Lynx

Lynx es un grupo de ransomware observado por primera vez en 2024 y asociado a una operativa de doble extorsión con un perfil claramente oportunista. Su valor analítico no está en la novedad, sino en la forma en que ejecuta una cadena de intrusión relativamente corta, orientada a extraer datos, presionar a la víctima y monetizar el acceso con rapidez.

Una de las claves de Lynx es su vínculo técnico con INC Ransom. Distintos análisis apuntan a una similitud relevante entre ambas familias, con coincidencias funcionales en un rango aproximado del 50-70%, aunque sin una prueba definitiva de que Lynx haya nacido de una adquisición directa del código fuente. Lo interesante aquí no es tanto la etiqueta de "sucesor" como el hecho de que Lynx parece partir de una base técnica ya madura y reutilizada.

El grupo ha mostrado una victimología amplia, sin un foco sectorial rígido, y ha afectado a organizaciones de energía, sanidad, educación, servicios financieros, manufactura y sector público. Entre los casos más relevantes figuran Electrica Group en Rumanía, Universidad de Chile, DeKalb County en Estados Unidos, Richard Mille Asia, iBUYPOWER, Siamgas y Vir Biotechnology.

En el plano técnico, Lynx destaca por una serie de rasgos que lo hacen reconocible. El ransomware incorpora rutinas para terminar procesos y servicios que puedan interferir con el cifrado, especialmente los ligados a backup, bases de datos y correo; utiliza también mecanismos para borrar shadow copies y aprovechar el Restart Manager para cifrar archivos en uso. A ello suma una característica poco habitual: la capacidad de imprimir la nota de rescate en impresoras conectadas al sistema comprometido, lo que añade visibilidad interna y presión operativa.

Su criptografía combina AES-128 en modo CTR con Curve25519 Donna, y los archivos cifrados reciben la extensión .lynx. Las notas de rescate redirigen a la víctima a un portal de contacto en Tor mediante un identificador único, lo que refuerza una operativa bastante estructurada de negociación y filtración.

En conjunto, Lynx debe entenderse como una operación que combina reutilización técnica, rapidez y presión selectiva sobre la recuperación. No busca sorprender por complejidad, sino por eficacia: una base heredada, funciones bien orientadas a degradar la respuesta de la víctima y una ejecución que sigue encajando muy bien en el ransomware actual. Más allá de su operativa concreta, Lynx es interesante porque refleja muy bien la economía de reutilización que domina hoy el ransomware. La discusión sobre su relación con INC no solo apunta a una posible herencia técnica, sino también a la facilidad con la que una base de código madura puede reaparecer en una nueva marca con pocos cambios visibles para la víctima. Eso convierte a Lynx en un buen ejemplo de cómo el valor ya no está tanto en "crear" malware desde cero como en empaquetar, adaptar y volver a monetizar capacidades ya probadas.