El incidente que dio origen a este análisis fue el ataque de ransomware que afectó al sector salud, atribuido al grupo Devman, un actor especializado en ransomware que, aunque de nombre reciente, ya es considerado una amenaza emergente de alcance internacional dentro del ecosistema de la ciberseguridad.
La actividad de Devman comenzó alrededor de abril de 2025 y, en pocos meses, el grupo pasó de afectar a una decena de organizaciones a acumular más de cuarenta víctimas confirmadas en Asia, África, Europa y Latinoamérica. Existen indicios sólidos de que Devman podría tratarse de un cambio de identidad de un grupo criminal previo, una práctica habitual para evadir el seguimiento de investigadores y fuerzas de seguridad.
Su modus operandi responde al modelo clásico de ransomware, pero ejecutado con disciplina operativa: acceso inicial, movimiento lateral, exfiltración de información crítica, cifrado de sistemas y extorsión bajo la amenaza de publicación de datos. Entre sus víctimas se encuentran organismos gubernamentales y grandes empresas en países como México, Kenia, Sudáfrica y Japón, lo que evidencia tanto su rápida expansión como el impacto que puede generar en sectores críticos.
El ransomware no es solo cifrado
El caso de la clínica chilena confirma una tendencia que venimos observando de forma consistente: el ransomware no se limita al cifrado de información para exigir un pago. Se trata de ejercer control prolongado sobre la organización, amplificando el daño técnico con presión reputacional, legal y humana.
En sectores como el de la salud, este tipo de incidentes trasciende rápidamente lo tecnológico y se convierte en una crisis institucional, donde cada decisión, o indecisión, tiene consecuencias operativas, regulatorias y sociales.
El caso analizado expone cómo una intrusión que era potencialmente evitable escaló hacia un escenario complejo, donde diversas acciones desencadenaron en un incidente mediático.
Detección de componentes maliciosos: EDR Killer y Locker (Windows)
Durante el análisis de este actor de amenaza que realizamos en CronUp Ciberseguridad, uno de los focos principales fue identificar mecanismos concretos para detectar dos piezas críticas de su operación: el componente utilizado para neutralizar controles de seguridad (EDR Killer) y el módulo de cifrado (Locker) responsable del impacto final del ataque.
Detectar estos componentes en etapas tempranas puede marcar la diferencia entre una contención efectiva y una crisis de alto impacto. Con ese objetivo, desarrollamos reglas de detección en formatos SIGMA y YARA, entendiendo que cada una cumple un rol complementario dentro de una estrategia de Threat Hunting:
EDR Killer: Herramienta utilizada para terminar procesos asociados a Trend Micro Deep Security.
► YARA: https://github.com/CronUp/detection-rules/blob/main/MAL_Warsaw_EDR_killer.yar
► SIGMA: https://github.com/CronUp/detection-rules/blob/main/win_defense_evasion_warsaw_edr_killer.yaml
WIN LOCKER: Utilidad para encriptar los archivos objetivo.
► YARA: https://github.com/CronUp/detection-rules/blob/main/Ransomware_DEVMAN_WinLocker.yar
► SIGMA: https://github.com/CronUp/detection-rules/blob/main/win_ransomware_devman_windowslocker.yaml
En entornos reales, sin embargo, la detección no depende únicamente de la calidad de la regla, sino de la capacidad efectiva de ejecutarla. En ciertos casos, las plataformas EDR no cuentan con mecanismos nativos para ejecutar este tipo de reglas, lo que obliga a un enfoque pragmático: adaptación de reglas a consultas compatibles con el entorno y/o la ejecución controlada de YARA sobre sistemas definidos utilizando accesos administrativos existentes. Este enfoque permite avanzar en tareas de investigación y threat hunting sin desplegar nuevos agentes, una fricción habitual en ambientes productivos.
Más allá del incidente: anticipar al adversario
La experiencia demuestra que muchos entornos presentan inventarios incompletos, agentes en mal estado o visibilidad fragmentada, lo que limita incluso a las mejores herramientas si no se trabaja sobre la exposición real y el contexto de amenaza.
Este es precisamente el tipo de escenario para el que fue diseñado ATRc. A través de ATRc®, en CronUp transformamos investigación de amenazas en decisiones defensivas concretas, permitiendo:
- Identificar exposición efectiva más allá de lo que reportan los controles tradicionales
- Detectar compromisos activos o latentes
- Priorizar riesgos con evidencia técnica
- Anticipar la operación del adversario antes de que el impacto sea operativo, financiero o reputacional
Porque los casos como Devman demuestran que esperar a que el ataque sea visible es llegar tarde.
Este post tiene como objetivo entregar una visión clara, técnica y estratégica de lo ocurrido, destacando las decisiones que marcaron la diferencia entre una contención temprana y una crisis de alto impacto.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
