Ransom Busters, el falso intermediario que intenta sustraer los rescates a las bandas de ransomware

El ataque llega antes de la publicación de los datos

El 19 de agosto de 2026, el GuidePoint Security Research and Intelligence Team (GRIT) describió una campaña atribuida con confianza moderada a un afiliado de ransomware que se presenta como un servicio de recuperación bajo el nombre «Ransom Busters».

El grupo contacta con las empresas afectadas antes de que la operación de ransomware haga público el incidente. La propuesta parece sencilla: proporcionar la clave para descifrar los archivos y eliminar la información robada a cambio de una cantidad de entre 20.000 y 60.000 dólares.

Este comportamiento se diferencia del de los intermediarios oportunistas habituales, que buscan a las víctimas después de la publicación del ataque en los sitios de filtraciones de datos. Ransom Busters parece conocer de antemano la existencia de la intrusión, la identidad de la víctima y el hecho de que los datos están en su poder.

Este conocimiento puede tener dos explicaciones. El grupo podría haber comprometido los paneles de administración utilizados por las organizaciones de ransomware-as-a-service (RaaS), obteniendo acceso a claves de descifrado, información sobre las víctimas y datos exfiltrados. Otra posibilidad es que participe directamente en los ataques.

La hipótesis: un afiliado que cobra dos veces

Según GRIT, dos incidentes analizados presentan importantes coincidencias técnicas y operativas. Los elementos observados indican, con confianza moderada, que Ransom Busters no sería un intermediario independiente, sino el mismo afiliado capaz de operar dentro de varios ecosistemas RaaS.

El posible esquema delictivo es especialmente relevante. El afiliado participa en el ataque, roba datos y accede a la infraestructura de la operación de ransomware. Después contacta con la víctima haciéndose pasar por un tercero capaz de resolver la crisis.

De este modo, puede intentar quedarse directamente con el pago en lugar de repartirlo según los acuerdos establecidos por la organización RaaS. La exigencia económica constituiría así una segunda vía de beneficio basada en la misma intrusión.

El grupo ha afirmado poder intervenir sobre datos asociados a DragonForce, Settra y Anubis. El hecho de que se hayan observado actividades similares en varias operaciones refuerza la hipótesis de un afiliado móvil, no necesariamente vinculado en exclusiva a una sola banda.

Los indicadores técnicos conectan ambos casos

Los análisis de GRIT detectaron las mismas herramientas en los dos incidentes:

• SoftPerfect Network Scanner, utilizado para identificar sistemas y dispositivos en la red;
• s5cmd, una herramienta para operar con almacenamiento compatible con Amazon S3;
• Remotely, empleada para supervisar y controlar sistemas de forma remota.

También reaparecieron dos indicadores más específicos. En ambos casos se habría creado una cuenta local utilizable como puerta trasera, con la contraseña Numlock!123. Los operadores también habrían utilizado el nombre de host DESKTOP-BBETH6K.

La presencia de las mismas herramientas no demuestra por sí sola la identidad del atacante: algunas pueden ser legítimas o fáciles de obtener. Sin embargo, la combinación de software, cuenta local, contraseña y nombre de host ofrece a los investigadores una pista operativa más sólida.

Las organizaciones que hayan sufrido un incidente deberían buscar estos elementos en los registros de los endpoints, los sistemas de gestión de cuentas y los dispositivos que hayan establecido conexiones remotas. Un indicador aislado no basta para atribuir el ataque, pero puede ayudar a detectar persistencia o actividad posterior a la intrusión inicial.

El pago a la banda no cierra necesariamente la crisis

GRIT no ha identificado víctimas que hayan pagado a Ransom Busters y recomienda no transferir dinero a este grupo. En al menos un caso, sin embargo, la víctima pagó a la operación RaaS considerada responsable del ataque.

Después del pago, el nombre de la organización y los datos sustraídos no aparecieron en el sitio de filtraciones de la banda. Los investigadores tampoco encontraron pruebas de que Ransom Busters hubiera publicado la información fuera del entorno RaaS.

Este resultado no equivale, sin embargo, a la eliminación de los datos. Un tercero podría tener copias independientes y no respetar los acuerdos alcanzados con la banda de ransomware. Por tanto, pagar a una operación delictiva no garantiza que todas las personas que poseen los archivos renuncien a divulgarlos.

Coveware ha confirmado que gestionó al menos un incidente en el que el mismo grupo, o la misma persona, contactó directamente con la víctima por correo electrónico y afirmó tener tanto la clave de descifrado como los datos robados.

La empresa de negociación afirma haber observado intermediarios similares, con nombres distintos, desde 2024. Considera más grave el fenómeno reciente porque el interlocutor interviene antes de la publicación del ataque, cuando la víctima quizá aún no haya verificado el alcance completo de la intrusión.

Qué deben comprobar las organizaciones afectadas

La primera medida consiste en no pagar a Ransom Busters ni a otros actores no verificados que prometan simultáneamente descifrar los archivos y eliminar los datos. La identidad del interlocutor debe verificarse a través del equipo de respuesta ante incidentes, el negociador designado y, cuando sea posible, la operación RaaS implicada.

Las actividades técnicas prioritarias incluyen:

1. buscar Numlock!123 y DESKTOP-BBETH6K en los sistemas de registro y los datos forenses;
2. comprobar el uso de SoftPerfect Network Scanner, s5cmd y Remotely fuera de los procesos empresariales habituales;
3. localizar y deshabilitar las cuentas locales creadas durante la intrusión o después de ella;
4. rotar de inmediato las contraseñas, tokens, claves y credenciales potencialmente expuestas;
5. revisar los paneles de administración RaaS y otros servicios expuestos utilizados para coordinar la actividad delictiva;
6. determinar qué datos fueron copiados y cuántos actores podrían conservar una copia.

Las comunicaciones recibidas por correo electrónico deben conservarse con sus encabezados completos, archivos adjuntos y metadatos. Estos elementos pueden ayudar a vincular al interlocutor con infraestructuras o incidentes ya analizados.

La desconfianza puede alimentar nuevos chantajes

Coveware considera que el aumento de la desconfianza interna en las operaciones RaaS podría llevar a otros afiliados a crear fuentes de ingresos paralelas. El modelo tradicional, basado en repartir el rescate entre el afiliado y el operador de la infraestructura delictiva, ofrece un incentivo para sustraer información o pagos sin informar a los demás participantes.

El riesgo para las víctimas se vuelve así multinivel: pueden recibir exigencias de la banda, de un afiliado y de actores que hayan obtenido acceso posterior a los datos. Cada interlocutor puede afirmar que controla la clave o la información, sin que la víctima disponga de medios inmediatos para comprobarlo.

Como contexto separado sobre prevención, el Blue Report 2026 afirma haber evaluado las defensas mediante 338 millones de simulaciones en entornos de producción. Según el material promocional, cuando los atacantes utilizan credenciales válidas se bloquea el 37 % de las acciones. El dato pone de relieve el papel de los controles sobre las cuentas, pero no permite medir directamente el impacto de la campaña de Ransom Busters.