El FBI Desmantela la Operación del Ransomware BlackCat y Publica una Herramienta de Desencriptación Gratuita

El Departamento de Justicia de EE. UU. anunció la interrupción de la operación de ransomware BlackCat, también llamado ALPHV, y publicó un descifrador que pueden usar más de 500 víctimas. El FBI infiltró al grupo con una fuente que actuó como afiliado y se hizo con 946 pares de claves de sus sitios TOR.

El Departamento de Justicia de EE. UU. (DoJ) anunció la interrupción de BlackCat, una de las operaciones de ransomware más activas, y publicó una herramienta de descifrado que más de 500 víctimas pueden usar para recuperar sus archivos. El grupo, conocido también como ALPHV, GOLD BLAZER y Noberus, apareció en diciembre de 2021 y llegó a ser el segundo ransomware como servicio más prolífico del mundo, detrás de LockBit. Hasta septiembre de 2023 había comprometido más de 1.000 redes en todo el mundo y reunido casi $300 millones.

Cómo entró el FBI

Según los documentos judiciales, el FBI reclutó a una fuente humana confidencial que se presentó como afiliado del grupo. Así consiguió acceso al panel web con el que BlackCat gestionaba a sus víctimas. Participaron agencias de EE. UU., Alemania, Dinamarca, Australia, Reino Unido, España, Suiza y Austria.

Con ese acceso, el FBI trabajó con docenas de víctimas en EE. UU. para aplicar el descifrador y les evitó pagar rescates por unos $68 millones en total. También reunió 946 pares de claves pública y privada que el grupo usaba para sus servicios ocultos en TOR.

Ese detalle explica el desmantelamiento. Al crear un sitio .onion, TOR genera un par de claves único: la pública es el identificador y la privada permite controlar la dirección. Quien tiene ambas puede anunciar una ruta nueva y redirigir el tráfico del sitio a otro servidor. El anuncio también aclaró lo que pasó con el portal de filtraciones del grupo, que cayó el 7 de diciembre y volvió cinco días después con una sola víctima publicada.

Así operaba BlackCat

BlackCat fue la primera cepa de ransomware escrita en Rust detectada en ataques activos. Funcionaba con el modelo de ransomware como servicio: un núcleo de desarrolladores alquilaba la carga útil a afiliados, que elegían y atacaban organizaciones de alto valor. Aplicaba doble extorsión, robando datos antes de cifrar para amenazar con publicarlos si no había pago. El DoJ señaló que los afiliados lograban el acceso inicial por distintos métodos, entre ellos credenciales de usuario comprometidas.

Por qué importa y qué hacer

Tomar las claves de los sitios TOR y el panel de víctimas golpea la infraestructura, pero no a las personas: en un esquema de afiliados, quienes hacían las intrusiones siguen libres para trabajar con otra marca de ransomware. El descifrador sí es un beneficio concreto para quien tenga archivos cifrados por BlackCat, y el hecho de que el acceso inicial dependiera a menudo de credenciales robadas indica dónde poner el esfuerzo defensivo.

• Contacta al FBI o a las autoridades de tu país si tienes datos cifrados por BlackCat, para evaluar el uso del descifrador.
• Conserva las copias de archivos cifrados por ataques pasados: una herramienta publicada después puede recuperarlas.
• Exige MFA en VPN, accesos remotos y cuentas de administración, que son el uso típico de credenciales comprometidas.
• Revisa los registros de acceso en busca de inicios de sesión válidos desde ubicaciones o en horarios anómalos.
• Monitorea la exfiltración de grandes volúmenes de datos hacia el exterior, primer paso de la doble extorsión.

Relacionado:
Ciberataques a servicios de salud afectan marcapasos y millones de registros
Aumento significativo en las pérdidas por ciberdelincuencia en 2025
Extraditan a Estados Unidos a un hacker ucraniano vinculado a los ataques de ransomware de REvil

Fuente:
https://www.secureworks.com/blog/law-enforcement-takes-action-against-alphv-blackcat-ransomware

Nota elaborada por Ciberseguridad en español a partir de información publicada por Secureworks. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.