38 víctimas reivindicadas en poco más de un año, un cifrado híbrido resistente a la computación cuántica y una nota de rescate en la que se amenaza con informar a las autoridades reguladoras y alertar a los competidores de la víctima. Detectado por primera vez en marzo de 2025, AiLock destaca menos por su tamaño que por esta mecánica de extorsión en tres fases, mientras que la mayoría de los operadores aparecidos desde principios de 2025 se limitan a la amenaza de publicación. En poco más de un año de actividad documentada, el grupo ha reivindicado víctimas repartidas por tres continentes, con una clara concentración en Estados Unidos.
Descubierto en marzo de 2025, seguido solo a partir de 2026
Zscaler ThreatLabz fue el primero en mencionar públicamente a AiLock, en marzo de 2025, tras detectar una nota de rescate inédita firmada por el grupo. En ese momento, ni las muestras del malware ni el sitio de filtración eran accesibles. El primer análisis técnico completo no llegó hasta julio de 2025, firmado por Huiseong Yang (S2W TALON), investigador de la empresa surcoreana de ciberseguridad S2W, a partir de muestras que S2W había obtenido por su cuenta.
En esa fecha, solo figuraban cinco víctimas en el sitio de filtración del grupo. A partir de ahí, el ritmo se aceleró. Según los datos de ransomware.live recopilados a principios de junio de 2026, AiLock contaba con 38 víctimas reivindicadas, la primera registrada el 3 de marzo de 2026 y la más reciente el 4 de junio de 2026. Según S2W, el grupo también ha reubicado su infraestructura en varias ocasiones desde su descubrimiento, abriendo nuevos sitios de filtración.
Un cifrado híbrido ChaCha20 combinado con un algoritmo poscuántico
El análisis de Yang pone de manifiesto un esquema de cifrado atípico. Desarrollado en C/C++, AiLock combina ChaCha20 y NTRUEncrypt256: ChaCha20 cifra el contenido de los archivos, mientras que NTRUEncrypt256 protege los metadatos, empezando por la propia clave ChaCha20. NTRUEncrypt es un algoritmo resistente al cifrado cuántico, una elección poco habitual en las familias de ransomware analizadas hasta la fecha.
La implementación aprovecha los IOCP (I/O Completion Ports) para un procesamiento multihilo que acelera el cifrado en sistemas multinúcleo. El ransomware lanza dos tipos de subprocesos en paralelo: un subproceso de recorrido (Path Traversal Thread) que identifica los archivos que se van a cifrar y los transmite, y un subproceso de cifrado (Encryption Thread) que ejecuta la operación, crea un pie de página del archivo y renombra la extensión. La estrategia varía según el tamaño: cifrado completo por debajo de 100 MB, parcial por encima. Este cifrado parcial de archivos grandes, muy extendido en el ransomware reciente, basta para inutilizarlos al tiempo que reduce el tiempo de ejecucióny, por lo tanto, la ventana de detección.
El malware también complica su análisis estático. Sus cadenas de caracteres se ofuscan mediante una operación XOR con una clave repetida de 8 bytes, y todas sus funciones del sistema se resuelven dinámicamente en tiempo de ejecución mediante LoadLibrary() y GetProcAddress(), en lugar de estar escritas en claro en el binario. La configuración integrada en la sección .data está a su vez cifrada con ChaCha20 con una clave y un nonce codificados de forma fija; un marcador (DE AD BA BE / BA BE DE AD) y un hash SHA-256 de verificación garantizan su integridad antes de iniciar el cifrado.
Durante la ejecución, AiLock detiene los servicios y procesos que bloquean archivos (mediante ControlService() y TerminateProcess()), vacía la papelera de reciclaje y crea un mutex llamado FAUST para evitar ejecuciones duplicadas. Sustituye el icono de los archivos cifrados y el fondo de pantalla, y luego coloca una nota de rescate ReadMe.txt en cada directorio afectado. Varias opciones de línea de comandos amplían su acción: con -del, borra sus propios rastros mediante una secuencia ping 127.0.0.1 seguida de un comando del; en modo -full, recorre todas las unidades montadas; con -shares, resuelve las rutas de los recursos de red compartidos a través de las API WNet y también los cifra.
Tres palancas de presión: publicación, regulador, competidor
La nota de rescate de AiLock (ReadMe.txt) estructura explícitamente sus amenazas. Más allá del cifrado de los sistemas y la exfiltración de datos, el grupo anuncia tres acciones en caso de impago: la publicación de los datos en el sitio web de filtraciones, la notificación a la autoridad de protección de datos del país en cuestión y la alerta a los competidores de la víctima por correo electrónico y en las redes sociales. La nota invoca explícitamente las leyes de protección de datos personales (PDPL) de cada país, aprovechando el temor a las sanciones reglamentarias que acarrearía una infracción declarada.
