Una nueva variante del ransomware Has, perteneciente a la familia Dharma, ha emergido con capacidades de doble extorsión y técnicas avanzadas de inhibición de la recuperación en sistemas Windows.
💡 Resumen ejecutivo:
Has Ransomware, una variante reciente de la prolífica familia Dharma, está impactando organizaciones mediante un modelo de doble extorsión. Además de cifrar archivos con la extensión
.has, los atacantes amenazan con filtrar datos exfiltrados. El malware utiliza técnicas agresivas para deshabilitar las defensas locales y eliminar las copias de seguridad de volumen (Volume Shadow Copies), dificultando la recuperación sin el pago del rescate. Se recomienda reforzar la monitorización de procesos administrativos y asegurar copias de seguridad fuera de línea.
A principios de noviembre de 2026, investigadores de seguridad de Cyfirma identificaron una nueva campaña del ransomware Has. Este malware es un descendiente directo de la familia Dharma, conocida por su persistencia en el panorama de amenazas desde hace años. A diferencia de las versiones más simples de antaño, esta variante se alinea con la tendencia actual de Ransomware-as-a-Service (RaaS), incorporando un componente de exfiltración de datos antes del cifrado final.
El ataque suele comenzar con el compromiso de servicios expuestos o mediante campañas de phishing dirigido, escalando privilegios para obtener el control total del endpoint de la víctima. Según Cyware, Has Ransomware ha sido observado en múltiples sectores, demostrando una versatilidad peligrosa en sus objetivos. La adopción de la doble extorsión indica que los operadores de Has no solo buscan el pago por el descifrado, sino que también monetizan la confidencialidad de la información robada, presionando a las víctimas con la posible publicación de sus secretos comerciales o datos de clientes.
El ransomware Has destaca por su flujo de ejecución estructurado y su enfoque en la persistencia. Los datos clave del malware se resumen en la siguiente tabla:
| Atributo | Detalle Técnico |
|---|---|
| Familia | Dharma (Variante Has) |
| Plataforma | Microsoft Windows (x86/x64) |
| Extensión de Cifrado | .[ID_víctima].[correo].has |
| Algoritmo de Cifrado | AES-256 + RSA-2048 |
| Técnica de Extorsión | Cifrado + Exfiltración (Doble Extorsión) |
| Persistencia | Claves de registro Run y carpeta Startup |
Una vez que el binario malicioso logra ejecutarse en el sistema, despliega una serie de módulos diseñados para maximizar el daño y la persistencia:
vssadmin complete la tarea antes de proceder.Un diagrama simplificado de su actividad destructiva:
Ejecución del Binario Malicioso
|
v
Búsqueda de Archivos Críticos y Exfiltración (C2)
|
v
Eliminación de Shadow Copies (vssadmin.exe delete shadows /all)
|
v
Cifrado de Archivos Locales y de Red (.has)
|
v
Creación de Nota de Rescate (info.txt)
Para garantizar que el operador mantenga el acceso incluso tras un reinicio, Has modifica las colmenas del registro de Windows:
# Ejemplo de modificación del registro realizada por el malware
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v "HasUpdate" /t REG_SZ /d "C:\Users\Public\has.exe" /f
Este comando asegura que el ejecutable del ransomware se inicie automáticamente cada vez que el usuario inicie sesión.
El impacto de Has Ransomware va más allá de la indisponibilidad de los sistemas. La amenaza de filtración de datos pone en riesgo la privacidad de los clientes, la propiedad intelectual y el cumplimiento normativo de la organización afectada. En ataques recientes, se ha observado que los grupos de la familia Dharma contactan directamente a los socios comerciales de la víctima para aumentar la presión psicológica.
🔴 Afectados: Empresas con infraestructuras Windows, especialmente aquellas con accesos RDP mal protegidos o sin segmentación de red adecuada. Los sectores de logística y salud han mostrado una vulnerabilidad particular en las últimas campañas. 🟢 No afectados: Sistemas con copias de seguridad inmutables (WORM), monitorización activa de EDR en modo bloqueo y políticas estrictas de control de procesos administrativos.
La detección temprana es vital para contener la propagación. Los equipos de seguridad pueden buscar los siguientes indicadores:
info.txt o archivos renombrados masivamente con la extensión .has.# Búsqueda de eventos de eliminación de copias sombra en logs de seguridad
Get-WinEvent -FilterHashtable @{LogName='Security';ID=4688} | Where-Object {$_.Message -match 'vssadmin' -and $_.Message -match 'delete'}
Para protegerse contra Has Ransomware, se deben seguir los siguientes pasos:
vssadmin.exe y wmic.exe a usuarios administrativos estrictamente necesarios mediante políticas de AppLocker o Windows Defender Application Control (WDAC).Checklist de respuesta:
En caso de una infección confirmada por Has Ransomware, el proceso de recuperación debe ser metódico:
Has Ransomware representa la persistencia y evolución de la familia Dharma. Su adopción de la doble extorsión y la eliminación sistemática de copias de seguridad locales obliga a las organizaciones a replantear sus estrategias de recuperación ante desastres. La detección proactiva basada en comportamientos y la implementación de una arquitectura de confianza cero (Zero Trust) son las defensas más efectivas contra esta amenaza moderna.
Análisis de WhiteArmor y del cambio desde el ransomware basado en cifrado hacia campañas centradas en exfiltración, abuso de identidad y amenazas de publicación.
Investigación técnica sobre el ransomware Kyber, su implementación de criptografía poscuántica híbrida en Windows y las inconsistencias en su variante para ESXi.