anime Death Note, lo que refleja la naturaleza lúdica pero letal de sus operadores [citation:10].

Características principales

Origen y atribución

Ryuk está atribuido al grupo de ciberdelincuencia conocido como WIZARD SPIDER, un actor de amenazas con sede en Rusia o en países de la Comunidad de Estados Independientes (CEI) [citation:1][citation:4].
El grupo opera dentro del ecosistema de ransomware-as-a-service y está estrechamente vinculado al sindicato criminal más amplio de TrickBot [citation:1][citation:4][citation:10].
Muchos investigadores evalúan que la posterior operación de ransomware Conti surgió del ecosistema de Ryuk [citation:1][citation:4].
Recompensa: El gobierno de EE.UU. ofreció una recompensa de hasta 10 millones de dólares por información que condujera a la identificación o localización de los líderes del grupo Ryuk/Conti [citation:1].

Relación con Hermes y TrickBot

Ryuk comparte similitudes de código con el ransomware Hermes, que se utilizó en el ataque al Far Eastern International Bank de Taiwán en 2017. Se cree que Ryuk es una versión altamente modificada y mejorada de Hermes [citation:6][citation:10][citation:11].
No se atribuye a Corea del Norte: Aunque Hermes fue utilizado por el grupo Lazarus de Corea del Norte, los investigadores determinaron que los operadores de Ryuk probablemente tuvieron acceso al código fuente de Hermes a través de mercados clandestinos y compilaron una nueva versión [citation:10].
Ryuk mantiene una relación simbiótica con TrickBot. Los operadores de Ryuk utilizan redes infectadas con TrickBot como acceso inicial, pagando a los operadores de TrickBot por este servicio [citation:5][citation:10].

Filiación técnica: Hermes y Ryuk

Según el análisis de MITRE ATT&CK, Ryuk comparte varias similitudes con Hermes [citation:11]:

Algoritmos de cifrado idénticos: Ambos utilizan una combinación de AES-256 (cifrado simétrico) y RSA-2048 (cifrado asimétrico) para proteger las claves [citation:6][citation:11].
Mismos flujos de llamadas: La forma en que ambos generan y verifican los marcadores de cifrado (para saber si un archivo ya fue cifrado) es casi idéntica [citation:6].
Uso de objetos binarios grandes (BLOBs): Ambos utilizan estructuras de datos similares para almacenar las claves de cifrado [citation:6].

Técnicas y tácticas avanzadas

Vectores de ataque

Phishing y malspam: El vector de acceso inicial más común. Los correos electrónicos suelen contener documentos de Office con macros maliciosas que descargan el payload [citation:1][citation:5][citation:6].
Explotación de vulnerabilidades: Uso de vulnerabilidades como ZeroLogon (CVE-2020-1472) para escalar privilegios de forma extremadamente rápida. En un caso documentado, los atacantes completaron todo el ataque en solo 5 horas [citation:8].
Compra de acceso a brokers (IABs): Adquisición de credenciales y accesos a redes corporativas a través de intermediarios especializados [citation:1][citation:4].
RDP expuesto: Ataques de fuerza bruta contra servicios de Escritorio Remoto expuestos a Internet [citation:4][citation:10].

Herramientas de post-explotación

Una vez dentro de la red, los operadores de Ryuk utilizan un arsenal de herramientas ofensivas:

Cobalt Strike: Para establecer canales de comando y control (C2) y moverse lateralmente [citation:1][citation:8].
AdFind y BloodHound/SharpHound: Para realizar reconocimiento de Active Directory y mapear relaciones de confianza [citation:1][citation:8].
Mimikatz: Para robar credenciales y tickets Kerberos [citation:1].
PowerShell y WMI: Para ejecutar comandos de forma remota y realizar reconocimiento [citation:1][citation:5].
PsExec: Para desplegar payloads en sistemas remotos [citation:2][citation:4].
GMER: Para identificar y terminar procesos defensivos (EDR/AV) [citation:1].

Cifrado y extorsión

Doble extorsión: Ryuk exfiltra datos sensibles antes de cifrarlos y amenaza con publicarlos en su sitio de leaks si no se paga el rescate [citation:4].
Cifrado avanzado: Utiliza una combinación de AES-256 (para cifrar archivos rápidamente) y RSA-2048 (para cifrar la clave AES). Los archivos cifrados reciben la extensión `.RYK` [citation:6][citation:11].
Eliminación de respaldos: Ryuk utiliza `vssadmin Delete Shadows /all /quiet` para eliminar las copias de seguridad de volumen (Volume Shadow Copies) y `vssadmin resize shadowstorage` para eliminar copias creadas por aplicaciones de terceros [citation:11].
Wake-on-LAN (WoL): Ryuk puede "despertar" dispositivos apagados en la red utilizando la función Wake-on-LAN para cifrar equipos que de otro modo estarían fuera de su alcance [citation:12].
Nota de rescate: Deja un archivo llamado `RyukReadMe.txt` en los directorios cifrados con instrucciones para el pago [citation:11].

