Los extorsionadores estrenan su «panel de control»: los hackers Funky Mantis crean un CRM para chantajear hospitales y fábricas

El grupo de extorsionadores Funky Mantis convirtió un conjunto habitual de herramientas de cifrado de archivos en un servicio completo: ahora los participantes gestionan socios, venden acceso a redes y controlan las negociaciones con las víctimas. Los especialistas hallaron indicios de que la operación salió del ámbito del desarrollo y se utilizó al menos en un ataque real.

Funky Mantis, también conocida como DevMan, opera según el modelo «ransomware como servicio». Los administradores crearon una infraestructura cerrada donde los participantes podían acceder a redes comprometidas, recopilar versiones del programa malicioso, negociar con las víctimas y rastrear los pagos. Los especialistas analizaron dos versiones del panel web y determinaron que desde finales de 2025 el servicio se fue transformando gradualmente en una plataforma centralizada que gestionaba los ataques.

La primera versión del panel incluía funciones que permitían crear programas maliciosos, una sección financiera, un chat con las víctimas y soporte técnico. En enero de 2026 apareció una nueva versión con un sistema de contabilidad más complejo: los operadores podían crear equipos, asignar participantes, rastrear el estado de los ataques, los plazos de pago y los ingresos esperados por cada víctima. Esa estructura permitía coordinar varias operaciones a través de un único centro de control.

Mensajes privados de los participantes revelaron la organización interna del grupo. Los administradores repartían el acceso a redes de diferentes países, asignaban curadores y exigían completar el trabajo en pocos días. En las conversaciones se mencionaban organizaciones del ámbito de la salud, infraestructura crítica, el sector comercial y entidades gubernamentales. Al mismo tiempo, en algunos mensajes los participantes solo afirmaban ataques sin confirmar su éxito.

Los especialistas también examinaron la versión para Windows del cifrador Funky Mantis. El programa comprueba privilegios de administrador, intenta desactivar la protección de Windows, detiene servicios concretos, elimina copias sombra del sistema, busca recursos de red y cifra archivos en discos locales y en almacenamientos conectados. Al finalizar su tarea, el programa malicioso crea una nota en la que exige el pago de un rescate y puede eliminar su propio archivo.

El cifrador usa el algoritmo ChaCha20-Poly1305 y añade a los archivos cifrados la extensión .devman21. El programa está orientado al entorno corporativo: entre sus objetivos hay documentos, bases de datos, copias de seguridad, máquinas virtuales, código fuente y archivos relacionados con sistemas médicos.

Los operadores de Funky Mantis promovían por separado ataques contra infraestructura crítica y ofrecían capacidades especiales para sistemas de control de equipos industriales. No obstante, sigue sin confirmarse si los operadores roban información: el servicio afirmaba esa posibilidad, pero los especialistas no encontraron herramientas que exfiltren datos ni evidencias de transferencia de archivos.

Para protegerse contra ataques similares, los especialistas de Catalyst Prodaft recomiendan rastrear no archivos aislados ni hashes, sino la secuencia de acciones de los atacantes. Un indicador peligroso puede ser un acceso remoto inusual, el uso posterior de cuentas con privilegios, actividad en SMB, cambios en las políticas de grupo, la desactivación de mecanismos de protección y la eliminación de mecanismos de recuperación. Ese enfoque permite detectar mejor la preparación de un ataque antes del despliegue del cifrador.