INC Ransomware

INC Ransom fue visto por primera vez en verano de 2023 bajo la denominación GOLD IONIC, identificado como un grupo orientado a la extorsión financiera, combinando cifrado de sistemas y publicación de los datos robados (una estrategia de doble extorsión de manual). Sus primeras campañas mostraron un ritmo constante de víctimas publicadas en su sitio .onion, con especial foco en Estados Unidos, Reino Unido y Europa occidental además de una preferencia por organizaciones con cierta envergadura y presión regulatoria o reputacional elevada.

Con el paso del tiempo, distintos análisis han descrito la transición de INC desde un modelo más cerrado hacia una operación semi‑privada de RaaS, basada en un profit‑sharing con afiliados e Initial Access Brokers (IABs). Los afiliados aportan acceso inicial, reconocimiento y movimiento lateral, mientras el núcleo del grupo proporciona el cifrador, la infraestructura de negociación, el leak site y el know‑how de extorsión. Los repartos citados en fuentes externas sitúan al afiliado entre el 60% y el 80% del rescate, con el resto para el núcleo, lo que hace el programa competitivo frente a otros operadores RaaS.

La cadena de ataque típica de INC comienza con spear phishing, credenciales comprometidas o explotación de vulnerabilidades en servicios expuestos, destacando de esta última la explotación de vulnerabilidades como CVE‑2023‑3519 en Citrix NetScaler y plataformas de soporte remoto como SimpleHelp. Una vez que ya han obtenido el acceso, los actores realizan reconocimiento con herramientas como AdFind, Advanced IP Scanner y herramientas nativas de Windows, con el objetivo de enumerar dominios, priorizar sistemas de backup y controladores de dominio. Una característica distintiva del actor es el uso de scripts específicos para el robo de credenciales de Veeam, es decir, lectura y descifrado de las credenciales almacenadas en las bases de datos de configuración de Veeam Backup & Replication.

En cuanto a sus capacidades de evasión, INC integra la táctica BYOVD (Bring Your Own Vulnerable Driver) mediante controladores vulnerables que se instalan como servicios y permiten terminar procesos del EDR y otras herramientas de seguridad a nivel de kernel. La exfiltración se apoya en empaquetado con 7‑Zip y subida a repositorios controlados mediante rclone u otros servicios cloud. En lo que respecta a la fase conocida como "impacto", esta se materializa con cifrado escalonado de archivos (con extensión .INC), eliminación de shadow copies y despliegue de notas de rescate INC‑README en texto y HTML, con enlaces únicos a portales de negociación en Tor; en algunos incidentes, el malware incluso localiza impresoras y envía la nota a impresión para aumentar la presión sobre la víctima (y darle un toque más cinematográfico al drama).

En el plano técnico, INC ha pasado de cifradores iniciales a variantes en Rust para Windows y Linux/ESXi, diseñadas para ser rápidas y difíciles de analizar.

• El cifrador de Windows se compila como PE64, utiliza hilos y un esquema híbrido (cifrado simétrico + curvas elípticas), excluye directorios del sistema para mantener el host funcional y aplica cifrado parcial según el tamaño de los archivos para optimizar rendimiento.
• En Linux/ESXi, el cifrador se compila como ELF64, emplea comandos como vim-cmd para enumerar y apagar máquinas virtuales antes de cifrar, y permite ajustar su comportamiento.

En la actualidad, su leak site documenta casi 900 víctimas desde su inicio, registrándose 260 durante 2026 (a julio 2026). Es relevante indicar que esto incluye tanto incidentes con cifrado como campañas de exfiltración y extorsión sin cifrado. Con este nivel de impacto, y junto a la profesionalización de su modelo RaaS, INC se posiciona entre los operadores con mayor capacidad e impacto económico en 2026.