Investigadores de seguridad han destapado uno de los grupos de ransomware como servicio (RaaS) de más rápido crecimiento y formidables de 2025.
Apodado «BlackLock» (también conocido como El Dorado o Eldorado), el grupo de RaaS existe desde marzo de 2024 y ha aumentado su número de publicaciones sobre fugas de datos en un asombroso 1425 % intertrimestral en el cuarto trimestre del año pasado, según ReliaQuest.
El proveedor de inteligencia de amenazas afirmó que BlackLock podría convertirse en el grupo RaaS más activo de 2025.
Aunque, como muchas otras variantes, utiliza tácticas de doble extorsión y apunta a entornos Windows, VMWare ESXi y Linux, existen otras características que lo distinguen.
Entre ellas se incluyen:
- Malware creado a medida, en lugar de compilaciones filtradas de Babuk o LockBit, lo que dificulta el análisis por parte de los investigadores.
- Varias funciones del sitio de filtración de datos destinadas a impedir que los investigadores y las organizaciones descarguen datos robados. Esto incluye la detección de consultas y respuestas de archivos falsos. Si las organizaciones víctimas no pueden evaluar el alcance de sus infracciones, se sentirán más presionadas a pagar un rescate, dijo ReliaQuest.
- Un enorme volumen de actividad en el foro RAMP, con nueve veces más publicaciones que RansomHub, que ocupa el segundo lugar, a partir de enero de 2025. Esto indica una colaboración más estrecha con afiliados, desarrolladores y corredores de acceso inicial (IAB), entre otras cosas
El grupo trabaja con IAB confiables para acelerar los ataques para afiliados, aunque también puede comprometer directamente a algunas víctimas
La investigación de ReliaQuest también reveló que, si bien la mayoría de los operadores de RaaS delegan tareas de la etapa inicial a los afiliados, a BlackLock le gusta mantener el control, algo que probablemente ha ayudado a impulsar su rápido ascenso.
ReliaQuest advirtió que el grupo podría estar planeando explotar la mecánica de sincronización de Microsoft Entra Connect en un intento de comprometer los entornos locales este año.
Instó a las organizaciones que utilizan la función a endurecer las reglas de sincronización de atributos, monitorear y restringir los registros de claves y aplicar políticas de acceso condicional.
Otros consejos de buenas prácticas para los defensores de la red incluyen habilitar la autenticación multifactor (MFA), deshabilitar el Protocolo de escritorio remoto (RDP) en sistemas innecesarios, configurar los hosts ESXi para habilitar el modo de bloqueo estricto, restringir el acceso a la red y deshabilitar otros servicios innecesarios (por ejemplo, SNMP, vMotion).