Ola de Bots impulsan el caos DDoS en el 2026

El ecosistema de botnets continúa evolucionando rápidamente, impulsado por una avalancha de hardware de consumo y pequeñas oficinas con poca seguridad. Todo, desde routers y cámaras web hasta dispositivos de streaming Android TV no autorizados, se ha convertido en parte de un sustrato global que impulsa operaciones DDoS persistentes.

Kimwolf: una botnet sigilosa que se infiltra en redes corporativas y gubernamentales

La botnet Kimwolf se ha infiltrado silenciosamente en entornos corporativos, gubernamentales y municipales. Como informó Krebs on Security, Kimwolf se esconde en equipos de oficina y routers domésticos de uso diario que nunca fueron reforzados para la exposición a nivel empresarial.

Informes adicionales muestran que Kimwolf utiliza canales de comunicación sigilosos que cambian dinámicamente para evadir la detección. Un vector importante en la propagación de Kimwolf son los dispositivos Android TV no autorizados o clonados, que a veces incluyen malware preinstalado o componentes de acceso remoto inseguros. Una vez conectados a una red doméstica o de una pequeña oficina, exponen shells remotos o interfaces de administración que los atacantes pueden usar fácilmente como arma.

Dentro de las redes empresariales, los dispositivos comprometidos actúan como puntos de apoyo duraderos, permitiendo el movimiento lateral y convirtiendo la infraestructura interna en participantes involuntarios en campañas DDoS a gran escala.

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Kimwolf
• Propagación: Dispositivos IoT y streaming Android
• Vector: Debilidades en cadena de suministro
• Objetivo: Redes corporativas y gubernamentales
• Activo: Desde el 2025

Aisuru: El predecesor que estableció récords globales de DDoS

Antes de Kimwolf, Aisuru demostró lo destructiva que puede ser la explotación automatizada del IoT. Según Cybersecurity Dive , Aisuru lideró múltiples ataques DDoS que batieron récords, incluyendo una campaña en la que el volumen de tráfico superó los picos globales anteriores por un margen significativo.

Aisuru compromete rápidamente modelos de dispositivos predecibles a menudo hardware IoT de gama baja con firmware obsoleto, infectando miles de dispositivos en cuestión de horas. Estos nodos comprometidos generan inundaciones volumétricas masivas, rotan los vectores de ataque dinámicamente y saturan los sistemas de mitigación globales.

Una campaña distintiva de Aisuru atacó a varios proveedores de servicios a la vez, desplazando la carga en tiempo real a medida que los defensores intentaban mitigar el ataque. El análisis de amenazas Q325 de Cloudflare explora esta escalada más amplia en cuanto a la escala y sofisticación de los ataques DDoS.

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Aisuru
• Propagación: Escaneo y explotación automatizados de dispositivos IoT vulnerables
• Vector: Autenticación débil, firmware obsoleto y valores predeterminados inseguros en la cadena de suministro
• Objetivo: Redes de consumidores y empresas a nivel mundial
• Activo: Desde el 2024

Mirai y la nueva generación de variantes de botnets IoT

Casi una década después de su debut, Mirai sigue siendo una de las familias de botnets más persistentes y ampliamente adaptadas de internet. Su perdurabilidad se debe a la oferta masiva y en constante renovación de dispositivos IoT inseguros: routers, DVR, cámaras inteligentes y dispositivos de bajo coste que se entregan con firmware obsoleto y credenciales indeseables. Las variantes modernas de Mirai se han expandido mucho más allá de la botnet original de código abierto. Entre las variantes emergentes como Katana, Satori y otras bifurcaciones se incluyen:

Grandes bibliotecas de exploits que atacan a docenas de vulnerabilidades de IoT a la vez. 

Motores de propagación más rápidos capaces de comprometer miles de dispositivos por hora.

Técnicas evasivas de comando y control, incluyendo flujo de dominio y canales de comando cifrados.

Módulos que se actualizan automáticamente, lo que permite a los atacantes lanzar rápidamente nuevos exploits a medida que aparecen.

Los investigadores señalan que muchos dispositivos infectados con Mirai sufren ciclos de vida de firmware descuidados, lo que significa que rara vez reciben parches, lo que da como resultado un grupo de nodos vulnerables de larga duración que impulsan una actividad DDoS sostenida.

