Akira irrumpe en Flagship Bank: 40 GB de datos robados y nuevas variantes de ransomware identificadas

Flagship Bank amaneció el 27 de mayo con su nombre publicado en el sitio de filtraciones de Akira. El grupo asegura haber sustraído unos 40 GB de contratos, números de SSN, pasaportes y registros financieros, y amenaza con liberar todo si la entidad no paga el rescate. Diversas fuentes públicas —desde portales de fugas hasta servicios de inteligencia de amenazas— corroboran la aparición de la víctima en la lista del actor y la cifra de datos robados.

Nuestra unidad de malware recibió nueve archivos vinculados al incidente. El laboratorio comprobó que no se trata de un único “malware”, sino de un engranaje completo: un binario señuelo con firma legítima evita alarmas tempranas; un dropper descifra la carga real y desactiva el EDR; el cifrador elimina copias de seguridad antes de encriptar la red; un propagador copia el payload a hosts vecinos; y un archivo de configuración orquesta todo con la clave AES y las extensiones a excluir. En caso de bloqueo, un loader alternativo reinyecta la amenaza con técnicas anti-depuración. El resultado para Flagship Bank ha sido doble: pérdida operativa inmediata y presión pública por la posible filtración de datos sensibles.

En la práctica, el ataque se desarrolló así: el usuario ejecuta el señuelo (Stinger.exe), que carga en memoria AdpSDKUtil.exe; este último se apropia de RstrtMgr.dll para apagar los controles defensivos y, con los parámetros guardados en tzmappings.akira, libera el cifrador (4c130dfc…). El cifrador borra las shadow copies mediante WMI/PowerShell y cifra los volúmenes. A continuación entra en juego el propagador (865930cd…), que se distribuye por SMB usando credenciales válidas, mientras un loader de reserva (loreser.exe) permanece latente para reactivar la ofensiva si algo falla.

¿Por qué importa?

• Escalada en el sector financiero. Akira, activo en Latinoamérica durante 2024, apunta ahora a bancos estadounidenses con alto valor de rescate. Chile no es inmune: muchos bancos medianos aún dependen de copias de seguridad online y credenciales compartidas.
• Cadena modular y reciclable. El actor puede sustituir cualquiera de las piezas por nuevas versiones, eludiendo bloqueos basados en hashes estáticos.
• Doble extorsión refinada. Con la exfiltración previa al cifrado, la presión para pagar se multiplica por el riesgo regulatorio y reputacional.

El caso Flagship Bank demuestra que el ransomware moderno no es un simple ejecutable que cifra archivos: es una suite orquestada que combina ingeniería social, living-off-the-land, cifrado y filtración. Fortalecer la visibilidad sobre PowerShell y WMI, y aislar los respaldos, marca la diferencia entre un incidente crítico y una catástrofe empresarial.

Indicadores de Compromiso (IoCs)

Recomendaciones de Mitigación