Conti (ransomware)

Según un manual filtrado , los miembros principales del equipo de una operación de Conti gestionan el malware, mientras que los afiliados reclutados se encargan de la explotación de las redes de las víctimas y del cifrado de sus dispositivos. ^{[ 5 ] [ 6 ]}

El modelo de ransomware como servicio de Conti difiere en su estructura de un modelo de afiliado típico. A diferencia de otros modelos RaaS, los grupos que utilizan el modelo de Conti probablemente pagan a los implementadores del malware con un salario en lugar de un porcentaje del rescate (una vez pagado). ^{[ 7 ]} También se sabe que los operadores de Conti utilizan la doble extorsión como medio para presionar a las víctimas a pagar, incluyendo la publicación de los datos robados de la víctima. En los casos en que una organización víctima se niega a pagar, han vendido el acceso a la organización a otros actores de amenazas. ^{[ 8 ]}

El ransomware Conti emplea diversas técnicas de sigilo, incluido el uso de BazarLoader, para infiltrarse en los sistemas objetivo. Está diseñado para cifrar archivos y hacerlos inaccesibles hasta que se pague un rescate. A menudo se distribuye mediante correos electrónicos de phishing , kits de exploits o sitios web comprometidos. ^{[ 1 ]} Conti se ha hecho famoso por atacar instituciones sanitarias, como se observa en sus ataques a organizaciones en Irlanda y Nueva Zelanda . ^{[ 9 ]}

El grupo Conti también es conocido por vender acceso a organizaciones víctimas que se han negado a pagar el rescate . Esta práctica no solo añade una capa más de presión sobre las víctimas, sino que también proporciona una fuente adicional de ingresos para la banda de ransomware. Estas tácticas, combinadas con las sofisticadas técnicas del grupo, han convertido a Conti en uno de los grupos de ransomware más prolíficos y capaces que operaron en 2021. ^{[ 9 ]}

El software utiliza su propia implementación de AES-256 que emplea hasta 32 hilos lógicos individuales, lo que lo hace mucho más rápido que la mayoría del ransomware. ^{[ 3 ]} El método de distribución no está claro. ^{[ 3 ]} La banda detrás de Conti ha operado un sitio desde el cual puede filtrar documentos copiados por el ransomware desde 2020. ^{[ 10 ]} La misma banda ha operado el ransomware Ryuk . ^{[ 10 ]} El grupo es conocido como Wizard Spider y tiene su sede en San Petersburgo , Rusia . ^{[ 11 ]}

Una vez en un sistema, intentará eliminar las copias de instantáneas de volumen . ^{[ 3 ]} Intentará finalizar varios servicios usando el Administrador de reinicio para asegurarse de que puede cifrar los archivos que usan. ^{[ 3 ]} Deshabilitará el monitor en tiempo real y desinstalará la aplicación Windows Defender. El comportamiento predeterminado es cifrar todos los archivos en unidades de bloque de mensajes del servidor locales y en red , ignorando los archivos con extensiones DLL , .exe , .sys y .lnk . ^{[ 3 ]} También puede dirigirse a unidades específicas, así como a direcciones IP individuales. ^{[ 3 ] [ 12 ]} Según NHS Digital, la única forma garantizada de recuperarse es restaurar todos los archivos afectados desde su copia de seguridad más reciente. ^{[ 3 ]}

El miembro de mayor rango es conocido por los alias Stern o Demon y actúa como CEO . ^{[ 13 ]} Otro miembro conocido como Mango actúa como gerente general y se comunica frecuentemente con Stern. ^{[ 13 ]} Mango le dijo a Stern en un mensaje que había 62 personas en el equipo principal. ^{[ 13 ]} El número de personas involucradas fluctúa, llegando hasta 100. ^{[ 13 ]} Debido a la constante rotación de miembros, el grupo recluta constantemente a través de sitios web legítimos de búsqueda de empleo y sitios web de hackers. ^{[ 13 ]} Los programadores comunes ganan entre $1500 y $2000 por mes, y los miembros que negocian pagos de rescate pueden obtener una parte de las ganancias. ^{[ 13 ]} En abril de 2021, un miembro afirmó tener un periodista anónimo que se llevaba una parte del 5% de los pagos de rescate presionando a las víctimas para que pagaran. ^{[ 13 ]}

En mayo de 2022, el gobierno de Estados Unidos ofreció una recompensa de hasta 15 millones de dólares por información sobre el grupo: 10 millones de dólares por la identidad o el paradero de sus líderes y 5 millones de dólares por información que condujera al arresto de cualquier persona que conspirara con él. ^{[ 14 ]}

Se han detectado ataques de ransomware Conti en todo el mundo, siendo Estados Unidos el país con mayor número de intentos de ataque entre el 1 de enero y el 12 de noviembre de 2021, superando el millón. Países Bajos y Taiwán ocuparon el segundo y tercer lugar, respectivamente. ^{[ 9 ]} El sector minorista ha sido el principal objetivo de los ataques de Conti, seguido por los sectores de seguros, manufactura y telecomunicaciones. El sector sanitario, que fue blanco de ataques de gran repercusión por parte del grupo Conti, ocupa el sexto lugar en la lista de sectores afectados. ^{[ 9 ]}