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Mirai y variantes modernas (Satori, restos de Mozi, Katana)
• Propagación: Explotación automatizada de dispositivos loT inseguros.
• Vector: Credenciales predeterminadas, firmware sin parches, servicios expuestos (API Telnet/SSH/HTTP)
• Objetivo: Redes de consumidores y empresas a nivel mundial
• Activo: Desde el 2024

Conclusión

El crecimiento de botnets como Kimwolf, Aisuru y Mirai subraya una verdad fundamental: la cadena de suministro global de dispositivos domésticos y de IoT es ahora un campo de batalla central para las operaciones DDoS.

Los atacantes se benefician de un suministro infinito de hardware inseguro: Dispositivos IoT económicos con configuraciones predecibles. Equipos domésticos con interfaces de gestión expuestas. Dispositivos que rara vez reciben actualizaciones de firmware. Ecosistemas de proveedores con valores predeterminados débiles y pruebas inconsistentes.

Qilin en 2026: Crecimiento acelerado, mayor agresividad y un riesgo que se vuelve insostenible

Introducción

El grupo de ransomware Qilin inicia 2026 con una actividad más intensa que nunca. Lejos de desacelerarse, el actor de amenazas ha incrementado su volumen de ataques, ampliado su alcance sectorial y elevado su nivel de riesgo operativo.
Sin embargo, este crecimiento acelerado no está exento de consecuencias: la historia demuestra que los grupos de ransomware que cruzan ciertos límites —especialmente en sectores críticos— suelen enfrentar colapsos repentinos.

Este análisis explora la evolución de Qilin, su desempeño reciente y por qué su propia estrategia podría convertirse en su principal amenaza.

Puntos clave

• Qilin acelera su actividad en 2026, registrando 55 víctimas en las primeras semanas del año, superando el ritmo de 2025.
• La falta de restricciones sectoriales (incluida la atención médica y servicios públicos) incrementa el riesgo de consecuencias catastróficas.
• El crecimiento del grupo es frágil, ya que muchos de sus afiliados no son leales y han abandonado otras operaciones RaaS ante señales de inestabilidad.
• La historia del ransomware es clara: ataques de alto impacto suelen atraer una presión regulatoria y policial que termina por desmantelar a los grupos.

De la incertidumbre al auge: la evolución de Qilin

Cuando Qilin fue perfilado a mediados de 2025, existían dudas legítimas sobre su supervivencia. Su rápido crecimiento se apoyó, en gran parte, en afiliados provenientes de operaciones de ransomware como servicio (RaaS) que ya habían colapsado, como RansomHub y LockBit.

Estos afiliados aportaron:

• Experiencia operativa
• Capacidad técnica
• Ritmo acelerado de ataques

Pero también dejaron claro algo fundamental: no eran afiliados leales. Ya habían demostrado que abandonarían cualquier operación ante el menor signo de riesgo.

Aun así, contra todo pronóstico, Qilin no solo sobrevivió, sino que prosperó.

El impacto real de los ataques de alto perfil

En febrero de 2025, Qilin obtuvo acceso a un proveedor clave del sistema de salud de Londres. El impacto fue devastador:

• Más de 170 casos de daño a pacientes
• Dos casos de daño permanente o a largo plazo
• Una muerte confirmada

Este tipo de disrupción no pasa desapercibida. Los ataques contra infraestructura crítica históricamente han marcado el principio del fin para múltiples grupos de ransomware.

Lecciones del pasado

Otros grupos han colapsado tras cruzar límites similares:

• DarkSide desapareció tras el ataque al Oleoducto Colonial, luego de una presión directa de EE. UU.
• ALPHV/BlackCat se disolvió tras el ataque a Change Healthcare, posiblemente debido al impacto en el acceso a medicamentos.
• Black Basta cerró operaciones después del ataque a Ascension Health, cuando incluso sus propios miembros reconocieron el riesgo extremo de atraer al FBI y la CISA.

Estos precedentes refuerzan una conclusión clara: los ataques contra servicios esenciales generan una presión insostenible.

Qilin en cifras: 2025 y el arranque de 2026

Durante 2025, Qilin mostró cifras alarmantes:

• Más de 1,000 víctimas publicadas en su sitio de filtraciones
• Más de 40 víctimas mensuales en el segundo semestre
• El sector manufacturero fue el más afectado (≈23 % de los ataques)
• El grupo afirmó haber robado 31.2 petabytes de datos, principalmente de un solo fabricante (cifras no verificadas)

2026: un ritmo aún más agresivo

Apenas iniciado el año, Qilin ya ha publicado 55 víctimas adicionales en su sitio de filtraciones. Aunque estas afirmaciones aún no han sido verificadas, varias publicaciones incluyen muestras de datos presuntamente robados, lo que refuerza su credibilidad operativa.

