Recuperación de Conti (y forks Royal, BlackSuit, Black Basta)
Respuesta directa
Conti fue uno de los grupos de ransomware más notorios de 2020 a 2022, con ingresos estimados superiores a US$ 180 millones. Cerró operación en mayo de 2022 tras filtración masiva del código fuente ('Conti Leaks'). Sus miembros migraron a forks: Royal (rebranded como BlackSuit en 2024), Black Basta, Quantum y Akira. Hay decryptor Conti V3 de Avast/Kaspersky. HD Doctor opera respuesta tanto a casos legacy Conti como a los forks activos en 2026.
Si el caso parece Conti en 2026, probablemente es un fork activo (Royal, BlackSuit, Black Basta, Quantum). La identificación correcta de la variante define decryptor disponible y SLA.
Conti y sus forks
Conti operó de julio de 2020 a mayo de 2022 como una de las mayores RaaS, atacando salud (Irish HSE 2021), gobierno (Costa Rica 2022) y empresas privadas. Tras declarar apoyo a la invasión rusa de Ucrania en febrero/2022, un insider filtró todo el código fuente y chats internos ('Conti Leaks'). El grupo se disolvió, pero los miembros migraron a forks: Royal (luego BlackSuit), Black Basta, Quantum, Akira y otros. Conti dejó herencia técnica masiva: misma arquitectura modular, patrones de extorsión y herramientas (Cobalt Strike, AnyDesk, Atera).
Síntomas de infección por Conti / forks
- Conti clásico: extensión .conti, nota 'CONTI_README.txt' o 'R3ADM3.txt'
- Royal/BlackSuit: extensión .royal o .blacksuit, nota 'README.TXT'
- Black Basta: extensión .basta, nota 'instructions_read_me.txt'
- Quantum: extensión variada, nota 'README_TO_DECRYPT.html'
- Cobalt Strike Beacon, Mimikatz, AnyDesk, Atera (kit común Conti)
- Logs del AD con BloodHound, Rubeus (kerberoasting)
Vectores de ataque comunes (Conti y forks)
| Causa | % | ¿Recuperable? |
|---|---|---|
| Phishing con Qakbot o IcedID | 35% | Capacitación + restore |
| RDP expuesto sin MFA | 25% | Hardening + restore |
| VPN sin MFA (Fortinet, Pulse Secure) | 18% | MFA + restore |
| Compromiso de Initial Access Broker | 12% | Forense del vector |
| Phishing dirigido (spear) | 7% | Capacitación + restore |
| Otros / no identificado | 3% | Análisis caso a caso |
Distribución según CISA AA22-035A (Conti) y AA23-061A (Royal).
Qué NO hacer al identificar Conti / forks
- 1.No pruebe decryptor genérico sin identificar variante. Conti V3 (Avast) solo funciona para variante específica. Royal y Black Basta requieren herramientas distintas. La identificación es el primer paso.
- 2.No ignore la exfiltración. Conti y todos los forks exfiltran antes de cifrar. Notificación regulatoria obligatoria en 72h.
- 3.No confíe en el chat 'amistoso' del operador. Conti era conocido por chats prolongados y 'descuentos' negociados. El histórico interno (Conti Leaks) muestra que la entrega de clave falló aún pagando en ~25% de los casos.
- 4.No reinstale el AD de inmediato. Los DCs comprometidos contienen artefactos forenses críticos: tickets Kerberos, cuentas con privilegio elevado, persistencia vía Group Policy.
- 5.No reutilice backup sin análisis. Conti suele comprometer el backup ANTES del cifrado. Veeam Backup & Replication con permiso local elevado es objetivo.
Proceso HD Doctor para respuesta Conti / forks
Respuesta técnica para Conti legacy y forks activos.
- 1
Triaje y contención (0 a 6h)
Identificación de variante exacta (Conti V3 vs Royal vs BlackSuit vs Black Basta vs Quantum), aislamiento, snapshots, captura de RAM en DCs.
- 2
Forense AD y endpoint (6 a 48h)
Análisis de DCs (BloodHound, Rubeus, Mimikatz), endpoint (Cobalt Strike, Qakbot/IcedID), línea de tiempo, exfiltración vía Mega.nz o rclone.
