Krybit

RaaS (ransomware-as-a-service) con reparto de ganancias 80/20 a favor del afiliado. El panel de afiliados filtrado por el grupo rival 0APT (cubriendo 28 marzo-12 abril 2026) mostraba 2 administradores y 5 afiliados, ~20 víctimas en negociación activa, exfiltración escalonada de 10-250GB por víctima, demandas de rescate de USD 40,000-100,000, 5 wallets de Bitcoin (sin transacciones registradas al momento de la filtración) y contraseñas almacenadas en texto plano (mala higiene operativa). El grupo publicita almacenamiento ilimitado, soporte técnico 24/7, un conjunto de malware automatizado y un dashboard propio para afiliados.

Múltiples motores antivirus (Combo Cleaner, Microsoft, ESET) detectan las muestras de Krybit como variantes de Babuk/Babyk, cuyo código fuente se filtró en 2021 y ha dado origen a numerosas cepas RaaS no relacionadas entre sí. No hay evidencia de vínculo confirmado con un grupo de ransomware establecido ni con actores estatales; el parentesco de código con Babuk no implica continuidad operativa con el grupo original Babuk ni con otro operador conocido.

Acceso inicial reportado vía cuentas válidas (T1078) y RDP (T1021/T1021.001); sin phishing ni CVE específico documentado públicamente. Ejecución/persistencia: intérprete de comandos (T1059), autoarranque (T1547, T1037). Evasión de defensas: deshabilitación de herramientas de seguridad (T1562), con ofuscación e inyección de procesos reportadas (sin EDR-killer identificado). C2/exfiltración sobre red Tor (T1071, T1105/T1041). Impacto: borrado de copias de seguridad en volumen (vssadmin, T1490), cifrado con extensión de archivo '.KRYBIT' y nota de rescate 'RECOVER-README.txt'; víctimas dirigidas a un chat Tor para negociar. Doble extorsión confirmada: filtración de datos antes del cifrado. Soporta Windows, Linux, VMware ESXi y NAS. Sin decryptor público conocido (confirmado por PCRisk).