Si esta tendencia continúa, Qilin superará fácilmente sus cifras récord de 2025.

Una amenaza consolidada… pero vulnerable

Qilin cuenta con:

• Una plataforma de ransomware sofisticada
• Capacidad de adaptación rápida a nuevas defensas
• Una presencia consolidada en el ecosistema de amenazas

Todo indica que seguirá siendo un actor dominante durante el primer semestre de 2026. Sin embargo, ningún grupo de ransomware es invulnerable.

Factores que podrían provocar su colapso

• Divisiones internas que deriven en filtraciones o cooperación con autoridades
• Ataques de alto perfil que atraigan demasiada atención mediática y gubernamental
• Interrupciones sostenidas de infraestructura, que provoquen la huida de afiliados

El mayor enemigo de Qilin: su propia estrategia

Qilin no impone límites claros a sus afiliados. No evita:

• Proveedores de atención médica
• Servicios municipales
• Infraestructura crítica
• Organizaciones que sostienen la salud y el bienestar público

Este enfoque sin restricciones maximiza ganancias a corto plazo, pero multiplica exponencialmente el riesgo. Basta un solo ataque mal calculado para paralizar servicios esenciales de toda una región y desencadenar una respuesta coordinada de fuerzas del orden a nivel internacional.

Al no marcar ningún sector como “fuera de alcance”, Qilin se posiciona como su propio peor enemigo.

Conclusión

Qilin entra en 2026 más fuerte, más activo y más agresivo que nunca. Sin embargo, la historia del ransomware demuestra que este tipo de crecimiento descontrolado suele ser insostenible.
La combinación de ataques indiscriminados, afiliados poco leales y un escrutinio creciente convierte su éxito actual en una amenaza latente para su propia supervivencia.

El tiempo dirá si Qilin logra adaptarse y moderar su estrategia… o si se suma a la larga lista de grupos de ransomware que crecieron demasiado rápido y cayeron con la misma velocidad.

• 

  Cómo evolucionaron los ataques de phishing en 2025

  ---

  Temas principales en un ataque de PhaaS

  Los temas de phishing más comunes incluían mensajes falsos de pago, financieros, legales, de firma digital y relacionados con RH todos diseñados para engañar a los usuarios y hacer clic en un enlace, escanear un código QR o abrir un archivo adjunto y compartir información personal con los atacantes. Son enfoques probados y comprobados que llevan años existiendo, que falsifican marcas de confianza como Microsoft, DocuSign, SharePoint y más. Siguen teniendo éxito a pesar de la creciente conciencia de los usuarios y las medidas de seguridad cada vez más avanzadas.

  

  ---

  Estafas de pagos y facturas

  Los atacantes utilizaron IA generativa para producir correos electrónicos y solicitudes de pago de "factura atrasada" muy convincentes que coincidían estrechamente con el tono, estilo e imagen del servicio legítimo al que se estaban suplantando.

  Se incorporaron códigos QR en las facturas para desplazar a las víctimas de entornos de escritorio seguros a dispositivos móviles menos protegidos, aumentando las probabilidades de un ataque exitoso.

  ---

  Estafas de buzon de voz (vishing)

  Los correos electrónicos incluían enlaces a portales de "buzón de voz seguro" que recopilaban credenciales.

  Los atacantes también utilizaron IA generativa para generar múltiples variantes de correos y scripts de phishing, ayudando a que los correos pasaran por alto la detección y aumentaran la credibilidad.

  Se suplantaron direcciones de correo electrónico de confianza para que los ataques parecieran legítimos, e incluso copiaron el diseño y patrones familiares usados por servicios conocidos que gestionan notificaciones de buzón de voz.

  ---

  Estafas de documentos finacieros y legales

  Los atacantes usaron trucos de ingeniería social junto con IA generativa para eliminar cualquier error evidente que pudiera alertar a las víctimas. Al hacer que los mensajes resultaran más personales y adaptar constantemente sus patrones, dificultaron mucho que las víctimas distinguieran los correos maliciosos de los reales.

