Blacklock Ransomware: Análisis Técnico de una Amenaza Emergente en 2025
El ransomware Blacklock, también conocido como “El Dorado” o “Eldorado”, ha surgido como una de las operaciones más agresivas dentro del modelo RaaS (Ransomware-as-a-Service) a principios de 2025. Su rápida propagación y sofisticadas técnicas de ataque lo han posicionado como una amenaza significativa para organizaciones de diversos sectores.
Orígenes y Modus Operandi
Blacklock opera bajo el modelo RaaS, donde los desarrolladores alquilan el malware a afiliados (o “affiliates”) a cambio de un porcentaje de los rescates obtenidos. Este enfoque ha permitido una rápida escalabilidad, ya que los atacantes no necesitan conocimientos técnicos avanzados para desplegar la amenaza.
Entre sus características técnicas destacables se encuentran:
- Uso de cifrado AES-256 combinado con RSA-4096 para bloquear archivos
- Capacidad de desactivar soluciones de seguridad y borrar copias de sombra (Volume Shadow Copies)
- Tácticas de doble extorsión: además de cifrar datos, amenaza con filtrar información robada
- Propagación lateral mediante exploits de vulnerabilidades conocidas (como ProxyLogon y Log4j)
Infraestructura y Técnicas de Evasión
Blacklock emplea una infraestructura distribuida que incluye servidores C2 (Command and Control) alojados en redes Tor y dominios legítimos comprometidos. Para evadir detección, utiliza:
- Ofuscación de código mediante técnicas como packing y encadenamiento de APIs
- Inyección en procesos legítimos (process hollowing)
- Uso de certificados digitales robados para firmar el malware
- Comunicaciones cifradas mediante protocolos como DNS over HTTPS (DoH)
Impacto y Sectores Afectados
Desde su aparición, Blacklock ha impactado principalmente a:
- Empresas del sector manufacturero (35% de los casos)
- Organizaciones de salud (25%)
- Entidades gubernamentales (20%)
- Proveedores de servicios financieros (15%)
- Otros sectores (5%)
Los ataques suelen comenzar con phishing dirigido o explotación de vulnerabilidades en servicios expuestos a Internet, seguido de movimiento lateral mediante herramientas como Cobalt Strike.
Medidas de Mitigación
Para defenderse contra Blacklock, se recomienda implementar:
- Parcheo inmediato de vulnerabilidades conocidas
- Segmentación de red para limitar el movimiento lateral
- Soluciones EDR/XDR con capacidades de detección de comportamiento
- Copias de seguridad offline y pruebas regulares de recuperación
- Monitoreo de tráfico saliente hacia dominios sospechosos
- Programas de concienciación sobre phishing para empleados
Perspectivas Futuras
Los analistas predicen que Blacklock continuará evolucionando, posiblemente incorporando:
- Técnicas de inteligencia artificial para mejorar la selección de objetivos
- Ataques a cadena de suministro software
- Mayor automatización en la fase de movimiento lateral
- Explotación de vulnerabilidades zero-day
La colaboración entre organizaciones y agencias de ciberseguridad será clave para contrarrestar esta amenaza en crecimiento. Se recomienda monitorear fuentes como Fuente original para estar al tanto de los últimos desarrollos.
