Tras un inicio lento, los ataques aumentaron en el segundo trimestre y se dispararon en el cuarto, con 1,827 incidentes (33% del total del año). Las acciones policiales contra grupos importantes como LockBit provocaron fragmentación, lo que generó más competencia y el surgimiento de bandas más pequeñas. El número de grupos activos aumentó un 40%, pasando de 68 en 2023 a 95 en 2024.
 

Nuevos Grupos de Ransomware a Observar

En 2023, surgieron solo 27 nuevos grupos, mientras que en 2024 se detectaron 46. En el cuarto trimestre de 2024, hubo 48 grupos activos. Entre estos, RansomHub se convirtió en el más dominante, superando a LockBit en actividad.
 
A continuación, se analizan tres actores clave: RansomHub, Fog y Lynx, detallando su impacto, origen y TTPs.
 

RansomHub

RansomHub emergió como el grupo de ransomware líder en 2024, con 531 ataques publicados en su sitio de filtración de datos desde su inicio en febrero. Se le considera el sucesor de ALPHV, probablemente con antiguos afiliados.
 
Funciona como un servicio de ransomware (RaaS), con acuerdos estrictos y una distribución de rescates 90/10 entre afiliados y el grupo central. Evita atacar países de la Comunidad de Estados Independientes (CIS), Cuba, Corea del Norte, China y organizaciones sin fines de lucro, reflejando un modelo ruso tradicional de ransomware.
 
Sus herramientas, escritas en Golang y C++, atacan Windows, Linux y ESXi con cifrado rápido. Su baja tasa de pago (11.2%) es compensada por un alto volumen de ataques.

Fog Ransomware

Fog apareció en abril de 2024, atacando redes educativas en EE.UU. mediante credenciales VPN robadas. Utiliza doble extorsión, publicando datos en la dark web si las víctimas no pagan.
 
En 2024, atacó a 87 organizaciones globalmente, con al menos 30 intrusiones a través de cuentas comprometidas de SonicWall VPN. Su velocidad de ataque es alarmante, con tiempos de cifrado en solo dos horas.
 

IOCs

Lynx

Lynx es un grupo de ransomware de doble extorsión que en 2024 reclamó más de 70 víctimas. Evita atacar gobiernos, hospitales y organizaciones sin fines de lucro.
 
Sus ataques incluyen el cifrado de archivos con la extensión «.LYNX» y una nota de rescate «README.txt» en múltiples directorios.
 

¿Qué esperar en 2025?

Ante la fragmentación del ecosistema de ransomware, se prevé que nuevos grupos refuercen sus capacidades y se conviertan en actores dominantes.
 

The New Ransomware Groups Shaking Up 2025

 
In 2024, global ransomware attacks reached 5,414, an 11% increase from 2023.
 
After a slow start, attacks surged in Q2 and Q4, with 1,827 incidents (33% of the year’s total). Law enforcement actions against major groups like LockBit led to fragmentation, increased competition, and the rise of smaller gangs. The number of active ransomware groups jumped 40%, from 68 in 2023 to 95 in 2024.
 

New Ransomware Groups to Watch

In 2023, only 27 new groups emerged, whereas 2024 saw 46 new groups. By Q4 2024, 48 groups were active. Among them, RansomHub became the dominant player, surpassing LockBit in activity.
 
Below, we analyze three key actors: RansomHub, Fog, and Lynx, detailing their impact, origins, and TTPs.

RansomHub

RansomHub emerged as the leading ransomware group in 2024, claiming 531 attacks on its data leak site since launching in February. It is considered ALPHV’s successor, likely involving former affiliates.
 
Operating as Ransomware-as-a-Service (RaaS), it enforces strict affiliate agreements with a 90/10 ransom split between affiliates and the core group. It avoids targeting CIS nations, Cuba, North Korea, China, and non-profits, aligning with traditional Russian ransomware models.
 
Built in Golang and C++, its ransomware targets Windows, Linux, and ESXi with rapid encryption. Its low payment rate (11.2%) is offset by high attack volume.

Fog Ransomware

Fog appeared in April 2024, targeting U.S. educational networks through stolen VPN credentials. It uses double extortion, leaking data online if victims refuse to pay.
 
In 2024, it attacked 87 organizations globally, with at least 30 intrusions traced to compromised SonicWall VPN accounts. Its attack speed is alarming, with encryption occurring within two hours.

IOCs

Lynx

Lynx is a double-extortion ransomware group that claimed over 70 victims in 2024. It avoids targeting governments, hospitals, and non-profits.
 
It encrypts files with the “.LYNX” extension and leaves a ransom note named “README.txt” in multiple directories.
 

What’s to Come in 2025?

With ransomware groups fragmenting, newer actors are expected to strengthen their capabilities and emerge as dominant players.