  Los atacantes utilizaron técnicas de spear phishing para investigar cuidadosamente cada organización, obteniendo información sobre sus principales ejecutivos e imitándolos de cerca. En algunos casos, secuestraron o utilizaron cuentas comprometidas para engañar a los empleados y que aprobaran transferencias fraudulentas.

  ---

  Estafas de revisión de firmas y documentos

  Los atacantes se hicieron pasar por un número creciente de plataformas de confianza con una marca de alta calidad y demandas "urgentes" para revisar y firmar.

  Incrustar códigos QR maliciosos en solicitudes de firma de aspecto auténtico trasladó el ataque a dispositivos móviles fuera del perímetro de seguridad corporativo.

  ---

  Estafas relacionadas con RH (Beneficios, nóminas, manual del empleado)

  Los ataques estaban alineados con los plazos fiscales y los ciclos de nómina para explotar la urgencia.

  Los códigos QR estaban incrustados en las "actualizaciones de políticas" para saltarse los filtros de correo electrónico.

  ---

  Técnicas populares utilizadas de phishing en 2025

  Las técnicas utilizadas por los kits de phishing durante 2025 fueron variadas e ingeniosas. Entre ellos se encontraban:

  • Ofuscaciones para ocultar URLs de la detección e inspección, observadas en el 48% de los ataques. Los atacantes también añadieron redirecciones abiertas y pasos de verificación humana, haciendo que las URLs de phishing parezcan auténticas y más difíciles de bloquear.
  • Ataques que eluden la autenticación multifactor (MFA), por ejemplo, robando cookies de sesión (también observado en el 48% de los ataques).
  • Ataques que aprovecharon el CAPTCHA para mayor autenticidad y para ocultar destinos sospechosos (43%).
  • Códigos QR maliciosos (vistos en el 19%). Los atacantes empezaron a dividir los códigos QR en múltiples imágenes o a anidar códigos maliciosos dentro o alrededor de los legítimos para evadir la detección por parte de las herramientas de seguridad del correo electrónico.
  • Ataques 'polimórficos' que variaban la cabecera, el cuerpo y el destino del correo para confundir o retrasar la detección (20%).
  • Adjuntos maliciosos (18%).
  • El abuso de plataformas online legítimas y de confianza, como las utilizadas para la colaboración o el diseño (10%).
  • Ataques que aprovechan IA generativa, por ejemplo, el uso de plataformas no-code, CAPTCHAs generados por IA, comentarios y código (10%).
  • El uso de 'URI de blob', un tipo de dirección web utilizada para almacenar datos localmente en memoria, dificulta la detección de ataques con medidas tradicionales (2%).
  • El uso de técnicas de ingeniería social 'ClickFix', donde un usuario es engañado para ejecutar manualmente un comando malicioso (1%).

  

  ---

  

Sinobi: El grupo de Ransomware adinerado que desea convertirse en ninja

La marca de Ransomware Sinobi surgió a mediados de 2025 y rápidamente se ha distinguido por sus intrusiones calculadas, su seguridad operativa disciplinad ay una estructura profesional que revela operadores altamente capacitados y bien conectados.

Sinobi es una organización híbrida de ransomware como servicio (RaaS). Sus miembros principales colaboran con afiliados rigurosamente seleccionados para mantener un control centralizado y una capacidad operativa distribuida. Las técnicas del grupo mejoran a medida que este madura. Las operaciones de Sinobi se caranterizan por intrusiones silenciosas, herramientas modulares, objetivos selectivos y un fuerte énfasis tanto en el sigilo como en el aprovechamiento de recursos. EL grupo también es conocido por su uso extenso y sofisticado de ransowmare aprovechando (LotL) y brinarios (LOLBins).

Características

• Tipo de amenaza. Grupo hibrido de RaaS que utiliza operadores internos y socios afiliados verificados para realizar ataques de doble extorsión dirigidos.
  
• Riesgo único. Cadena de intrusión modular, sofisticadas operaciones LotL que se asemejan a las tácticas de los estados-nación.
  
• Objetivos. Organizaciones medianas y grandes de diversos sectores de Estados Unidos y países aliados.
  
• Acceso inicial. Credenciales comprometidas, vulnerabilidades en aplicaciones y acceso remoto, así como una vulneración de la cadena de suministro de terceros.
  
