ZDU · Perfil de adversario · Ransomware como servicio
LOCKBIT
La franquicia del ransomware. Cincuenta y siete víctimas publicadas con México como país en cinco años, tres versiones de la misma marca y un desmantelamiento que no la detuvo.
LockBit 2.0, 3.0 y 5.0Ransomware como servicioAfiliadosActivo en 2026
57
Víctimas MX publicadas
21
CVE en su atribución
100%
En CISA KEV
3
Capítulos ZDU
01
Ficha del adversario
Modelo
Ransomware como servicio. La marca desarrolla el cifrador y el portal de filtraciones, y los afiliados hacen la intrusión a cambio de un porcentaje del rescate.
Por qué eso importa
No hay un solo modo de entrar. Cada afiliado trae su método, así que defenderse de LockBit es defenderse de decenas de operadores distintos con la misma marca encima.
Historial en la región
En México, sus víctimas publicadas se reparten en catorce sectores, de servicios empresariales a gobierno.
Lo que hace la diferencia
Reconocimiento automatizado de vulnerabilidades expuestas, escalada hacia el directorio activo y cifrado selectivo de lo que duele, para maximizar el impacto en la operación.
02
Cómo opera
T1190Explotación de aplicación expuesta a internet
T1505.003Web shell para mantener el acceso
T1203Explotación del software del usuario
T1078.003Cuentas locales válidas
T1059.001Ejecución con PowerShell
T1059.003Ejecución con la consola de comandos de Windows
T1059.007Ejecución con JavaScript
T1105Transferencia de herramientas al equipo comprometido
Doce técnicas mapeadas en total, de las que aquí se listan las ocho que marcan el camino completo: entrar por lo que está expuesto, quedarse, ejecutar y traer el resto del arsenal.
03
Presencia en México
Víctimas publicadas por sector
Cincuenta y siete víctimas publicadas con México como país entre septiembre de 2021 y octubre de 2026, el número más alto de todo nuestro rastreo. Y la marca no murió cuando se le desmanteló: la versión 2.0 publicó hasta 2022, la 3.0 hasta marzo de 2025 y la 5.0 arrancó a finales de 2024 y sigue apareciendo en 2026. Los conteos salen del rastreo de Blacktrace sobre ransomware.live, por sector y nunca por nombre de empresa. Corte: 19 de octubre de 2026.
04
Superficie que toca
Veintiuna vulnerabilidades donde LockBit aparece en la atribución, veinte de ellas como probable, todas en el catálogo CISA KEV y veinte con CVSS de 9.0 o más, repartidas en dieciséis fabricantes: Microsoft, VMware, Citrix, Fortinet, Veeam, Dell, Atlassian, Apache y SimpleHelp, entre otros. En tres de ellas la atribución es compartida con otros grupos, que es lo normal cuando hay afiliados de por medio.
05
Dónde aparece en el universo ZDU
El perfil que lee un CISO no es el del reporte de fabricante: es a quién tiene enfrente, con qué opera y a quién ya golpeó en su sector. Eso es lo que hace Blacktrace todos los días.
Hablar con el equipo QMA