Ryuk

Ryuk, operado por el grupo ruso WIZARD SPIDER (también detrás de TrickBot y, después, Conti), apareció en 2018 como ransomware de *big game hunting*: ataques selectivos a grandes organizaciones con rescates muy elevados. No se distribuía masivamente, sino que se desplegaba manualmente al final de una cadena de infección que solía empezar con TrickBot (banca → herramienta multipropósito, descendiente de Dyre) o, desde 2020, con BazarLoader/BazarBackdoor. Una vez dentro, los atacantes hacían reconocimiento, movimiento lateral y robo de credenciales antes de cifrar servidores y estaciones. En octubre de 2020, CISA, el FBI y el HHS emitieron la alerta conjunta AA20-302A advirtiendo de una amenaza «inminente» de ransomware (Ryuk y Conti) contra el sector sanitario estadounidense, en plena pandemia.

Despliegue manual tras compromiso por TrickBot/Emotet/BazarLoader; reconocimiento interno, robo de credenciales (Mimikatz) y movimiento lateral (PsExec, Cobalt Strike, RDP).

Cifrado dirigido de servidores y estaciones (a menudo deshabilitando copias de seguridad/Shadow Copies); nota `RyukReadMe` con demanda elevada en Bitcoin.

EDR, segmentación, doble factor, copias inmutables, bloqueo de phishing/macros, parcheo y mínimo privilegio.

Respuesta a incidentes, aislamiento, reconstrucción desde copias offline, rotación de credenciales; erradicar TrickBot/loaders previos.