• Sinobi: El grupo de Ransomware adinerado que desea convertirse en ninja

Sitios de fugas. “Sinobi”-Un sitio web sencillo, basado en la red Tor, que publica lista de víctimas, ejemplos de datos robados y un contador regresivo. El grupo gestiona sitios web independientes para filtrar información para chatear, ambos con réplicas web claras.

Nombre y ubicación

La palabra Sinobi parece ser una referencia estilizada y deliberada a (Shinobi) un termino japonés antiguo para ninja. Las primeras comunicaciones internas en foros de la dark web mostraban a afiliados usandos frases como (silencio al entrar, silencio al salir), lo que reforzaba la creencia de que la identidad de la marca buscaba proyectar sigilo y precisión ninja.

A pesar de su nombre de inspiración japonesa, los patrones de comunicación, las peculiaridades lingüísticas y los periodos de actividad indican un origen ruso y de Europa del este. Las herramientas y negociaciones de Sinobi se llevan a cabo principalmente en ruo e inglés, sin que existan inidicios de afiliación estatal. Se trata de un grupo de ciberdelincuentes con fines económicos que opera dentro de un ecosistema regional conocido. Una investigación independiente realizada indica que la ubicación nos menciona al menos una IP en Rusia.

Sinobi ofrece réplicas en la web abierta de sus sitios de filtración y chat en la dark web, pero la mayor parte de su infraestructura permanece en recursos basados en TOR , foros de la dark web y servicios de mensajería cifrada como Telegram. Esto dificulta la visualización y captura de las direcciones IP de los servidores de comando y control (C2).

Victimología, operaciones y modelo de negocio

Sinobi no parece estar alineado con los intereses estatales ni con ninguna otra ideología. El grupo se centra en organizaciones con una tolerancia muy baja a las interrupciones del servicio o las filtraciones de datos. Sectores como el manufacturero, los servicios empresariales, la sanidad, los servicios financieros, la educación y otros han sido víctimas de Sinobi. El grupo rara vez ataca a empresas más pequeñas, probablemente debido a la baja rentabilidad de la inversión en el ataque.

No existe información pública sobre las regiones o industrias «protegidas». Sin embargo, Sinobi se centra principalmente en entidades de Estados Unidos, con un enfoque secundario en Canadá, Australia y países aliados. El grupo evita objetivos que podrían provocar una respuesta política o policial, en particular agencias gubernamentales, empresas de servicios públicos y entidades de toda Europa del Este.

Sinobi se diferencia de los programas RaaS abiertos que permiten a los afiliados registrarse o solicitar serlo. El grupo se basa en una red privada y verificada de especialistas conocidos por el grupo o presentados por fuentes de confianza. Este enfoque permite a Sinobi evitar actividades de reclutamiento como esta:

Dado que Sinobi no recluta como otros grupos de RaaS, no existe una lista pública de sus normas, requisitos de afiliación, objetivos prohibidos ni otros detalles operativos. Esto reduce la vulnerabilidad del grupo a la infiltración policial y limita la inteligencia de fuentes abiertas (OSINT) disponible.

Los investigadores creen que los operadores principales de Sinobi mantienen el código del Ransomware y la infraestructura basada en Tor, llevan a cabo las negociaciones, gestionan el blanqueo de dinero y los esquemas de (cobro) de rescates, y hacen cumplir las normas del grupo. Los afiliados realizan los ataques, desde la intrusión hasta el despliegue del Ransomware. Esta división de responsabilidades se basa en patrones observados en las operaciones de Sinobi, las notas de rescate, las estructuras de los portales y los procesos de negociación. No existe confirmación pública de esto, y se desconoce el reparto de ingresos entre los miembros principales y los afiliados.

Cadena de ataque

Como la mayoría de los grupos de ransomware, la cadena de ataque de Sinobi comienza con la obtención de acceso inicial al entorno de la víctima. Se ha observado que el grupo utiliza intermediarios de acceso inicial (IAB), ataques de phishing mediante kits de phishing comerciales y la explotación de VPN, firewalls o sistemas de acceso remoto vulnerables, como Citrix o Fortinet. Sinobi también recurre a un tercero comprometido y sigue una cadena de suministro para infiltrarse en la víctima.

Los operadores de Sinobi siguen una cadena de ataque estándar que comparte muchos de los mismos patrones observados en RansomHub, ALPHV/BlackCat y otros grupos desde la filtración del Ransomware Conti.

