DragonForce

Resumen de la gestión

DragonForce debe ser leído como una operación de ransomware de posicionamiento moderno y agresivo. El grupo no es sólo un nombre de carga útil sino una plataforma criminal que combina afiliados, presión de marca, extorsión de datos y renovación técnica. En 2025/2026 DragonForce también se mencionó en el contexto de la competencia y cambio de ecosistemas afiliados.

El principal riesgo es que DragonForce pueden explotar rutas comerciales normales para reducir la visibilidad del tráfico malicioso. Informes recientes describen abuso de Microsoft Teams TURN-relays para el comando y control en un escenario de ataque. Eso es defensivo: comunicación que se ejecuta a través de servicios conocidos de nube o colaboración no debe ser automáticamente confiable.

Para las organizaciones, esto significa que la detección no debe limitarse a los hashes de malware. DragonForce-como actividad requiere visibilidad de identidad, tráfico SaaS/colaboración, patrones outbound, acceso remoto, herramientas de almacenamiento y recuperación. Si utiliza firmas de punta solamente, puede perderse las fases preparatorias.

Grupo y desarrollo

DragonForce ha sido visible desde 2023 y se ha desarrollado hacia un ecosistema de ransomware más organizado. Public reporting describe un modelo similar a cártel en el que los afiliados o socios pueden utilizar infraestructura y presión de marca.

El grupo fue mencionado en tensiones de RansomHub y en cambios más amplios dentro del mercado ransomware. Estos conflictos no sólo son drama criminal interno; pueden golpear a las víctimas cuando los afiliados cambian, múltiples grupos reclaman el mismo acceso o datos se reextorsionan.

DragonForce es un buen ejemplo de por qué los perfiles de actor no deben estar estáticos. La carga útil técnica, base afiliada y estrategia de impresión pueden cambiar mientras el nombre sigue siendo el mismo.

Operación y cadena de ataque

La cadena de ataque sigue el patrón moderno: acceso inicial a través de vulnerabilidades, créditos, ingeniería social o corredores de acceso; luego descubrimiento, uso de privilegios, recopilación de datos, exfiltración e impacto.

El uso reportado de los equipos TURN- relés o mecanismos similares de relé es importante porque el tráfico C2 parece estar levantando sobre infraestructura legítima de colaboración. Los defensores deben por lo tanto mirar comportamiento: ¿qué diálogos anfitriones, en qué momento, con qué volúmenes y cuáles procesos inician la conexión?

DragonForce puede construir presión a través de la encriptación, las reclamaciones del sitio de fugas y la amenaza con publicación. En un entorno afiliado, la misma organización también puede enfrentarse a segunda extorsión o reventa de acceso o datos más adelante.

La investigación siempre debe comprobar si el actor podría haber podido hacer copias de seguridad, hipervisores, administradores de nubes, almacenamiento o gestión de identidad. Sólo cuando esas capas están excluidas puede iniciarse la recuperación con seguridad.

COI y artefactos conocidos

Los artefactos incluyen DragonForce reclamaciones de sitios de fuga, notas de rescate, archivos cifrados, datataging, C2- tráfico a través de rutas inusuales de relé o cloud, herramientas de acceso remoto y posiblemente basados en Go como en informes recientes sobre el abuso TURN.

El abuso de relés en equipo o nube no debe traducirse a bloqueo ciego de los servicios de Microsoft. La detección correcta es en clientes desviados, hosts inusuales, tráfico fuera del contexto normal del usuario y correlación con el descubrimiento o movimiento lateral.

Utilice IOC pístils con fuente y fecha. infraestructura de grupo ransomware cambia rápidamente; código de conducta alrededor C2- obturación, data-astaging y uso de privilegios siguen siendo utilizables más tiempo.

Patrón y lecciones de las víctimas

DragonForce reclamaciones afectan a diferentes sectores. La lección más importante no es un solo sector, sino la combinación de robo técnico y comportamiento del mercado. Los afiliados buscan acceso y presión; la marca proporciona poder de negociación.

Una segunda lección es que las plataformas de colaboración forman parte del monitoreo de seguridad. Los equipos, relés, integraciones SaaS y conexiones en la nube son relacionadas con negocios pero también pueden ser utilizados indebidamente para hacer que el tráfico parezca normal.

Una reclamación requiere comprobar si los datos han sido publicados solos, en realidad recientemente robados, reutilizados o llevados a otro grupo por un afiliado.

Cómo armarse

Construir la detección en patrones de tráfico inusuales de nubes y colaboración. Lay EDR, proxy, firewall, DNS e identidad lado a lado y hosts de investigación que se comportan como relé o túnel.

Fortalecer las capas de identidad y gestión. Los afiliados viven en credenciales reutilizables y rápido edificio de privilegios. MFA, PAM, hosts de salto y cuenta límite de la velocidad del daño.

Prepárese para una extorsión doble o repetida. Clasificación de datos registrados, detección de exfiltaciones, retención de registros y procesos de comunicación para que las reclamaciones puedan ser validadas rápidamente.

Cazadores específicos

Comience en DragonForce con las cazas en C2 ocultas dentro de comunicaciones comerciales normales. Busque procesos endpoint que abren conexiones mediante la colaboración, rutas cloud o relé sin una llamada activa, reunión o uso de una aplicación adecuada. Relación con el nombre del proceso, el proceso padre y el tiempo es más importante que el bloqueo de dominio.

Chequee Equipos, proxy, firewall y EDR- datos alrededor de hosts que producen tráfico de relé alto. Tenga en cuenta diferentes volúmenes, cuentas de servicio, servidores que generan tráfico de comunicación similar al usuario y procesos fuera de las rutas estándar de Microsoft.

