Cerber

Observado por primera vez en 2016, Cerber operaba como Ransomware-as-a-Service (RaaS) semiprivado: en mayo de 2016 se descubrió que un foro de hacking ruso lo alquilaba, repartiendo el botín (los afiliados se quedaban el 60 % y los autores el 40 %). Técnicamente cifraba con AES-256 los archivos y protegía las claves con RSA-2048; además, podía cifrar *offline*, generando las claves localmente sin depender de un servidor de mando y control (aunque luego las exfiltraba), lo que le permitía actuar incluso sin conexión. Su rasgo más característico era inquietante: incluía un script de Visual Basic que convertía texto en voz, de modo que la víctima escuchaba un mensaje hablado anunciando que sus archivos habían sido cifrados, además de la nota escrita.

*Exploit kits*, adjuntos de correo malicioso (documentos con macros, archivos comprimidos con scripts) y campañas de *malvertising*.

Cifrado de archivos (AES-256 + RSA-2048), extensión `.cerber` (y variantes); nota de rescate escrita y **por voz**; podía cifrar sin conexión.

Bloqueo de macros, copias de seguridad, filtrado de correo/web, antimalware actualizado.

Restaurar desde copias offline; eliminar el malware; en algunas variantes hubo descifradores temporales de fabricantes.