DragonForce

El grupo DragonForce apareció por primera vez en diciembre de 2023 con el lanzamiento de su portal en la dark web DragonLeaks. Algunos investigadores vinculan el nombre a un colectivo hacktivista malasio preexistente con motivaciones ideológicas, aunque su evolución ha sido inequívocamente comercial desde sus primeras operaciones documentadas.

DragonForce no opera bajo el modelo RaaS clásico, sino que se ha posicionado como un cártel ransomware, una estructura diferente y más descentralizada. En la práctica, otros actores — afiliados o grupos independientes — pueden acceder a su infraestructura completa: panel de administración, leak site, cifrador y soporte operativo, a cambio de ceder el 20% de los rescates obtenidos al grupo matriz. Adicionalmente, ofrece kits de ransomware de marca blanca, permitiendo que sus afiliados distribuyan variantes personalizadas bajo su propia identidad, lo que incrementa la atomización y dificulta la atribución.

El cifrador de DragonForce deriva del código fuente filtrado de Conti v3, con similitudes documentadas también con LockBit 3.0 (Green), ambos convergentes en el mismo código base. Los investigadores de Acronis TRU han identificado dos variantes principales distribuidas entre sus afiliados: Devman y Mamona/Global. En cuanto a técnicas de evasión, el grupo emplea ataques BYOVD (Bring Your Own Vulnerable Driver), utilizando controladores vulnerables como truesight.sys y rentdrv2.sys para desactivar herramientas de seguridad antes del despliegue del cifrador. El grupo practica doble extorsión, aunque en algunos casos documentados la exfiltración se produce sin cifrado posterior, priorizando la velocidad de monetización.

Uno de los rasgos más relevantes de DragonForce desde 2025 es su modelo de cooperación con otros actores del ecosistema criminal. Se ha documentado una colaboración operativa con Scattered Spider (UNC3944), un actor especializado en acceso inicial mediante phishing, vishing e intercambio de SIM. En este esquema, Scattered Spider actúa como proveedor de acceso inicial y DragonForce aporta la infraestructura de ransomware y exfiltración. Esta asociación se ha extendido hacia vínculos con los grupos LAPSUS$ y ShinyHunters, configurando lo que la unidad TRU de Acronis denomina el ecosistema "Scattered LAPSUS$ Hunters". En un incidente documentado por Sophos MDR, un afiliado de DragonForce comprometió la herramienta RMM SimpleHelp de un MSP para desplegar el ransomware en múltiples endpoints de sus clientes finales, evidenciando el riesgo en cadena que supone el acceso a proveedores de servicios gestionados.

En marzo de 2025, coincidiendo con su relanzamiento formal como cártel, DragonForce inició una serie de movimientos agresivos para consolidar su posición dominante en el ecosistema. El grupo comenzó desfigurando los leak sites de BlackLock y Mamona, reemplazando su contenido con el logo de DragonForce y enlaces a su propio portal. A continuación, apareció en el leak site de RansomHub una publicación titulada "Welcome to the DragonForce Cartel", seguida de un post en el foro underground RAMP donde DragonForce afirmaba que RansomHub se estaba integrando en su infraestructura, aunque una posdata en el mismo mensaje delataba que el acuerdo no era tal: "RansomHub, esperamos tu respuesta. Os esperamos en nuestras filas". El 1 de abril de 2025, el portal de RansomHub quedó offline con el mensaje "RansomHub R.I.P 03/03/2025". Lo que se presentó como colaboración fue, según Sophos, una hostile takeover. La respuesta no tardó: un miembro prominente de RansomHub bajo el alias "koley" desfiguró el portal de DragonForce en RAMP acusando al grupo de colaborar con fuerzas del orden y de tener infiltrados internos. La caída de RansomHub disparó una migración masiva de afiliados, principalmente hacia Qilin, aunque un número significativo optó también por la infraestructura de DragonForce, cumpliendo así el objetivo del grupo: absorber el vacío dejado por la desarticulación de los grandes operadores.

DragonForce mantiene en la actualidad una actividad sostenida y creciente, habiendo publicado datos de más de 200 víctimas en sectores como el comercio minorista, aerolíneas, seguros y proveedores de servicios gestionados. Su capacidad de adaptación técnica y su apetito por la expansión — tanto frente a víctimas como frente a rivales — lo sitúan entre las amenazas emergentes de mayor relevancia del panorama actual.

En 2026, DragonForce intensificó su actividad mediante un modelo de afiliados y alcanzó cientos de víctimas durante el primer semestre. Además, investigadores identificaron Backdoor.Turn, una puerta trasera asociada al grupo que utilizaba la infraestructura TURN de Microsoft Teams para ocultar el tráfico de comando y control, una técnica poco habitual que dificultaba la detección de la intrusión.