El nuevo ransomware elimina todos los archivos de más de 128 KB

Una cepa de ransomware recientemente identificada está destruyendo accidentalmente archivos que deberían retenerse para pedir un rescate. Y las víctimas que pagan no reciben nada a cambio.

Empresa de seguridad cibernética Check Point Research publicó los resultados el martes Detalles de los peligros de VECT 2.0, una operación de ransomware como servicio que apareció por primera vez en 2025 en un foro sobre ciberdelincuencia en ruso.

El ransomware contiene un error de codificación crítico que destruye permanentemente, en lugar de cifrar, cualquier archivo de más de 128 kilobytes. Este umbral es menor que el de un archivo adjunto de correo electrónico típico, lo que significa que prácticamente todos los archivos que son importantes para una víctima (bases de datos, copias de seguridad, discos de máquinas virtuales, documentos, hojas de cálculo) se eliminan irreversiblemente en lugar de bloquearse.

En términos simples, cuando VECT codifica un archivo, debe guardar uno nonce criptográfico (una especie de código secreto) que luego permite descifrar el archivo.

Para archivos grandes, el malware genera cuatro de estos códigos. Pero debido a un error de programación, sobrescribe cada código nuevo con el anterior en la misma ranura, como escribir cuatro combinaciones diferentes en una sola nota adhesiva y conservar solo la última. Cuando terminó, tres de los cuatro códigos habían desaparecido para siempre. Los datos codificados a los que corresponden son permanentemente ilegibles para las víctimas, los investigadores de seguridad y los propios atacantes.

Este tipo de ransomware ingresa a un sistema informático, codifica todos los archivos para hacerlos ilegibles y luego exige un pago a cambio de la clave para descifrarlos. En este caso, sin embargo, pagar el rescate no tiene sentido. Los atacantes literalmente no pueden devolverle sus archivos porque accidentalmente dejaron caer las claves.

Check Point también encontró una serie de otros errores descuidados incorporados en el malware, como funciones publicitarias que en realidad no funcionaron, herramientas de evasión de seguridad creadas pero nunca implementadas y una técnica de ofuscación que accidentalmente se invalidó a sí misma, haciendo que el código fuera más fácil de leer, no más difícil.

Lo relevante es que, a pesar de estar técnicamente inhabilitado, VECT tiene alcance real. El grupo se ha asociado con Breachforum, una de las comunidades de hackers más grandes de Internet, para brindar a todos los usuarios registrados de la plataforma acceso gratuito a su kit de herramientas de ransomware.

Aunque Checkpoint ha establecido estos ataques como un acto de novatos, es un arma devastadora, aunque rota, para muchos atacantes potenciales.