AvosLocker
Alias: AvosLocker ransomware, Avos
Fecha de revisión del perfil de origen: 2026-06-01
Añadido al registro de la fuente: 2021-06-13 · Instantánea de la fuente: 2026-09-15
Los metadatos de la fuente no se han verificado de forma independiente. La fecha de registro no es necesariamente la del primer ataque. Los resúmenes de la fuente se traducen automáticamente cuando es necesario; el flujo puede contener evaluaciones antiguas.
Estado de la investigación: Expediente investigado existente
Este expediente separa la información de fuentes específica del actor del análisis defensivo general. Las recomendaciones y preguntas de investigación no constituyen hechos adicionales sobre el actor. Las limitaciones de la evidencia pública se indican expresamente.
Resumen ejecutivo
AvosLocker es una operacion RaaS que, segun FBI/CISA, afecta Windows, Linux y VMware ESXi, abusa de herramientas legitimas de administracion remota y usa extorsion basada en exfiltracion.
AvosLocker es relevante por su alcance multiplataforma, uso de herramientas open source y legitimas de administracion remota, riesgo PowerShell/RDP, impacto ESXi y extorsion impulsada por exfiltracion.
Las últimas cinco víctimas reivindicadas conocidas
Cargando reivindicaciones guardadas…
Son reivindicaciones públicas atribuidas al grupo, no intrusiones confirmadas de forma independiente. Las fechas indican publicación o descubrimiento, no necesariamente el ataque.
Resumen ejecutivo
AvosLocker es una operacion ransomware-as-a-service para la que FBI y CISA publicaron un advisory actualizado en octubre de 2023. El advisory describe compromisos en varios sectores de infraestructura critica de EE. UU. e impacto en entornos Windows, Linux y VMware ESXi. Para los visitantes esto es directamente relevante: AvosLocker no es solo un problema de endpoints Windows.
Segun el advisory, el grupo usa software legitimo y herramientas open source de administracion remota de sistemas, seguido de extorsion de datos basada en exfiltracion. Esto situa a AvosLocker en las cadenas ransomware modernas donde herramientas de administracion y robo de datos son centrales.
La leccion practica principal es que acceso remoto, PowerShell, RDP, ESXi y exfiltracion de datos deben vigilarse juntos. Si un actor puede moverse mediante herramientas legitimas, el ataque solo se vuelve visible cuando la organizacion sabe que aspecto tiene la administracion normal.
Grupo y desarrollo
AvosLocker opera con modelo RaaS. Los afiliados pueden usar diferentes rutas de acceso y herramientas, pero el advisory nombra puntos defensivos consistentes: asegurar acceso remoto, restringir RDP, endurecer PowerShell y parchear software.
El alcance de plataforma importa. Windows, Linux y VMware ESXi requieren logs, procesos de administracion y procedimientos de recuperacion distintos. Una organizacion madura en EDR Windows puede seguir ciega en hipervisores o servidores Linux.
AvosLocker usa extorsion de datos basada en exfiltracion. Por tanto el cifrado no es el unico dano. Datos robados antes del cifrado pueden usarse despues en sitios de filtracion o negociaciones.
Patron de ataque en casos publicos
FBI/CISA describen afiliados AvosLocker usando software legitimo y herramientas open source de administracion remota. La deteccion depende del contexto: herramientas conocidas son sospechosas cuando se usan fuera de rutas de administracion aprobadas, por cuentas inusuales o contra muchos sistemas a la vez.
El advisory menciona Windows, Linux y VMware ESXi. La respuesta a incidentes debe determinar de inmediato que plataformas fueron afectadas o accesibles. El impacto ESXi es especialmente critico porque muchos servidores virtuales pueden verse afectados a la vez.
RDP y PowerShell se nombran explicitamente en las mitigaciones. Para defensa son fuentes clave: patrones de login RDP, lineas de comando PowerShell, ejecucion de scripts, sesiones remotas y acciones administrativas.
IOCs y artefactos conocidos
Las herramientas legitimas de administracion remota son una categoria importante de artefactos. Registre nombre de herramienta, hora de instalacion, cuenta, host origen, hosts destino y conexiones externas.
La extorsion basada en exfiltracion apunta a staging, compresion, transferencia cloud y volumen saliente. Estas senales deben ser visibles antes del cifrado.