- 3
Intento de decryptor (24 a 72h)
Conti V3: intento con decryptor Avast/Kaspersky. Royal/BlackSuit/Black Basta: sin decryptor público en 2026. La identificación correcta define elegibilidad.
- 4
Restore corporativo (5 a 30 días)
Restore Veeam/Commvault de AD, file servers, SQL, Exchange. Reconstrucción de AD cuando hay compromiso profundo (golden ticket). Granular SQL/Oracle.
- 5
Hardening e informe (10 a 30 días)
Reset KRBTGT (2x), revisión de cuentas privilegiadas, EDR (CrowdStrike/SentinelOne), backup inmutable, MFA universal. Informe forense y judicial.
SLA típico para respuesta Conti / forks
| Escenario | Plazo |
|---|---|
| Triaje y contención | 0 a 6h |
| Forense AD + endpoint | 48 a 96h (caso complejo) |
| Decryptor Conti V3 | 24 a 48h tras confirmación |
| Restore Veeam de AD + servidores | 10 a 25 días hábiles |
| Reconstrucción AD post-golden-ticket | 15 a 45 días hábiles |
| Informe técnico final | 20 a 45 días hábiles |
- El compromiso profundo de AD suele requerir reconstrucción completa del dominio.
Sistemas afectados (Conti y forks)
| Familia | Soporte | Notas |
|---|---|---|
| Active Directory (Server 2012R2-2022) | ✅ Reconstrucción completa | Reset KRBTGT 2x, revisión OU/GPO |
| Microsoft Exchange | ✅ Restore Veeam + patch | Recuperación de mailboxes |
| SQL Server / Oracle | ✅ Restore granular | Bases corruptas |
| VMware ESXi (Royal/Black Basta-Linux) | ✅ Snapshot + restore | Forks atacan ESXi |
| Veeam Backup & Replication | ✅ Restore + análisis | Verificación de compromiso previo |
Por qué HD Doctor para respuesta Conti / forks
- 🏛️Casos reales documentados de Conti, Royal, BlackSuit y Black Basta con playbook por variante.
- ⚡Respuesta 24×7 en hasta 6h con ingeniero AD/Exchange/VMware directo.
- 🔓Base actualizada de decryptor Conti V3 (Avast/Kaspersky) para variantes elegibles.
- 💾Reconstrucción completa de Active Directory post-golden-ticket.
- 📋Informe pericial para regulador en hasta 72h y uso judicial corporativo.
Preguntas frecuentes sobre Conti / forks
¿Conti sigue activo en 2026?
No. Conti se disolvió en mayo de 2022 tras Conti Leaks. Las operaciones en 2026 con características similares son forks: Royal (luego rebranded BlackSuit en 2024), Black Basta, Quantum, Akira y otros que heredaron código base, herramientas y afiliados.
¿Existe decryptor para Conti?
Sí, parcialmente. Conti V3 tiene decryptor publicado por Avast y Kaspersky para muestras específicas obtenidas post-leaks. Royal/BlackSuit/Black Basta/Quantum no tienen decryptor público en 2026. Identificar la variante exacta es crítico.
¿Royal y BlackSuit son la misma operación?
Sí. Royal operó de 2022 a 2024 y fue rebranded como BlackSuit a mediados de 2024, según el aviso CISA AA23-061A (actualizado). Mismo binario base, mismos afiliados, foco en educación, salud y gobierno en EE.UU., Europa y LATAM.
¿Por qué puede ser necesaria reconstrucción de AD?
Conti y los forks suelen obtener golden ticket (control total del AD vía compromiso de cuenta KRBTGT). Cuando eso sucede, cualquier credencial previa al incidente queda comprometida permanentemente. La reconstrucción del dominio (con migración planificada de cuentas y servicios) es la única forma de garantizar confianza.
¿Cuánto tiempo hasta retomar operación tras Conti / fork?
Escenario con backup Veeam inmutable y AD intacto: 7 a 15 días para 80% de operaciones. Escenario con golden ticket en AD: 30 a 60 días por la reconstrucción. Escenario sin backup limpio: 60 a 120 días según complejidad.
¿Bajo ataque Conti, Royal, BlackSuit o Black Basta?
La identificación correcta de la variante define decryptor disponible. Respuesta 24×7.