Conti apareció por primera vez a finales de 2019 y sus raíces están profundamente ligadas al ecosistema TrickBot y al ransomware Ryuk ^{[ 15 ]} . Los analistas de seguridad identifican a Conti como una evolución técnica de Ryuk, que mantiene técnicas de ofuscación similares pero introduce un motor de cifrado multihilo más rápido. ^{[ 9 ]}

Durante la invasión rusa de Ucrania en 2022 , Conti Group anunció su apoyo a Rusia y amenazó con implementar "medidas de represalia" si se lanzaban ciberataques contra el país. ^{[ 16 ] [ 17 ] [ 13 ]} Como resultado, aproximadamente 60 000 mensajes de registros de chat internos fueron filtrados por una persona anónima que indicaba su apoyo a Ucrania ^{[ 18 ] [ 19 ] [ 20 ]} junto con el código fuente y otros archivos utilizados por el grupo. ^{[ 21 ] [ 13 ] [ 22 ]}

Las filtraciones abarcan desde principios de 2020 hasta el 27 de febrero de 2022 y consisten en más de 60.000 mensajes de chat. ^{[ 13 ]} La mayoría de los mensajes filtrados fueron mensajes directos enviados a través de Jabber . ^{[ 13 ]} Los ataques se coordinaron utilizando Rocket.Chat . ^{[ 13 ]} Las filtraciones están fragmentadas. ^{[ 13 ]} Algunos de los mensajes discuten las acciones de Cozy Bear en el hackeo de investigadores de COVID-19 . ^{[ 23 ]} Kimberly Goody, directora de análisis de ciberdelincuencia en Mandiant, dice que las referencias a una fuente externa no identificada en los registros podrían ser útiles para la banda. ^{[ 23 ]} Señala la mención en las filtraciones de la Avenida Liteyny en San Petersburgo, Rusia, sede de las oficinas del FSB , como evidencia de que la fuente externa podría ser el gobierno ruso. ^{[ 23 ]}

Las opiniones expresadas en las filtraciones incluyen apoyo a Vladimir Putin , Vladimir Zhirinovsky y antisemitismo, especialmente contra Volodymyr Zelenskyy . ^{[ 24 ]} Un miembro conocido como Patrick repitió varias afirmaciones falsas hechas por Putin sobre Ucrania. ^{[ 24 ]} Patrick vive en Australia y podría ser ciudadano ruso. ^{[ 24 ]} Algunos mensajes muestran una obsesión con Brian Krebs . ^{[ 24 ]}

Los mensajes utilizan mucho la palabra "mat" . ^{[ 24 ]} También se encontraron mensajes que contenían homofobia , misoginia y referencias al abuso infantil. ^{[ 24 ]}

En mayo de 2025, un informante que usaba el alias GangExposed comenzó a nombrar a miembros de la banda en Telegram : ^{[ 25 ]}

GangExposed afirmó tener tres objetivos:

1. Identificar públicamente a todos los participantes clave de la pandilla, que suman aproximadamente 50 ^{[ 25 ].}
2. Desbarata sus planes para enriquecerse exponiendo a los organizadores del foro Blockchain Life ^{[ 25 ].}
3. Privarlos de un refugio seguro en los Emiratos Árabes Unidos ^{[ 25 ]}

La agencia policial alemana BKA ASE también identificó a Kovalev en mayo de 2025, vinculándolo con la identidad Stern y los grupos de actores de amenazas Wizard Spider, Ryuk, Trickbot y Conti. ^{[ 26 ]}

Kovalev figura en la lista de los más buscados del Servicio Secreto de los Estados Unidos en relación con delitos anteriores a la operación Conti, presuntamente cometidos bajo los alias de "Bentley", "Bergen" y "Alex Konor". ^{[ 27 ]} Fue acusado en febrero de 2012 en relación con fraudes bancarios presuntamente cometidos entre 2009 y 2010.

Además, Kovalev ha sido acusado tanto por el Departamento del Tesoro de los Estados Unidos como por el gobierno del Reino Unido en relación con su presunta participación en las operaciones de ciberdelincuencia Trickbot, Ryuk, Conti y Dyre. ^{[ 28 ] [ 29 ]}

En julio de 2026, el podcast Cyber ​​Hack de la BBC informó que videos de redes sociales visibles públicamente en los que aparecía Kovalev lo mostraban aparentemente de vacaciones con miembros de su familia en un complejo turístico en el sur de Rusia. ^{[ 30 ]} .

En las semanas posteriores a la filtración de 2022, el grupo se disolvió. ^{[ 31 ]} Un informe de Recorded Future indicó que no creían que la filtración fuera una causa directa de la disolución, pero que había acelerado las tensiones ya existentes dentro del grupo. ^{[ 31 ]}