figurefigurefigurefigure<\/p>\n
El ransomware no es aleatorio: el mercado se autorregula<\/h2>\n
Los actores del ransomware han aplicado la l\u00f3gica de la franquicia al antiguo arte de la extorsi\u00f3n, repartiendo la culpa por el camino. El funcionamiento interno de lo que se conoce como ransomware como servicio (RaaS) es, ciertamente, m\u00e1s desordenado que el de una cadena de comida r\u00e1pida: la coordinaci\u00f3n es laxa y las guerras territoriales son reales y, en ocasiones, p\u00fablicas. Aun as\u00ed, la l\u00f3gica subyacente se mantiene. La industria vive y muere por la confianza entre sus participantes y los incentivos que los unen. Y, como sabemos, los incentivos determinan los resultados m\u00e1s que cualquier otra cosa.<\/p>\n
El campo est\u00e1 tan concurrido que la competencia se intensifica. La competencia entre los humanos, en general, agranda su propia forma: primero entre individuos, luego entre familias, comunidades y naciones. En el mundo digital, los hackers individuales que compet\u00edan por notoriedad se transformaron en grupos organizados que compet\u00edan por territorio, los cuales se convirtieron en una red interconectada de especialistas que compiten por cuota de mercado. Sin las restricciones de las fronteras o las burocracias, los ciberdelincuentes comprimieron en un par de a\u00f1os un arco que a las industrias leg\u00edtimas les tom\u00f3 d\u00e9cadas.<\/p>\n
Las fuerzas de seguridad no se quedan de brazos cruzados, y las interrupciones selectivas crean incertidumbre real e imponen costos reales. Pero cerrar una empresa en un mercado competitivo no cierra el mercado. Mientras los incentivos sigan alineados, la desaparici\u00f3n de un grupo de ransomware desencadena la competencia entre los supervivientes para ocupar su lugar. Surgen nuevos actores, otros cambian de nombre o se asocian con pares, los clientes eligen nuevos proveedores y los manuales de ataque probados sobreviven. Incluso las disputas internas entre grupos de ciberdelincuencia equivalen a que el mercado depura a sus actores m\u00e1s d\u00e9biles: la competencia funcionando como se espera.<\/p>\n
Por ejemplo, cuando LockBit y BlackCat fueron desarticulados por las fuerzas de seguridad en 2024, sus afiliados se trasladaron principalmente a RansomHub. En 2025, DragonForce, un actor relativamente menor en ese momento, desfigur\u00f3 los sitios de filtraciones de varios rivales y derrib\u00f3 el sitio de RansomHub, la operaci\u00f3n l\u00edder de entonces. Cuando RansomHub se qued\u00f3 en silencio, Akira y Qilin absorbieron su cuota de mercado. El patr\u00f3n se mantiene porque la barrera de entrada sigue siendo baja, las herramientas est\u00e1n disponibles como servicio y la mano de obra es tan desechable que no se puede privar de participantes a la oferta. Las operaciones de ransomware est\u00e1n dise\u00f1adas para escalar independientemente de si alg\u00fan participante individual posee habilidades formidables.<\/p>\n
La carrera de la Reina Roja: adaptaci\u00f3n constante entre defensas y antiherramientas<\/h2>\n
