Conti

Conti fue una de las operaciones de ransomware más agresivas y prolíficas, vinculada al grupo ruso WIZARD SPIDER y considerada sucesora de Ryuk. CISA documentó (alerta AA21-265A) más de 1.000 ataques contra organizaciones de EE. UU. e internacionales, con vectores habituales como TrickBot y Cobalt Strike. Practicaba la doble extorsión y operaba como RaaS con un «manual» de afiliados que se filtró públicamente. En abril de 2022 lanzó un ataque devastador contra casi 30 instituciones del Gobierno de Costa Rica (Hacienda, Ciencia y Tecnología, etc.); el 8 de mayo de 2022 el presidente Rodrigo Chaves declaró el estado de emergencia nacional, un hito por ser un ataque de ransomware que paralizó a un Estado. Ese mismo año, tras posicionarse a favor de Rusia en la guerra de Ucrania, un investigador filtró los chats internos del grupo («Conti Leaks»), exponiendo su organización casi empresarial. Poco después la marca Conti se disolvió y se fragmentó en otros grupos.

Compromiso por TrickBot/BazarLoader/phishing, RDP y vulnerabilidades; reconocimiento, robo de credenciales y movimiento lateral (Cobalt Strike, PsExec).

Cifrado rápido multihilo de servidores y estaciones + doble extorsión (robo y publicación de datos); nota de rescate con portal de negociación Tor.

EDR, doble factor, restricción de RDP, segmentación, copias inmutables, parcheo, bloqueo de phishing/macros.

Respuesta a incidentes, aislamiento, reconstrucción desde copias offline, rotación de credenciales; aplicar IOCs de la alerta de CISA.