Del ransomware BlackSuit a Chaos: la eterna batalla contra el cibercrimen
El mundo de la ciberseguridad es como un juego interminable de «el gato y el ratón». Justo cuando las autoridades celebran la caída de un grupo criminal, otro surge para ocupar su lugar. Es lo que acaba de ocurrir con el nacimiento de «Chaos», un nuevo grupo de ransomware que ha tomado el relevo tras la caída de BlackSuit.
La operación CheckMate: una victoria con sabor agridulce
A mediados de 2025, las fuerzas internacionales de seguridad lograron un importante golpe contra el cibercrimen organizado. La operación CheckMate —uno de esos nombres que suenan a película de espías pero que son muy reales— consiguió desmantelar la infraestructura web del grupo BlackSuit, un actor del ransomware que había exigido más de 500 millones de dólares en pagos durante su corta pero intensa carrera criminal.
En esta operación participaron agencias de Estados Unidos como el Departamento de Justicia y el Servicio Secreto, junto con fuerzas europeas como la Policía Nacional holandesa, la Oficina Estatal de Policía Criminal alemana y la Agencia Nacional contra el Crimen del Reino Unido. Incluso la Policía Cibernética de Ucrania y Europol tuvieron su papel en este esfuerzo conjunto.
Pero mientras las autoridades aún celebraban esta victoria, algo inquietante sucedía en las sombras.
Chaos: el fénix que renace de las cenizas del cibercrimen
Como si siguieran un guion predecible, apenas unas semanas después de la caída de BlackSuit, los investigadores de Cisco Talos identificaron un nuevo actor en el panorama: Chaos. Este grupo comenzó a operar en febrero y tiene toda la pinta de ser un rebranding de BlackSuit, o al menos estar formado por algunos de sus antiguos miembros.
¿Cómo lo sabemos? Los expertos han encontrado similitudes demasiado evidentes como para ser coincidencias:
- Mecanismos de cifrado prácticamente idénticos
- Estructura y tono similar en las notas de rescate
- Uso de las mismas herramientas de monitorización remota
- Empleo de los mismos «LOLbins» (binarios legítimos de Windows que se aprovechan para actividades maliciosas)
El nombre «Chaos» lo han elegido con cierta ironía técnica: sus archivos cifrados llevan la extensión «.chaos» y las notas de rescate se llaman «readme.chaos.txt». Es como si dejaran una firma, un recordatorio de que siguen ahí, adaptándose y evolucionando.
El modus operandi: sofisticación en la simplicidad
Lo interesante del caso Chaos es su método de ataque. A diferencia de otros grupos que dependen de vulnerabilidades técnicas complejas, Chaos ha vuelto a lo básico: la ingeniería social. Y funciona sorprendentemente bien.
El proceso suele comenzar con un correo electrónico o una llamada de phishing. El atacante se hace pasar por un representante de soporte técnico y, tras ganarse la confianza de la víctima, la convence para que utilice Microsoft Quick Assist, una herramienta legítima de asistencia remota integrada en Windows. Una vez establecida la conexión, el atacante tiene acceso directo al sistema.
Es como si un ladrón, en lugar de forzar cerraduras, simplemente llamara a tu puerta y tú le dieras las llaves pensando que es el técnico de la calefacción. Simple pero efectivo.
El círculo sin fin del ransomware
Lo más revelador de este caso es cómo ilustra el ciclo de vida de estos grupos criminales. BlackSuit era en realidad un renacimiento del grupo Royal, que a su vez surgió como una escisión del infame grupo Conti. Es una cadena que parece no tener fin.
Cuando las autoridades logran desmantelar un grupo, sus miembros no suelen «jubilarse» y dedicarse a actividades legítimas. En lugar de eso, se reorganizan, cambian de nombre y vuelven al negocio. Es la razón por la que algunos expertos comparan la lucha contra el ransomware con el juego del «whack-a-mole» (ese juego de feria donde golpeas topos que siguen saliendo de agujeros diferentes).
El modelo de negocio de la extorsión digital
Chaos ha adoptado el modelo de «big-game hunting» (caza mayor), centrándose en organizaciones que pueden permitirse pagar rescates sustanciosos. Según los investigadores de Cisco, han observado demandas de hasta 300.000 dólares por caso.
A cambio del rescate, Chaos promete tres cosas:
- Un desencriptador para recuperar los archivos
- Un informe detallado de las vulnerabilidades que encontraron en la red
- La eliminación de todos los datos en su posesión
Y si la víctima no paga, las amenazas escalan: no solo perderán sus datos para siempre, sino que estos serán publicados y, además, la organización podría sufrir ataques de denegación de servicio (DDoS).
Es un modelo de negocio perverso pero efectivo, que combina el secuestro de datos con el chantaje y el sabotaje.
La paradoja de los éxitos policiales
La operación CheckMate fue sin duda un éxito. Se desmanteló una infraestructura criminal importante y, posiblemente, se recuperaron claves que podrían ayudar a algunas víctimas. Pero casos como el de Chaos demuestran algo que los profesionales de ciberseguridad sabemos desde hace tiempo: no se puede ganar esta guerra solo con operaciones policiales.
Es como si estuviéramos poniendo tiritas en una herida que requiere cirugía. Las detenciones y el desmantelamiento de infraestructuras son necesarios, pero insuficientes mientras exista el modelo económico que hace rentable este tipo de delitos.
Protección proactiva: la mejor defensa
Frente a esta realidad, la mejor estrategia sigue siendo la prevención. Algunas medidas fundamentales incluyen:
- Formación continua del personal para reconocer intentos de ingeniería social
- Implementación de autenticación multifactor en todos los sistemas
- Copias de seguridad regulares, verificadas y desconectadas (air-gapped)
- Segmentación de redes para limitar el movimiento lateral
- Monitorización constante para detectar comportamientos anómalos
Lo más preocupante del caso Chaos es que su método principal de entrada no explota vulnerabilidades técnicas, sino humanas. No hay parche de software que pueda protegerte completamente contra un empleado que, con la mejor intención, permite el acceso remoto a un atacante haciéndose pasar por soporte técnico.
La batalla continúa
Mientras escribo estas líneas, seguramente otro grupo está formándose en algún lugar, tal vez incluso con restos de Chaos cuando este caiga. Es la naturaleza cíclica de esta amenaza.
Lo que está claro es que la ciberseguridad ya no puede ser vista como un problema meramente técnico o legal. Es un desafío sistémico que requiere colaboración internacional, educación constante y un replanteamiento de cómo diseñamos nuestros sistemas para que sean resilientes por defecto.
Porque en esta batalla interminable, cada victoria es temporal, pero cada derrota puede ser catastrófica para las víctimas.