Caza para comportamiento de afiliados: dumping credencial, ejecución remota, nuevos servicios, RDP-hopping, asignación de datos y acceso a consolas de respaldo. DragonForce puede ser técnicamente creativo, pero el ataque todavía necesita alcanzar privilegios, datos e impacto.

Exposición y prevención

Los cheques de exposición no deben saltar plataformas de colaboración y los equipos SaaS., Microsoft 365, aplicaciones OAuth, directores de servicio y acceso condicional determinan si el tráfico normal en la nube también puede ser abusado.

Limite qué servidores se permiten hablar directamente a los servicios de cloud y colaboración. Un servidor de archivos, controlador de dominio o servidor de copia de seguridad no debe mostrar normalmente equipos o patrones de relé similares al usuario.

Hacer que la transición de afiliados sea menos dañina mediante el segmentación de credenciales y datos. Cuando un acceso o conjunto de datos cambie con un grupo criminal, la reutilización debe limitarse por rotación token, reajustes de contraseñas, cuentas de servicio envergadura y clasificación de datos.

Fuentes e incertidumbre

La denuncia de TURN- abusos de relé es tópica e importante, pero no debe llevar a conclusiones simplistas.La existencia del tráfico de equipos no es IOC; la combinación sospechosa de la fase de host, proceso, volumen y incidente es.

DragonForce se mencionan también en conflictos de ecosistemas, que son pertinentes para el riesgo de doble extorsión, pero no hay pruebas técnicas de que dos grupos hayan golpeado a una víctima.

Por lo tanto, registre por observación si es una reclamación fuente, contexto de ecosistema, artefacto malicioso, comportamiento de red o telemetría de incidentes.

Escenario ejecutivo y SOC

Un escenario de DragonForce puede comenzar con una conexión cloud aparentemente normal. SOC ve el tráfico a la infraestructura conocida de Microsoft o relé, mientras que un proceso endpoint lo utiliza como una ruta oculta C2-. El actor posteriormente usa crediales para avanzar internamente.

El punto de decisión es si el tráfico en la nube tiene contexto. Un cliente de equipos en un portátil usuario durante el tiempo de trabajo es normal; un proceso servidor que utiliza el tráfico de relé justo después de la escalada de privilegios no es.

Para la gestión, el riesgo de doble extorsión es particularmente importante. Conflictos de afiliados, remarcas y reventa pueden volver a utilizar los mismos datos o acceso. Un incidente sólo se cierra cuando se han manejado credenciales, fichas, exposición de datos y reclamaciones externas.

Lo que el visitante necesita para comprobar en términos concretos

Compruebe que los registros de la nube y colaboración están disponibles: Entrada ID, registro de entrada, registros de auditoría, eventos relacionados con equipos, proxylogs y telemetría de punta. Sin estas fuentes, el abuso de relé sigue siendo difícil de distinguir.

Compruebe qué servidores pueden generar tráfico en la nube. Cree una línea de referencia por servidor. Un servidor de copia de seguridad, servidor de archivos o controlador de dominio no debe tener patrones de colaboración similares a los usuarios.

Compruebe que el interruptor de afiliado está incluido en respuesta a incidentes. Rotar contraseñas, fichas de tirada, acceso cercano al vendedor y monitorear sitios de fuga incluso después de la recuperación técnica.

Relación con Amuneth Exposición

La exposición no sólo debe mostrar la exposición clásica a la web en DragonForce, sino también traducir el riesgo de nube e identidad en acciones comprensibles. Una política de acceso débil a las condiciones es tan relevante como un puerto abierto.

La presentación de informes debe mostrar qué sistemas son accesibles desde Internet, pero también cuáles cadenas de gestión están detrás de ellos. Un portal vulnerable es más grave cuando conduce a cuentas de servicio o datos del cliente.

Los escaneos ayudan principalmente a cambiar la discusión de . . . estamos hackeados a . . que ruta utilizaría un afiliado mañana ... . . . Ése es el valor preventivo correcto.

Notas de Defensa adicionales

DragonForce pide mayor atención a la confianza en plataformas bien conocidas. Muchas organizaciones tratan el tráfico de grandes proveedores de nubes como menos sospechoso, pero precisamente eso puede ser abusado de la confianza. Por lo tanto, distinguir entre destino y comportamiento: destino conocido, proceso desconocido, tiempo extraño y volumen de datos anormales sigue siendo sospechoso.

También tome la preparación legal y de comunicación con usted. La formación de nutrias y conflictos afiliados permiten que una víctima sea contactada por otra parte una vez más después de la primera reclamación. Capturar quién mantiene comunicaciones de extorsión, quien evalúa muestras y decide si los clientes o proveedores están proactivamente informados.

Para los equipos técnicos, un ejercicio útil es: simular un host que transmite datos vía rutas y medidas de nube legítimas o proxy, EDR y SIEM juntos para reconocer esto como una anomalía. Si esa correlación falta, el robo de DragonForce-como es demasiado difícil de ver.

Indicadores de compromiso (IOC)

Los indicadores son observaciones históricas, no pruebas de una infección actual. Verifica la fuente, la antigüedad y el contexto antes de detectar o bloquear; las herramientas legítimas de administración pueden producir falsos positivos.

Fuentes

• TechRadar: DragonForce abusing Teams TURN relays
• Tom’s Hardware: DragonForce and ransomware turf war reporting
• Ransomware.live — DragonForce

Evidencia y limitaciones

La atribución describe la evaluación de la fuente, no una identidad verificada. Una publicación en un sitio de filtraciones no demuestra por sí sola cifrado, robo de datos, una vulnerabilidad concreta ni una relación de afiliación. La información ausente se señala explícitamente.