El panorama del ransomware se vuelve más sofisticado y agresivo
En el último año, hemos sido testigos de una transformación significativa en las operaciones de Ransomware-as-a-Service (RaaS). Grupos emergentes y consolidados están adoptando tácticas que no solo buscan cifrar datos, sino infiltrarse silenciosamente utilizando herramientas legítimas y vulnerabilidades críticas en infraestructuras clave. Recientes informes de firmas de ciberseguridad han puesto el foco en tres actores principales: Anubis, The Gentlemen y la alianza VECT/TeamPCP.
Anubis: Explotando Citrix Bleed 2 y herramientas de gestión legítimas
El grupo Anubis, una evolución del ransomware Sphinx, ha comenzado a explotar activamente la vulnerabilidad Citrix Bleed 2 (CVE-2025-5777). Este fallo crítico, con una puntuación CVSS de 9.3, permite a los atacantes omitir la autenticación en dispositivos Citrix NetScaler ADC y Gateway.
Lo más preocupante para las empresas no es solo el acceso inicial, sino su capacidad para pasar desapercibidos. Anubis utiliza herramientas legítimas de monitoreo y gestión remota (RMM) como ScreenConnect, Zoho Assist y UltraVNC para mezclarse con la actividad normal de TI. Además, han implementado un «modo de borrado» (WIPEMODE) que reduce los archivos a 0 KB si no se paga el rescate, aumentando drásticamente la presión sobre las víctimas.
The Gentlemen y la técnica BYOVD: Saltándose las defensas modernas
Por otro lado, el grupo The Gentlemen está utilizando una técnica conocida como BYOVD (Bring Your Own Vulnerable Driver). Esta táctica consiste en instalar un controlador (driver) legítimo pero vulnerable en el sistema de la víctima para obtener privilegios a nivel de kernel.
Mediante el uso de un exploit de día cero en el controlador ktapi.sys de Kontron, estos atacantes logran desactivar soluciones de seguridad avanzadas (EDR/Antivirus) de proveedores líderes como Microsoft, ESET y SentinelOne. Una vez que las defensas están neutralizadas, despliegan puertas traseras basadas en lenguaje Go para ejecutar comandos remotos y exfiltrar información sensible.
La industrialización del cibercrimen: VECT y TeamPCP
La colaboración entre los grupos VECT y TeamPCP marca un hito en la industrialización del ransomware. Su estrategia se basa en el robo masivo de credenciales a través de ataques a la cadena de suministro (afectando a herramientas como Trivy y LiteLLM). Esta alianza permite desplegar ransomware de forma automatizada en todas las organizaciones comprometidas previamente, reduciendo las barreras de entrada para los ciberdelincuentes y aumentando la escala de los ataques.
Recomendaciones para la resiliencia empresarial
Ante este escenario de amenazas híbridas y altamente técnicas, desde Intedya recomendamos a las organizaciones fortalecer sus protocolos de seguridad:
- Actualización crítica: Priorizar el parcheo de sistemas Citrix y cualquier infraestructura expuesta a internet.
- Control de herramientas RMM: Monitorizar y restringir el uso de software de gestión remota no autorizado.
- Autenticación Multifactor (MFA): Implementar MFA robusto en todas las conexiones VPN y accesos corporativos.
- Seguridad en la cadena de suministro: Evaluar la postura de seguridad de los proveedores de software y herramientas de terceros.
- Copias de seguridad inmutables: Mantener backups que no puedan ser alterados o borrados por procesos de ransomware, garantizando la recuperación ante un posible «modo de borrado».
Fuentes
- The Hacker News — Ransomware Groups Turn to Citrix Bleed 2, BYOVD, and Supply Chain Credentials
https://thehackernews.com/2026/07/ransomware-groups-turn-to-citrix-bleed.html