El investigador en ciberseguridad Graham Cluley cita un extracto, traducido aquí del inglés: «Cada país tiene su propia normativa PDPL (Personal Data Protection Law). Si no llega a un acuerdo con nosotros, la información relativa a sus empresas y los datos de sus clientes se publicarán en Internet, y se informará de ello a la autoridad de protección de datos personales del país en cuestión».
Los plazos son cortos: 72 horas para iniciar las negociaciones, 5 días para formalizar el pago. Pasados estos plazos, el grupo amenaza con publicar los datos y destruir las herramientas de recuperación. A cambio de un pago, promete confidencialidad, «registros de eliminación» (deletion logs) que supuestamente acreditan el borrado de los datos, e incluso asesoramiento en seguridad informática, todas ellas promesas imposibles de verificar.
Esta combinación aumenta la presión sobre organizaciones que, de otro modo, podrían prescindir de la clave de descifrado gracias a sus copias de seguridad. La presión normativa es especialmente eficaz frente a entidades sujetas al RGPD en Europa o a la CCPA (California Consumer Privacy Act) en California. Se trata de una variante de la doble extorsión clásica, a la que se suman dos canales de presión externos en lugar de la mera amenaza de publicación.
Pymes de diversos sectores, una mayoría de víctimas estadounidenses
De las 38 víctimas reivindicadas a principios de junio de 2026, la distribución geográfica es claramente desequilibrada: 21 en Estados Unidos, 3 en el Reino Unido, 2 en Alemania, 2 en Canadá, y el resto de víctimas repartidas entre los Países Bajos, Taiwán, Suiza, Polonia, Noruega, Corea del Sur y China. Los sectores más afectados son los servicios a empresas (9 víctimas), la fabricación (7 víctimas), los servicios al consumidor y la tecnología (5 víctimas cada uno) y la construcción (4 víctimas).
El perfil de las víctimas muestra esta diversidad: la empresa suiza de carpintería Schneebeli AG, el fabricante de tecnologías médicas de rehabilitación Restorative Therapies Inc., el fabricante taiwanés de mobiliario ergonómico Artso International, Accretech America Inc. (filial estadounidense de Tokyo Seimitsu), pero también un bufete de abogados estadounidense (Aaronson Rappaport Feinstein & Deutsch), un operador de telecomunicaciones regional (Eeyou Communications Network), un distribuidor de productos para la salud animal (Revival Animal Health) o un productor alimentario (Raw Seafoods).
El incidente que más repercusión mediática tuvo fue la reclamación contra England Hockey en marzo de 2026, de la que se hizo eco, entre otros, BleepingComputer. AiLock afirmó haber sustraído 129 GB de datos de la organización, responsable de la gestión del hockey sobre hierba en Inglaterra (más de 800 clubes, unos 150 000 jugadores federados, 15 000 entrenadores, árbitros y oficiales). England Hockey ha confirmado que está llevando a cabo una investigación con especialistas externos y en colaboración con las autoridades, sin confirmar por el momento la filtración efectiva de los datos.
Un modelo RaaS respaldado por un esquema de blanqueo de dinero en cadena
AiLock se presenta como una operación RaaS (Ransomware-as-a-Service) y recluta afiliados encargados de la distribución del malware a cambio de una parte de los rescates. El grupo se promociona como «asistido por IA» (AI-assisted), sin que ningún análisis técnico publicado hasta la fecha precise en qué consiste este componente en las operaciones o en el propio malware.
En octubre de 2025, TRM Labs, especialista en análisis de blockchain aplicado a la delincuencia financiera, documentó los flujos financieros del grupo. AiLock recurre a un esquema denominado «peel chain», en el que los fondos recibidos se transfieren en pequeñas fracciones sucesivas para ocultar su trazabilidad. La mayor parte se envía al mezclador de Bitcoin Wasabi, mientras que una fracción más modesta pasa por FixedFloat, una plataforma de intercambio sin custodia de alto riesgo. A continuación, los fondos se convierten con frecuencia a Monero antes de continuar su recorrido.
El uso de Wasabi y Monero es coherente con las prácticas de otros operadores que buscan complicar el rastreo por parte de los investigadores, al igual que grupos consolidados como Qilin.
Indicadores de compromiso y detección
Yang ha publicado los indicadores de compromiso (IOC) y las reglas YARA asociadas a AiLock. Las huellas del binario analizado son el MD5 2a728d98ae8280efeaa674783181f3fa y el SHA-256 3c7c91cd4dc336db8082e07ab7549556f05d80acbc778afc2dade67c02002f69; la lista completa y las reglas de detección están disponibles en el repositorio GitHub de S2W TALON.
