LockBit 5.0
馃挘 LockBit 5.0: origen, funcionamiento y renovaci贸n de imagen del grupo criminal
LockBit es uno de los grupos de ransomware-as-a-service (RaaS) m谩s activos del mundo. Tras varios golpes policiales en 2024 y 2025, el grupo ha lanzado una nueva versi贸n de su plataforma criminal denominada LockBit 5.0. Adem谩s de cambios t茅cnicos, esta versi贸n introduce una renovaci贸n completa de su logotipo y de su imagen de marca, con el objetivo de atraer nuevos afiliados y aparentar fortaleza tras las operaciones policiales.
馃З ¿De d贸nde vienen LockBit? (investigaci贸n)
Aunque no existe una identificaci贸n p煤blica oficial de sus l铆deres, diversas investigaciones de Europol, FBI, CISA, NCSC-UK y analistas independientes coinciden en varios puntos relevantes:
- Origen probable en Europa del Este (Rusia y pa铆ses lim铆trofes). Los servidores, horarios de actividad y foros donde reclutan afiliados coinciden con husos horarios rusos.
- Lenguaje y patrones culturales. Mensajes internos filtrados, errores ortogr谩ficos y chats obtenidos tras la incautaci贸n policial indican que el idioma principal del equipo es el ruso.
- Normas internas “no atacar a pa铆ses de la CEI”. Igual que otros grupos (REvil, Conti), LockBit incluye en su c贸digo listas de exclusi贸n para evitar cifrar sistemas ubicados en Rusia, Ucrania pr贸-Rusia, Bielorrusia, Kazajist谩n o Armenia.
- No hay pruebas de conexi贸n directa con gobiernos, pero los expertos coinciden en que los desarrolladores residen en regiones donde no existe cooperaci贸n policial con Europa o EE. UU., lo que les garantiza impunidad.
- Afiliados de m煤ltiples pa铆ses. Aunque los l铆deres parecen ser del Este europeo, los “operadores” que lanzan los ataques provienen de EE. UU., LATAM, Espa帽a y Europa occidental, reclutados en foros clandestinos.
- Estilo profesionalizado. Exmiembros de grupos como Conti migraron a LockBit tras la ca铆da de su infraestructura, aportando conocimientos de intrusi贸n y desarrollo.
En resumen, LockBit no es una “banda peque帽a”, sino una organizaci贸n global con n煤cleo t茅cnico en Europa del Este y una red extensa de colaboradores repartidos por todo el mundo.
馃攳 ¿C贸mo funciona su modelo RaaS?
- Desarrolladores: crean el malware, paneles y herramientas de cifrado.
- Afiliados: realizan los ataques y despliegan el ransomware.
- Reparto de beneficios: normalmente 70% afiliado / 30% desarrolladores.
- Panel de gesti贸n: LockBit ofrece un portal para negociar rescates, subir datos robados y comunicarse con las v铆ctimas.
- Doble y triple extorsi贸n: robo de datos + cifrado + amenazas de filtraci贸n p煤blica.
馃挘 ¿Qu茅 aporta LockBit 5.0?
- Mejor evasi贸n de antivirus y EDR.
- Mayor automatizaci贸n de ataques.
- Nuevos mecanismos de cifrado h铆brido m谩s r谩pidos.
- Nueva web de filtraci贸n de v铆ctimas.
- Nuevo logotipo y dise帽o de “marca criminal” para captar afiliados.
馃幁 ¿Por qu茅 renuevan su logotipo?
Tras perder infraestructura y ver su c贸digo filtrado por polic铆as y ciberagencias, LockBit intenta enviar un mensaje al “mercado criminal”: “Seguimos vivos. Somos m谩s fuertes. Un铆os a nosotros.”
Por eso redise帽an logotipo, banners, tipograf铆as y mensajes. Quieren recuperar su influencia, infundir miedo y atraer a nuevos atacantes. Es puro marketing delictivo.
馃洝️ ¿C贸mo pueden protegerse los usuarios dom茅sticos?
- No pulses enlaces de correos o SMS.
- Haz copias de seguridad peri贸dicas y desconectadas.
- Actualiza tu sistema y aplicaciones.
- Desactiva macros en documentos de Office.
- Activa 2FA en todos tus servicios.
- Instala software solo desde fuentes oficiales.
馃挕 Perspectiva CIBERMURO
LockBit 5.0 demuestra c贸mo el cibercrimen funciona como un negocio internacional: rebranding, captaci贸n de personal, reinversi贸n, innovaci贸n continua y campa帽as medi谩ticas. La amenaza evoluciona, pero las pr谩cticas b谩sicas de seguridad siguen siendo la mejor defensa.
馃憠 CIBERMURO – Seguridad Digital Sencilla