Una vez dentro del sistema, Sinobi inicia de inmediato una intrusión directa mediante el uso de herramientas personalizadas y técnicas de explotación de recursos del sistema. Los atacantes comienzan a escalar privilegios y a evadir la seguridad, creando nuevas cuentas de administrador, ajustando permisos y deshabilitando herramientas de seguridad en los endpoints. También comienzan a establecer persistencia configurando herramientas legítimas de acceso remoto.

A continuación, Sinobi despliega un script de reconocimiento ligero que automatiza el movimiento lateral y realiza tareas adicionales de evasión de seguridad. El script está configurado para enumerar información del dominio, localizar recursos compartidos de archivos, identificar cuentas con privilegios y comprobar si existen soluciones de seguridad en los endpoints que puedan interrumpir el ataque de Ransomware.

La exfiltración de datos comienza una vez que el atacante ha completado el reconocimiento y configurado Rclone, WinSCP u otra herramienta de transferencia de archivos. Los datos se envían a un almacenamiento en la nube u otra ubicación externa, y el binario del Ransomware se ejecuta al finalizar este proceso.

El archivo binario del Ransomware no tiene un nombre único, pero suele ser genérico u ofuscado, como (bin.exe). Este archivo vacía la Papelera de reciclaje, cifra los archivos, les añade la #extensión .SINOBI# y coloca el archivo de rescate README.txt en cada directorio con archivos cifrados. Finalmente, cambia el fondo de pantalla por una imagen que muestra el texto de la nota de rescate.

Extorsión y negociación

Sinobi comenzó como una operación de extorsión simple, pero a finales de 2024 cambió a una estrategia de doble extorsión utilizando un sitio de filtración alojado en la red Tor. Las víctimas suelen ser contactadas mediante la nota de rescate mencionada anteriormente. Si las víctimas no responden, Sinobi intensifica la presión publicando muestras de datos y contactando a empleados o clientes. El grupo también amenaza a la empresa con denuncias por incumplir normativas como el RGPD, la HIPAA o los requisitos de divulgación de la SEC.

Las negociaciones las lleva a cabo un pequeño grupo de operadores clave que utilizan patrones de comunicación preestablecidos y tácticas de presión adaptadas al sector y la normativa de la víctima. El objetivo es siempre generar urgencia, no pánico: una gestión profesional en lugar de caos.

Amigos y familiares

La historia de Sinobi comienza a mediados de 2023, cuando un grupo de ciberdelincuentes conocido como INC surgió aparentemente de la nada. Se cree que INC es un grupo original sin relación con otros grupos de ciberdelincuentes. Operó como un servicio de ransomware hasta mayo de 2024, cuando se puso a la venta en foros clandestinos.

Se pueden observar las similitudes entre los sitios de filtraciones de INC, Lynx y Sinobi.

Más allá de esto, existen similitudes en la rutina de cifrado, la victimología, la metodología de doble extorsión y los procedimientos operativos.

Sinobi se aprovecha al máximo del ecosistema de amenazas. Habitualmente compra acceso a IAB, alquila infraestructura a proveedores de alojamiento a prueba de balas, obtiene credenciales de mercados de la darknet y, ocasionalmente, colabora con operadores de botnets para la distribución de phishing. Sus prácticas de blanqueo de capitales y monetización son indistinguibles de las utilizadas por Qilin y Akira.

Protégete

Todos los indicadores sugieren que Sinobi está en una trayectoria de crecimiento. A medida que el mercado del Ransomware continúa fragmentándose y evolucionando, Sinobi está bien posicionado para expandir su red de afiliados, fortalecer sus herramientas y, potencialmente, añadir variantes dirigidas a Linux o VMware ESXi. Su discreto profesionalismo y la moderación en la frecuencia de sus publicaciones indican que se trata de un grupo que prefiere los ingresos sostenibles al crecimiento explosivo, lo que podría ayudarles a evitar el destino de grupos de alto perfil que atraen una fuerte presión policial.

Sinobi representa una amenaza de Ransomware avanzada y ágil. Las organizaciones pueden reducir significativamente el riesgo centrándose en la gestión de credenciales, la concienciación de los empleados, la monitorización proactiva y las inversiones continuas en copias de seguridad, detección y respuesta. La prevención y la respuesta rápida son actualmente los medios más eficaces para defenderse de esta amenaza.