En un importante avance contra el cibercrimen organizado, la empresa de ciberseguridad Resecurity ha logrado comprometer y desmantelar la infraestructura del grupo de ransomware BlackLock, previniendo múltiples ataques y exponiendo una extensa red de operaciones criminales que abarca varios continentes.
Alcance Global de las Operaciones Criminales
La investigación ha revelado que BlackLock había perpetrado ataques contra 46 organizaciones en 14 países hasta febrero de 2025. Las víctimas incluyen sectores críticos como defensa, salud y administración pública, aunque los expertos sugieren que el número real de afectados podría ser significativamente mayor.
Metodología de la Infiltración y Vulnerabilidades Detectadas
Los investigadores de Resecurity identificaron una vulnerabilidad crítica de tipo Local File Include (LFI) en el portal darknet de BlackLock. Esta brecha permitió acceder a configuraciones de servidores y credenciales de operadores. Un error crucial en la seguridad operacional del líder del grupo, que utilizaba contraseñas repetidas en múltiples servicios, facilitó la infiltración completa en su infraestructura.
Técnicas de Exfiltración y Operativa Criminal
La investigación descubrió que el grupo utilizaba principalmente el servicio Mega para la exfiltración de datos, empleando ocho cuentas de correo diferentes y la herramienta rclone. Para evadir la detección, los atacantes instalaban el cliente Mega directamente en los sistemas comprometidos de sus víctimas.
Vínculos con Otras Organizaciones Criminales
El análisis forense ha establecido conexiones directas entre BlackLock y otros grupos de ransomware: El Dorado, Mamona y DragonForce. Los patrones de código malicioso y las similitudes en los objetivos sugieren una gestión centralizada, posiblemente desde Rusia o China, según los indicadores técnicos analizados.
Esta operación representa un golpe significativo contra el ecosistema del ransomware, resultando en el cierre de las infraestructuras de BlackLock y Mamona. Aunque es improbable que estos grupos específicos resurjan, la comunidad de ciberseguridad debe mantener la vigilancia ante posibles rebrandes de sus operadores. Este caso subraya la importancia de la colaboración internacional en la lucha contra el cibercrimen y la necesidad de implementar medidas de seguridad robustas en todas las organizaciones.
