En las últimas semanas se ha detectado el regreso de CyberVolk, un grupo pro-ruso que había ganado cierta notoriedad en 2024 y que, tras un periodo de baja actividad, vuelve a escena con una nueva familia de ransomware.
CyberVolk surgió inicialmente en 2024 como un colectivo de corte hacktivista, con ataques dirigidos contra organizaciones de países considerados hostiles a los intereses rusos. Sin embargo, su evolución hacia el ransomware como principal arma ofensiva dejó claro que el componente ideológico convivía -o directamente se mezclaba- con un interés económico.
Dicha dualidad sigue presente en esta nueva etapa, en la que el grupo vuelve a operar bajo un modelo de ransomware como servicio (RaaS) facilitando a terceros el uso de su malware.
El nuevo ransomware, conocido como VolkLocker, ha sido descrito como una versión más agresiva y automatizada de sus campañas anteriores. Según los análisis, el malware está diseñado para cifrar rápidamente archivos de alto valor, evitando dañar el sistema operativo para no inutilizar por completo los equipos comprometidos.
Un cifrado chapucero
Uno de los aspectos más llamativos de este regreso es el uso intensivo de Telegram como plataforma de gestión. CyberVolk emplea bots y canales para controlar infecciones, comunicarse con afiliados y, en algunos casos, gestionar la relación con las víctimas.
En cuanto a los objetivos, CyberVolk mantiene un perfil claramente orientado a sectores estratégicos. Investigaciones previas ya señalaban ataques contra instituciones científicas, organismos públicos y operadores de infraestructuras críticas. Este patrón refuerza la idea de que el grupo no actúa únicamente por lucro, sino que busca impacto operativo y simbólico, alineado con una narrativa geopolítica concreta.
No obstante, el relanzamiento de CyberVolk no está exento de problemas técnicos. Investigadores de seguridad han detectado fallos graves en la implementación criptográfica de VolkLocker, incluyendo la presencia de claves de cifrado incrustadas en el propio binario. Este tipo de errores puede permitir, en determinados escenarios, la recuperación de los datos sin necesidad de pagar rescate, algo poco habitual en grupos de ransomware más maduros.
Estas debilidades plantean dudas sobre el grado de profesionalización real del grupo en esta nueva etapa. Todo apunta a un desarrollo apresurado o a la incorporación de afiliados con menor experiencia técnica, lo que encaja con un modelo RaaS más abierto pero también más irregular en términos de calidad del malware.
Acerca del autor
