La evolución del ransomware: el grupo Chaos toma el relevo tras el desmantelamiento de BlackSuit
En el mundo de la ciberseguridad, parece que estamos jugando eternamente al juego del «topo»: golpeas uno y aparece otro. Apenas celebrábamos la caída de un importante grupo de ransomware gracias a una operación internacional, y ya tenemos un nuevo actor en escena. Como si siguieran un guion perfectamente orquestado.
El nuevo villano se llama Chaos
El grupo ha elegido llamarse «Chaos», un nombre que no deja lugar a dudas sobre sus intenciones. Su firma digital la encontramos en la extensión «.chaos» que estampan en los archivos que encriptan y en sus notas de rescate «readme.chaos[.]txt». Según investigadores de Cisco Talos, desde su aparición en febrero de 2025, Chaos se ha dedicado a la «caza mayor» – un término que en el mundillo designa ataques diseñados para extraer pagos considerables.
Sus objetivos principales han sido organizaciones estadounidenses y, en menor medida, entidades en Reino Unido, Nueva Zelanda e India. Para que os hagáis una idea de la magnitud, recientemente se documentó una demanda de rescate de aproximadamente 300.000 dólares. No es calderilla precisamente.
El modus operandi: chantaje a varios niveles
El trato que proponen es bastante «estándar» en el ecosistema del ransomware: si pagas, te prometen un desencriptador, un informe detallado de las vulnerabilidades que encontraron en tu red y, como no, juran que eliminarán todos tus datos en su poder.
¿Y si no pagas? Pues el paquete completo: tus datos quedarán bloqueados para siempre, publicarán la información robada y, por si fuera poco, someterán tu infraestructura a ataques de denegación de servicio distribuido (DDoS). Un escenario de pesadilla para cualquier organización.
La conexión con BlackSuit y la Operación CheckMate
El informe de Cisco apareció apenas unas horas después de que la operación internacional «CheckMate» desmantelara la web de BlackSuit, un grupo de ransomware que, según la Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA), había exigido más de 500 millones de dólares en su corta pero intensa trayectoria criminal.
Los expertos de Talos creen que Chaos es probablemente un rebranding de BlackSuit o, al menos, está operado por algunos de sus antiguos miembros. Y no es una suposición gratuita: la similitud en los mecanismos de encriptación, la estructura de las notas de rescate y las herramientas utilizadas para comprometer las redes objetivo son demasiado coincidentes para ser casualidad.
El efecto dominó de las organizaciones criminales
Es interesante ver este ciclo continuo de reorganización criminal. BlackSuit, el grupo recientemente desmantelado, era a su vez un rebranding de una operación anterior conocida como Royal, que según Trend Micro surgió como una escisión del infame grupo Conti.
Este patrón de «muertes y renacimientos» demuestra algo que los profesionales de la ciberseguridad conocemos bien: estas organizaciones son extremadamente adaptables y resilientes. Cuando pierden una infraestructura, simplemente crean otra. Cuando un nombre queda «quemado», adoptan uno nuevo.
Técnicas de infección: el factor humano sigue siendo el eslabón más débil
Chaos no innova especialmente en su vector de ataque inicial: utiliza ingeniería social mediante técnicas de phishing por correo electrónico o voz. La víctima acaba contactando con un supuesto «representante de seguridad informática» que, en realidad, es parte de la operación criminal.
El atacante instruye a la víctima para que lance Microsoft Quick Assist, una herramienta de asistencia remota integrada en Windows, y se conecte al punto final del atacante. A partir de ahí, ya tienen acceso a la red y pueden comenzar su trabajo destructivo.
La cooperación internacional: un rayo de esperanza
A pesar de este panorama desalentador, la Operación CheckMate muestra que la colaboración internacional puede dar resultados. En esta intervención participaron el Departamento de Justicia de EE.UU., el Departamento de Seguridad Nacional, el Servicio Secreto, la Policía Nacional Holandesa, la Oficina Estatal de Policía Criminal de Alemania, la Agencia Nacional contra el Crimen del Reino Unido, la Fiscalía General de Frankfurt, la Policía Cibernética de Ucrania y Europol.
Este tipo de operaciones coordinadas son fundamentales para combatir una amenaza que, por definición, no respeta fronteras ni jurisdicciones.
La realidad de la lucha contra el ransomware
Esta situación nos deja una lección clara: en el actual panorama de la ciberseguridad, las victorias son temporales. Las organizaciones criminales tienen recursos, talento y, sobre todo, motivación económica para continuar sus operaciones bajo nuevas identidades.
No quiero sonar pesimista, pero estamos ante un problema estructural que requiere soluciones igualmente estructurales. Las operaciones policiales son necesarias, pero insuficientes si no van acompañadas de:
- Mayor inversión en formación sobre ciberseguridad para los empleados
- Implementación rigurosa de estrategias de copia de seguridad (3-2-1)
- Políticas de actualización de sistemas y parcheado de vulnerabilidades
- Uso de autenticación multifactor en todos los sistemas críticos
Al final, como en cualquier ámbito de la seguridad, la prevención sigue siendo nuestra mejor arma. Y aunque juguemos al gato y al ratón con estos grupos, cada vez que desmantelamos uno aprendemos más sobre sus tácticas y nos preparamos mejor para el siguiente.
El ransomware no desaparecerá mañana, pero con cada operación internacional, cada mejora en nuestros sistemas de defensa y cada organización que se niega a pagar un rescate, estamos haciendo que su modelo de negocio sea menos rentable. Y en el mundo del cibercrimen, como en cualquier otro, cuando el negocio deja de ser rentable, es cuando realmente empieza a declinar.
