n0n

Disputado entre vendors: SOCRadar y WatchGuard lo describen como un 'data broker' centrado en robo y extorsión de datos (amenaza de publicación, no necesariamente cifrado), mientras que CyberXTron y Fortra lo etiquetan como 'doble extorsión' sin resolver si despliega un encriptador real. Fortra reporta (sin pruebas técnicas publicadas) que el acceso inicial se basaría en credenciales válidas obtenidas mediante malware infostealer. No hay confirmación de modelo RaaS con afiliados ni de operación propia cerrada; Fortra plantea como hipótesis no verificadas tanto un rebrand que reutiliza accesos previos como un esquema RaaS con afiliados.

Conclusión sobre N0n vs DAN0N: se trata, con confianza moderada-alta, de DOS ACTORES DISTINTOS, no del mismo grupo. DAN0N (estilizado 'dAn0n') es un actor documentado desde marzo/abril de 2024, con víctimas casi exclusivamente en EE.UU. (19-33 según la fuente), que cesó actividad en agosto de 2024. WatchGuard/Secplicity evalúa -como probabilidad, no atribución confirmada- que DAN0N reapareció en 2025 bajo la marca 'White Lock', un ransomware con cifrado real (extensión .fbin, borrado de shadow copies) y sin página de filtración pública, a diferencia del perfil 'ruidoso' de DAN0N. N0n, en cambio, aparece por primera vez en septiembre de 2026, más de un año después de esa transición DAN0N->White Lock, opera desde un .onion distinto (nongzecboljwv3yfndkggsybsglfrkffw7bvk2zemuteoxe6etpusnad.onion) y golpea víctimas en 8+ países (EE.UU., Vietnam, Brasil, Venezuela, Luxemburgo, Turquía, Argentina, Países Bajos) frente al perfil 100% estadounidense de DAN0N. Ningún vendor consultado (Fortra, SOCRadar, WatchGuard, CyberXTron) menciona ni sugiere un vínculo N0n=DAN0N; la superposición es puramente de patrón de nombre (sustitución de 'o' por '0'), un recurso estilístico común en el ecosistema ransomware y no evidencia de identidad compartida. La hipótesis más probable es que el consenso de fuentes de Likmon está generando un falso positivo de 'feeds_disagree' por similitud léxica automática, no por una señal de inteligencia real. No hay evidencia de que N0n sea un rebrand de ningún grupo conocido; las tres hipótesis que circula Fortra (rebrand con accesos reutilizados, RaaS con afiliados, o incidentes antiguos reetiquetados) permanecen sin resolver y sin respaldo probatorio.

Información preliminar y de baja/moderada confianza, típica de un actor de 5 semanas de antigüedad. Fortra (vendor, sin IOCs públicos) reporta que el acceso inicial se apoyaría en credenciales válidas obtenidas vía malware infostealer. Las notas de rescate reclaman capacidad de destruir copias de seguridad de las víctimas además de amenazar con publicar datos robados (doble extorsión) -- esta capacidad de destrucción de backups NO ha sido confirmada de forma independiente ni técnica (sin muestras de malware, comandos o nombres de producto de backup documentados; fuente: Infosecurity Magazine vía CyPro, 24-sep-2026). No existe aún nombre de familia de malware, hash, dominio C2, ni regla YARA publicada por ningún vendor consultado a fecha de esta investigación (25-oct-2026). Hay desacuerdo abierto entre vendors sobre si el grupo realmente cifra archivos o solo roba y amenaza con filtrar.