Siete empresas rusas bajo ataque: el nuevo ransomware VantaCore exige millones a sus víctimas
Ni siquiera las copias de seguridad desconectadas podrán salvar los datos.
Tras la fachada política se oculta cada vez más un cálculo habitual: la empresa F6 detectó actividad de un nuevo grupo, VantaCore, que ataca organizaciones rusas con su propio programa de extorsión. La actividad se observó en agosto de 2026, y el número de víctimas conocidas llegó a siete. Los atacantes exigen rescates por millones de dólares. La campaña está dirigida específicamente al sector empresarial ruso.
F6 considera que VantaCore es el nuevo nombre del grupo afín a Ucrania Thor, al que atribuye al menos 12 ataques en 2025. Indicios de conexión incluyen una presentación similar de los chats y un ícono con la inscripción «THOR», hallado en el sitio de filtraciones de VantaCore. El propio recurso fue creado no más tarde del 7 de junio. La relación entre los dos grupos sigue siendo una valoración de los especialistas, no un hecho confirmado de forma independiente.
A pesar del contexto político, los especialistas señalan que el objetivo principal de VantaCore es obtener ganancias. El grupo opera con el modelo ransomware como servicio, proporciona infraestructura a socios, negocia a través de un chat en Tor y publica materiales sustraídos. Para ejercer presión aplican la extorsión doble y triple, en la que no basta con bloquear los archivos.
Para la primera intrusión, los atacantes emplean RDP y VPN poco protegidos, aplicaciones externas vulnerables y credenciales de socios comprometidas. Dentro de la red se desplazan mediante SMB y RDP usando cuentas legítimas, realizan reconocimiento con herramientas nativas de Windows, limpian los registros de eventos y ocultan las herramientas como componentes del sistema.
El kit propio de VantaCore incluye el backdoor VantaCoreRAT para comandos remotos y transferencia de archivos, así como VantaCoreLoader para la distribución masiva de malware. La herramienta SnowKiller desactiva antivirus y EDR mediante un controlador vulnerable. Tras tomar la red, los operadores dañan arreglos RAID con copias de seguridad y activan un cifrador en servidores y estaciones de trabajo.
La información robada puede publicarse, venderse o utilizarse en nuevos ataques contra la empresa, sus empleados y socios. Para reducir el riesgo ayudan la autenticación multifactor para el acceso remoto, la corrección oportuna de vulnerabilidades en servicios externos, el control de sesiones inusuales de SMB y RDP, la segmentación de red y copias de seguridad aisladas inaccesibles desde la infraestructura principal.