INC Ransom

Grupo de habla rusa, muy probablemente operando desde Rusia o un país de la CEI (Commonwealth of Independent States). La inferencia se basa en el patrón de victimología (muy pocas víctimas en países CEI) documentado por Secureworks, y en la valoración de ACSC/NCSC NZ/CERT Tonga que lo describe como 'grupo cibercriminal con motivación financiera, con base presumible en Rusia'. No existe atribución confirmada por fuerzas del orden a individuos o ubicación concreta.

Modelo disputado en las fuentes. La mayoría de reportes (advisory conjunta ACSC/NCSC Nueva Zelanda/CERT Tonga de 2026, Microsoft sobre el afiliado 'Vanilla Tempest', Acronis) lo describen como Ransomware-as-a-Service (RaaS): INC Ransom provee el malware y el sitio de filtración (DLS), mientras afiliados realizan el acceso inicial y despliegue, y el grupo central gestiona la extorsión y los pagos. Secureworks, en cambio, apunta a que podría operar con un grupo de afiliados más pequeño y controlado, casi cerrado, en contraste con esquemas RaaS abiertos como LockBit. El caso documentado de Microsoft sobre 'Vanilla Tempest' (ex-Vice Society, asociado a ataques en sanidad y educación en EE.UU., septiembre 2024) usando el ransomware INC por primera vez es la evidencia más concreta de un esquema de afiliados activo.

En mayo de 2024, un actor identificado como 'salfetka' anunció en foros de hacking (Exploit, XSS) la venta del código fuente de los encriptadores Windows y Linux/ESXi de INC Ransom, pidiendo $300,000 USD y limitando la venta a 3 compradores. KELA confirmó que detalles técnicos aportados coincidían con análisis públicos de muestras de INC. Posteriormente, análisis de Rapid7, Unit 42 y Group-IB sobre el ransomware 'Lynx' (surgido ~julio 2024) encontraron solapamiento significativo de código con INC: Rapid7/Unit 42 reportan ~48% de similitud binaria global y ~70.8% en funciones específicas (versión Windows); Group-IB reporta hasta 87-91% de similitud en la variante Linux/ESXi. Unit 42 concluye que esto 'sugiere fuertemente' que los desarrolladores de Lynx reutilizaron una porción considerable del código base de INC; Rapid7 es más cauto y dice que la evidencia 'no es suficiente para probar plenamente' una derivación directa. Algunas fuentes secundarias (Acronis, Hexnode) mencionan también un posible vínculo entre el código vendido y el ransomware 'Sinobi', pero no se encontró un reporte técnico primario que lo sustente — tratado aquí como rumor de baja confianza. Sobre el vínculo sugerido con 'Cicada3301': NO se encontró ninguna fuente que conecte técnicamente a Cicada3301 con el código de INC Ransom. Ambos son programas RaaS en Rust con capacidades similares (Windows/Linux/ESXi, velocidades de cifrado configurables) según Group-IB y Morphisec, pero se documentan como desarrollos independientes (Cicada3301 muestra en cambio solapamientos de técnicas con BlackCat/ALPHV, no con INC). Este punto debe tratarse como no confirmado / posible confusión en fuentes secundarias hasta hallar evidencia primaria.

Secureworks rastrea al grupo como 'GOLD IONIC'. Acceso inicial principalmente vía dispositivos perimetrales sin parchear (CVE-2023-3519 Citrix ADC/NetScaler, CVE-2023-4966 'Citrix Bleed', CVE-2023-48788 FortiClient EMS) o credenciales comprometidas compradas a brokers de acceso; también spear-phishing y, en el caso de 'Vanilla Tempest', infecciones previas de Gootloader entregadas por otro actor (Storm-0494). Para movimiento lateral y post-explotación usan herramientas legítimas para mezclarse con tráfico normal: Cobalt Strike, AnyDesk, ScreenConnect, TeamViewer, RDP, PsExec, drivers BYOVD, y WMI Provider Host para desplegar el payload. PsKill para matar procesos de seguridad. Exfiltración con rclone y 7-Zip, y más recientemente MEGA. Un dumper de credenciales modificado dirigido a despliegues de Veeam con DPAPI salted para robar credenciales de backup antes de cifrar, eliminando rutas de recuperación. Los encriptadores (Windows y Linux/ESXi) fueron reescritos en Rust para facilitar portabilidad entre plataformas y dificultar el análisis; la variante Linux/ESXi usa vim-cmd para apagar máquinas virtuales antes de cifrarlas; los archivos cifrados reciben extensión .INC. Eliminan shadow copies en Windows. El 65.3% de las víctimas reportadas están en EE.UU. según análisis de Acronis.