Una campaña de ransomware identificada como WantToCry ha comenzado a afectar a empresas de múltiples países al cifrar archivos sin instalar malware en los sistemas de las víctimas. La técnica, analizada por investigadores de Sophos, aprovecha servicios SMB expuestos a internet y traslada los datos a servidores controlados por los atacantes antes de devolverlos ya cifrados. Este método reduce drásticamente los indicadores que suelen activar alertas en soluciones antivirus tradicionales.
El fenómeno se registra a partir de junio de 2026 y coincide con la existencia de más de 1,5 millones de dispositivos con puertos de intercambio de archivos visibles desde internet. Los atacantes utilizan fuerza bruta contra credenciales débiles en los puertos 139 y 445, acceden a carpetas compartidas y copian los archivos a un entorno externo donde se realiza el cifrado. Posteriormente devuelven los documentos bloqueados junto con la nota de rescate !Want_To_Cry.txt y la extensión .want_to_cry.
Funcionamiento del ataque remoto
A diferencia de los ransomware convencionales, WantToCry no ejecuta procesos maliciosos en el equipo comprometido. Una vez obtenidas las credenciales, los delincuentes leen, copian y sobrescriben archivos a través de sesiones autenticadas. El cifrado ocurre fuera de la red de la víctima, lo que elimina huellas locales como modificaciones de registro o procesos sospechosos. Esta característica obliga a las organizaciones a revisar sus mecanismos de detección basados exclusivamente en comportamiento de endpoint.
Los montos exigidos oscilan entre 400 y 1.800 dólares, con un promedio cercano a los 600 dólares. Esta escala de rescate sugiere que los responsables priorizan volumen de ataques antes que grandes pagos individuales, lo que multiplica el número de víctimas potenciales y dificulta la atribución.
Exposición de servicios SMB y configuraciones débiles
El vector principal radica en la exposición directa de carpetas compartidas a internet sin segmentación ni autenticación robusta. Muchas organizaciones mantienen estos servicios accesibles por necesidades operativas o por configuraciones heredadas que incluyen cuentas de invitado. La ausencia de segmentación en copias de seguridad agrava el problema, ya que los atacantes pueden alcanzar también los respaldos si comparten la misma infraestructura de archivos.
Datos recopilados por Sophos indican que el número de dispositivos expuestos ha permanecido estable durante los primeros meses de 2026, lo que convierte a esta superficie en un objetivo persistente. Las campañas anteriores de ransomware solían requerir la ejecución de binarios locales; WantToCry demuestra que el acceso a credenciales y la conectividad directa son suficientes para completar el ciclo de cifrado.
Limitaciones de las defensas tradicionales
Las herramientas de detección basadas en firmas y análisis de comportamiento en endpoint pierden efectividad cuando no existe ejecución de código en el dispositivo afectado. La cadena de ataque se reduce a operaciones legítimas de lectura y escritura a través de protocolos estándar, lo que dificulta la generación de alertas sin generar falsos positivos en entornos productivos. Esta situación obliga a complementar las estrategias de protección con controles de acceso a red y monitoreo de tráfico SMB desde orígenes externos.
La recomendación técnica más inmediata consiste en deshabilitar el acceso a internet de los servicios de archivos internos y eliminar configuraciones de invitado. Adicionalmente, se sugiere implementar autenticación multifactor donde sea técnicamente viable y revisar periódicamente los registros de intentos de autenticación fallidos en servidores de archivos.
Implicaciones para la gestión de riesgos empresariales
El caso WantToCry ilustra cómo la combinación de configuraciones incorrectas y exposición innecesaria puede generar incidentes significativos sin requerir vulnerabilidades de día cero. Organizaciones que mantienen copias de seguridad en la misma red de archivos compartidos corren el riesgo de perder también sus respaldos, prolongando el tiempo de recuperación. La tendencia apunta a que los atacantes continuarán explorando métodos que minimicen la presencia de artefactos detectables en los sistemas objetivo.
La supervisión continua de tráfico SMB desde direcciones externas y la aplicación estricta de listas de control de acceso representan medidas complementarias que pueden reducir la probabilidad de éxito de este tipo de campañas. La experiencia acumulada hasta ahora indica que la disciplina en la gestión de accesos y la segmentación de red siguen siendo factores determinantes frente a técnicas que evitan la ejecución local de malware.
