DragonForce migra a un modelo de “cartel” y ofrece infraestructura de ransomware

DragonForce, una banda de ransomware (secuestro de información), avanza en una transformación hacia una infraestructura que permite a distintos grupos cibercriminales lanzar ataques bajo sus propias marcas. El cambio se apoya en un modelo de plataforma con servicios de soporte para operar campañas de extorsión y se vincula con una evolución del cibercrimen organizado.

En Latinoamérica, la actividad del grupo registra ataques en Brasil, Argentina, Colombia, México, Costa Rica, Guatemala y República Dominicana. La presencia regional se integra a una expansión más amplia: DragonForce apareció en la escena del cibercrimen durante la segunda mitad de 2023 como un esquema de *ransomware as a service*. Su primera actividad registrada data de diciembre de 2023 y, desde entonces, acumula casi 600 víctimas en más de 60 países, según los registros públicos recopilados por ransomware.live.

Estados Unidos figura como su principal objetivo, con casi 300 incidentes registrados. También se contabilizan víctimas en Canadá, Australia y el Reino Unido, entre otros países. En este marco, la operatoria del grupo tomó visibilidad por el modo en que combina el desarrollo de malware con una oferta de infraestructura que puede ser utilizada por afiliados.

“DragonForce pasó de ser un grupo de ransomware as a service a adoptar un modelo que sus operadores describen como un “cartel””, dijo David González, investigador de Seguridad Informática de ESET Latinoamérica. En la misma línea, señaló que el fenómeno consolida “el paso del ransomware como malware al ransomware como plataforma de servicios criminales”.

El paquete que ofrece incluye recursos para que otros actores operen bajo su plataforma. “DragonForce hoy ofrece toda la infraestructura para que otros grupos cibercriminales operen bajo su plataforma: paneles de administración, sitios de filtración, sistemas de negociación y herramientas para administrar víctimas”, dijo González, y agregó que también cuentan con soporte técnico para afiliados.

Para 2025, tras operaciones de desmantelamiento de LockBit y otros grupos de ransomware, DragonForce elevó su perfil con una estrategia agresiva para reclutar afiliados. Ese posicionamiento se apoyó en ofrecer no solo el malware y la infraestructura necesarios para lanzar ataques, sino también mejores porcentajes de ganancia —cercanos al 80% en algunos casos— y mayores niveles de anonimato. Ese año, el grupo comenzó a autodefinirse como un “cartel”.

Uno de los elementos que sostienen el esquema es el modelo de negocio White-Label: otros grupos pueden usar servidores, paneles de negociación, sitios de filtración y soporte técnico sin firmar los ataques como DragonForce. En la práctica, esto puede hacer que la víctima no advierta que detrás del incidente opera la infraestructura del grupo.

Entre los servicios adicionales se destacan el análisis de datos para extorsión —una auditoría de la información robada— y la entrega de un “kit de extorsión” con listas de contactos telefónicos para presionar a directivos y detalles sobre el posible impacto regulatorio si no se paga el rescate. En términos de riesgo para las empresas, el esquema reduce barreras de entrada: un actor con pocos conocimientos técnicos puede lanzar su propia “marca” sin desarrollar malware ni montar infraestructura desde cero, lo que acelera la expansión del cibercrimen y dificulta la atribución cuando distintos grupos comparten herramientas y servidores.