DragonForce
La operación de ransomware que en 2025 se presentó como un cártel y que estuvo detrás de los ataques a Marks and Spencer, Co-op y Harrods.
Quién es
DragonForce es un ransomware como servicio activo desde agosto de 2023. En 2025 se presentó como un cártel de ransomware, con un servicio de marca blanca que deja a los afiliados usar su ransomware con otro nombre. Los afiliados se quedan con cerca del 80 por ciento. Sus primeras versiones salieron del constructor filtrado de LockBit 3.0 y después usó código de Conti. Su origen está en disputa y no lo damos por hecho.
Cómo entra
Con phishing, credenciales filtradas contra escritorio remoto y VPN y vulnerabilidades conocidas, como Log4Shell y las de Ivanti Connect Secure. Un afiliado encadenó tres fallas del software de soporte remoto SimpleHelp para entrar a un proveedor de servicios administrados y llegar a sus clientes. En el caso de Marks and Spencer la entrada fue por ingeniería social a través de un tercero.
Qué hace una vez dentro
Roba información y cifra Windows, Linux, servidores VMware ESXi y equipos NAS, y publica a quien no paga. Usa herramientas de acceso remoto, Cobalt Strike, Mimikatz y SystemBC, y drivers vulnerables para apagar las defensas antes de cifrar.
A quién ataca
Gobierno, comercio, despachos legales, salud y empresas de muchos sectores. En abril y mayo de 2025 golpeó a Marks and Spencer, Co-op y Harrods en el Reino Unido, y en julio la policía británica detuvo a cuatro personas. En nuestra base tiene 5 víctimas publicadas en México entre mayo de 2024 y julio de 2026: comercio, transporte y logística, agricultura y alimentos, y salud.
En México
5 víctimas publicadas en su sitio de filtraciones entre el 29-may-2024 y el 15-jul-2026, en 5 sectores.
Cifra en agregado: no publicamos nombres de víctimas. Que una organización aparezca en un sitio de filtraciones es lo que dice el grupo, no una confirmación.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Vulnerabilidades que explota
| CVE | Producto | CVSS | KEV de CISA |
|---|---|---|---|
| CVE-2021-44228 | Apache Log4j (Log4Shell) | 10 | Sí |
| CVE-2024-57726 | SimpleHelp | 9.9 | Sí |
| CVE-2024-21887 | Ivanti Connect Secure | 9.1 | Sí |
| CVE-2023-46805 | Ivanti Connect Secure | 8.2 | Sí |
| CVE-2024-21893 | Ivanti Connect Secure | 8.2 | Sí |
| CVE-2024-57727 | SimpleHelp | 7.5 | Sí |
| CVE-2024-57728 | SimpleHelp | 7.2 | Sí |
Documentadas en los avisos y reportes de la sección Fuentes.
Villanos relacionados
Fuentes
- SentinelOne, DragonForce: de hacktivistas a extorsionadores de grandes comercios (2025)
- BleepingComputer, M&S confirma que la ingeniería social llevó al ataque (2025)
- Base de Inteligencia de Amenazas QMA: víctimas publicadas en México