Modificación de permisos

Ryuk utiliza `icacls` para eliminar todas las restricciones de acceso de archivos y directorios, asegurando que pueda cifrar todo incluso si los permisos son restrictivos [citation:11].

Campañas destacadas

Ataque a medios de comunicación (2018-2019)

Ryuk saltó a la fama internacional cuando se vinculó a un ataque de ransomware que afectó a las redes de distribución de periódicos de grandes medios, incluyendo el Wall Street Journal, The New York Times y Los Angeles Times [citation:10].

Ataques a hospitales durante la pandemia de COVID-19

Ryuk fue uno de los ransomware más activos durante la pandemia, atacando hospitales y sistemas de salud en momentos críticos [citation:1][citation:5].

Ataque a NVA hospitals

Los operadores de Ryuk utilizaron campañas de phishing relacionadas con COVID-19 para infiltrarse en hospitales de EE.UU., causando interrupciones significativas en la atención médica [citation:6].

Impacto económico

Se estima que los operadores de Ryuk han obtenido más de 150 millones de dólares en pagos de rescate desde 2018 [citation:4].
Solo en los primeros años de operación, se calcula que el grupo acumuló al menos 3.7 millones de dólares [citation:10].

Prevención y mitigación

Defensas técnicas

MFA (Autenticación Multifactor): Obligatorio para todos los accesos, especialmente RDP y servicios de administración [citation:2][citation:5].
Segmentación de red: Limitar el movimiento lateral mediante microsegmentación [citation:2][citation:5].
Copias de seguridad offline: Mantener respaldos fuera de la red principal y probar su restauración regularmente. Aplicar la regla 3-2-1 [citation:2][citation:5][citation:7].
Gestión de parches: Priorizar parches para vulnerabilidades de VPN, Exchange y RDP, especialmente ZeroLogon (CVE-2020-1472) [citation:4][citation:7].
EDR y monitoreo continuo: Implementar soluciones de detección y respuesta de endpoints (EDR) con análisis de comportamiento para detectar actividades propias de ransomware antes del cifrado [citation:2][citation:7].
Principio de Mínimo Privilegio: Reducir al mínimo los permisos de usuarios y cuentas de servicio [citation:5][citation:7].

Concienciación del factor humano

Formación en phishing: Capacitar a los empleados para reconocer correos electrónicos sospechosos, especialmente aquellos que solicitan habilitar macros en documentos de Office [citation:6][citation:7].
Simulacros de phishing: Realizar ejercicios periódicos para mantener la concienciación y medir la vulnerabilidad del personal [citation:2][citation:7].
Cultura de reporte: Establecer canales claros para que los empleados reporten correos sospechosos sin miedo a represalias [citation:7].

Respuesta a incidentes

Aislamiento inmediato: Desconectar los sistemas afectados de la red para evitar la propagación [citation:2][citation:7].
Preservación de evidencia: Guardar logs y discos antes de limpiar los sistemas para análisis forense [citation:2][citation:7].
No pagar el rescate: El pago no garantiza la recuperación de los datos y financia futuros ataques [citation:2][citation:7].
Restauración desde backups: La recuperación desde copias de seguridad limpias y sin comprometer es la vía más confiable [citation:2][citation:7].

Legado y sucesores

Tras el colapso de la operación Conti (sucesora de Ryuk), múltiples grupos escindidos han surgido, incluyendo el Silent Ransom Group (también conocido como Luna Moth, Chatty Spider, UNC3753), que ha pasado de la implementación de ransomware a la extorsión basada únicamente en robo de datos [citation:1].
Ryuk es uno de los casos de estudio más importantes en la evolución del ransomware moderno, demostrando la transición de ataques de "spray and pray" a ataques "big-game hunting" altamente dirigidos y manuales.

Relación con otros conceptos

Ransomware: Ryuk es uno de los ejemplos más representativos del ransomware moderno.
Cifrado: Utiliza cifrado de alto nivel (AES-256 + RSA-2048).
Ingeniería Social: Los ataques comienzan con phishing y manipulación de empleados.
Gestión de Vulnerabilidades: La explotación de ZeroLogon demuestra la importancia crítica de los parches.
Defensa en profundidad: Múltiples capas de defensa son necesarias para detener a Ryuk.
Zero Trust: La capacidad de moverse lateralmente subraya la necesidad de verificación continua.
Factor Humano: La formación es clave para prevenir el acceso inicial mediante phishing.

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.

Véase también

Esta página forma parte de la Categoría:Familias de malware.