Con el tiempo, el manual de ataque del ransomware de anta\u00f1o \u2014bloquear los archivos y exigir un rescate\u2014 ha dado paso a la doble extorsi\u00f3n, donde los atacantes roban datos corporativos antes de cifrarlos y publican al menos muestras del bot\u00edn en sitios de filtraciones dedicados. El FBI y la CISA<\/a> describen ahora el ransomware como un problema de \u00abrobo y extorsi\u00f3n de datos\u00bb. Pero los peligros espec\u00edficos tambi\u00e9n cambian r\u00e1pidamente. Hace apenas dos a\u00f1os, ClickFix, una t\u00e9cnica de ingenier\u00eda social donde un mensaje de error falso enga\u00f1a a los usuarios para que copien, peguen y ejecuten comandos maliciosos, estaba fuera del radar de casi todos. Ahora est\u00e1 generalizada y es utilizada tanto por grupos respaldados por estados como por grupos de ciberdelincuencia.<\/p>\n Esta velocidad de adaptaci\u00f3n no es sorprendente una vez que se comprende que una versi\u00f3n de ella se ha estado desarrollando en la naturaleza desde siempre. Las especies atrapadas en la competencia deben adaptarse continuamente solo para mantener su posici\u00f3n. Los depredadores se vuelven m\u00e1s r\u00e1pidos, por lo que las presas se vuelven m\u00e1s r\u00e1pidas. Las presas desarrollan camuflaje, por lo que los depredadores desarrollan una visi\u00f3n m\u00e1s aguda. La biolog\u00eda llama a esto el efecto Reina Roja, en honor a un personaje de A trav\u00e9s del espejo<\/em> de Lewis Carroll que debe seguir corriendo para permanecer en el mismo lugar. Los profesionales de la seguridad reconocer\u00e1n la din\u00e1mica, aunque los nombres m\u00e1s familiares \u2014como carrera armamentista y juego del gato y el rat\u00f3n\u2014 pueden quedarse cortos. El efecto Reina Roja describe algo m\u00e1s espec\u00edfico: una adaptaci\u00f3n que no produce ninguna ventaja neta porque el otro bando se adapta casi en paralelo.<\/p>\n Su manifestaci\u00f3n m\u00e1s clara habita en el espacio entre las herramientas de los defensores y las antiherramientas de los atacantes. Los productos de detecci\u00f3n y respuesta en endpoints (y detecci\u00f3n y respuesta extendida, o EDR\/XDR) son clave para detectar el tipo de actividad que los afiliados al ransomware llevan a cabo dentro de las redes comprometidas. A medida que los productos han mejorado, los delincuentes respondieron construyendo un mercado clandestino de herramientas dise\u00f1adas para desactivarlos. Y donde hay un mercado, hay un producto, generalmente en abundancia. Los investigadores de ESET<\/a> rastrean casi 90 asesinos de EDR en uso activo. Cincuenta y cuatro explotan la misma t\u00e9cnica subyacente: cargar un controlador leg\u00edtimo pero vulnerable en la m\u00e1quina objetivo y usarlo para obtener los privilegios a nivel de kernel necesarios para apagar el producto de seguridad. La t\u00e9cnica se llama \u00abTrae tu propio controlador vulnerable\u00bb (BYOVD), y los controladores vulnerables son un producto b\u00e1sico: el mismo controlador aparece en herramientas no relacionadas, y la misma herramienta migra entre controladores a lo largo de las campa\u00f1as.<\/p>\n El mercado de asesinos de EDR refleja la econom\u00eda del ransomware a la que sirve. Estas antiherramientas vienen empaquetadas con servicios de ofuscaci\u00f3n basados en suscripci\u00f3n que se actualizan regularmente para mantenerse por delante de la detecci\u00f3n. Los afiliados, no los operadores de ransomware, suelen elegir qu\u00e9 asesino desplegar: la decisi\u00f3n de compra se toma a nivel de franquicia. Cuando el producto defensivo se actualiza, el servicio de ofuscaci\u00f3n le sigue. Reina Roja, de nuevo. La inversi\u00f3n masiva en asesinos de EDR es, perversamente, la medida m\u00e1s clara del da\u00f1o que las herramientas de detecci\u00f3n infligen al modelo de negocio criminal. Despu\u00e9s de todo, no se construye una categor\u00eda de producto completa en torno a la desactivaci\u00f3n de algo que no est\u00e1 perjudicando los resultados.<\/p>\nEl papel de la IA en la nueva econom\u00eda del ransomware<\/h2>\n