Actividad relacionada con ESXi, como logins de administracion inesperados, parada de VMs, acceso a datastores y cambios en snapshots o integraciones de backup, son artefactos criticos.
Logica practica de deteccion
Cree baselines para herramientas de administracion remota. Que herramientas estan permitidas, desde que servidores de administracion, por que cuentas y hacia que sistemas? Todo fuera de esa matriz debe investigarse.
Detecte riesgos PowerShell: comandos encoded, download cradles, ejecucion desde rutas temporales, scripts que modifican servicios de seguridad y PowerShell despues de login remoto sospechoso.
Monitorice ESXi por separado. Muchas organizaciones tienen buen logging Windows pero logging limitado de hipervisores. AvosLocker convierte eso en un punto ciego directo.
Prioridades concretas de hardening
Asegure el acceso remoto con MFA resistente al phishing cuando sea posible, allowlisting, logging y restriccion de rutas de proveedores.
Restrinja RDP y PowerShell. RDP debe pasar por jump hosts y PowerShell debe estar registrado, limitado y supervisado.
Proteja VMware ESXi con cuentas de administracion separadas, restricciones de red, MFA donde este disponible, logging y procedimientos de restauracion probados.
Parchee software y firmware regularmente, especialmente sistemas expuestos a Internet y plataformas de administracion. La defensa contra AvosLocker empieza reduciendo la superficie de ataque.
Identidad, nombres y atribución
Una evaluación fiable de AvosLocker comienza con una identificación precisa. El expediente local recoge los siguientes nombres o alias: AvosLocker ransomware, Avos. Un alias facilita la búsqueda, pero no demuestra que distintas operaciones compartan responsables. Los nombres parecidos, logotipos reutilizados y textos de extorsión similares no bastan. Conserva la grafía original y distingue entre quien publica, la familia de malware y el supuesto ejecutor de la intrusión. Pueden ser personas diferentes. Un incidente no debe atribuirse únicamente por la semejanza de un nombre de archivo. Toda relación propuesta necesita una fuente propia, verificable y fechada. Las nuevas pruebas deben permitir corregir la atribución anterior.
Cronología e interpretación de las fechas
La fecha de registro disponible para AvosLocker es 2021-06-13; la instantánea de metadatos corresponde a 2026-09-15. Estas fechas describen el registro, no el comienzo demostrado de la actividad criminal. El grupo podría haber actuado antes y una publicación podría referirse a un incidente antiguo. Separa la intrusión supuesta, el acceso a datos, el descubrimiento por la víctima, la publicación del extorsionador y la observación del servicio de seguimiento. La fecha de revisión del perfil tiene otro significado. No conviertas implícitamente unos hitos en otros. Cuando las fuentes discrepen, conserva ambas observaciones y su procedencia hasta disponer de pruebas que permitan una cronología más precisa.
Indicadores de compromiso (IOC)
Los indicadores son observaciones históricas, no pruebas de una infección actual. Verifica la fuente, la antigüedad y el contexto antes de detectar o bloquear; las herramientas legítimas de administración pueden producir falsos positivos.
| Tipo | Valor | Fuente | Contexto |
|---|---|---|---|
| platform | Windows / Linux / VMware ESXi environments | CISA AA23-284A | AvosLocker affiliates affected these environments. |
| tooling | legitimate software and open-source remote system administration tools | CISA AA23-284A | Used by AvosLocker affiliates during compromise. |
| behavior | exfiltration-based data extortion | CISA AA23-284A | Threats of leaking or publishing stolen data. |
| control-focus | RDP and PowerShell hardening | CISA AA23-284A | Named actions to reduce AvosLocker risk. |
Fuentes
- CISA alert: FBI and CISA Release Update on AvosLocker Advisory
- CISA/FBI AA23-284A AvosLocker Ransomware Update PDF
- MITRE ATT&CK — Valid Accounts (defensive context)
- MITRE ATT&CK — External Remote Services (defensive context)
- MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
- MITRE ATT&CK — Inhibit System Recovery (defensive context)
- Ransomware.live — AvosLocker
Evidencia y limitaciones
La atribución describe la evaluación de la fuente, no una identidad verificada. Una publicación en un sitio de filtraciones no demuestra por sí sola cifrado, robo de datos, una vulnerabilidad concreta ni una relación de afiliación. La información ausente se señala explícitamente.