En cuanto al comportamiento, varias firmas delatan una ejecución de AiLock: la extensión .AiLock aplicada a los archivos cifrados, el archivo ReadMe.txt depositado en cada directorio, el mutex FAUST, la modificación de la clave de registro HKCR/.AiLock/DefaultIcon (icono de candado verde) y de las claves HKCU/Control Panel/Desktop relacionadas con el fondo de pantalla. A esto se suman la detención de servicios mediante ControlService() y TerminateProcess(), el vaciado de la papelera de reciclaje y las llamadas a las API GetLogicalDrives() y WNet para la propagación por la red.
El mutex FAUST merece una mención especial: es el mismo término que utiliza una variante del ransomware Phobos. Sin embargo, Yang no establece ningún vínculo de filiación entre AiLock y la familia Phobos, y probablemente se trate de una coincidencia en la denominación. En cuanto a MITRE ATT&CK, las técnicas documentadas incluyen T1059.003 (Shell de comandos de Windows), T1134.001 (Suplantación o robo de tokens), T1027 (Archivos o información ofuscados), T1480 (Barreras de ejecución), T1082 (Descubrimiento de información del sistema), T1135 (Descubrimiento de recursos compartidos de red), T1486 (Datos cifrados para causar impacto) y T1489 (Detener servicio).
Reducir la exposición frente a las tácticas de AiLock
No se ha confirmado ningún vector de acceso inicial para AiLock, pero sus vectores de ataque dictan las prioridades de defensa. El acceso remoto constituye la primera barrera: restringir la exposición de RDP y VPN, cerrar los puertos innecesarios e imponer la autenticación multifactorial (MFA) cierra la puerta de entrada más probable de los operadores RaaS.
Las copias de seguridad fuera de la red o inmutables neutralizan la amenaza central del grupo: sin la capacidad de destruir las herramientas de recuperación, la extorsión pierde su principal punto de apoyo y, con él, la mayor parte del poder de negociación del atacante. La propagación de AiLock a los recursos compartidos de red hace, además, que la segmentación y la restricción de los derechos de acceso sean determinantes para contener una infección.
En cuanto a la detección, las huellas, el mutex FAUST y las reglas YARA de Yang alimentan las herramientas EDR y SIEM, siempre que se recuperen los indicadores actualizados del repositorio del grupo de investigación.
Queda el aspecto normativo, el más específico de AiLock. Este cobra aún más importancia cuando la organización desconoce sus propias obligaciones: saber de antemano a qué autoridad notificar y en qué plazo le resta al atacante parte de su control. En Europa, el RGPD exige notificar a la autoridad competente en las 72 horas siguientes al descubrimiento de la violación, es decir, el mismo plazo que AiLock concede para la negociación.
Un grupo aún joven, pero constante
Con 38 víctimas reivindicadas en poco más de un año (ransomware.live, junio de 2026), AiLock sigue siendo un operador de tamaño modesto frente a los grupos dominantes del sector, pero su trayectoria es constante. IronGate Security ha detectado un aumento significativo de los incidentes de AiLock en el primer trimestre de 2026, y el ritmo de reivindicaciones confirma una actividad continua desde marzo de 2026, con víctimas identificadas cada mes.
El aspecto a tener en cuenta sigue siendo el ángulo normativo de la extorsión. Mientras que la mayoría de los operadores se limitan a amenazar con la publicación de los datos, AiLock hace de la notificación a los reguladores y de la alerta a los competidores un eje central de su comunicación, cuya eficacia real sobre las víctimas no está documentada públicamente. TRM Labs cita al grupo entre los operadores emergentes a los que hay que seguir de cerca. En este momento, AiLock se presenta como un operador ciberdelictivo con motivaciones económicas, estructurado según el modelo RaaS con captación de afiliados, en la misma línea que otros recién llegados como The Gentlemen o NightSpire, cuya trayectoria parece basarse más en el método que en el volumen. Por el momento, es menos su volumen que su forma de convertir el cumplimiento normativo de sus víctimas en una palanca de chantaje lo que hace de AiLock un caso a seguir.
Fuentes:
S2W BLOG (Medium): Análisis detallado del ransomware AiLock
Zscaler: Resumen mensual de Zscaler CXO | Marzo de 2025
BleepingComputer: England Hockey investiga una filtración de datos por ransomware
Fortra: Ransomware AiLock: lo que necesitas saber
Ransomware.live: Perfil del grupo AiLock
TRM Labs: Nueve grupos emergentes que están definiendo el panorama del ransomware
IronGate Security: Ransomware AiLock
