Recuperación de Ataque Play (PlayCrypt)
Respuesta directa
Play (también conocido como PlayCrypt) es una familia de ransomware activa desde junio de 2022, con foco en América Latina y Europa. Añade extensión .play a los archivos y deja nota 'ReadMe.txt'. Accede por vulnerabilidades FortiOS (CVE-2022-41082, CVE-2022-41040, conocidas como ProxyNotShell) y RDP. Sin decryptor público disponible. HD Doctor opera respuesta técnica enfocada en Windows Server, Exchange y Fortinet.
Play ataca preferentemente a objetivos en América Latina (Brasil, México, Argentina, Chile). Mantenga Fortinet y Exchange Server estrictamente actualizados.
Qué es Play
Play es una operación RaaS activa desde junio de 2022, con base de afiliados vinculada a Rusia. Listó más de 600 víctimas en su sitio darknet hasta 2026, incluidos agencias del gobierno americano (CISA AA23-352A), municipios europeos y empresas latinoamericanas. Usa AES + RSA, intermitencia sutil (payload que se renombra por ejecución) y exfiltración previa al cifrado vía WinSCP/WinRAR. Característica: nota corta con solo email proton.me. Inusual: NO publica el monto exigido.
Síntomas de infección por Play
- Archivos con extensión .play en servidores
- Nota 'ReadMe.txt' corta con email proton.me
- Payload renombrado por ejecución (ofuscación intermitente)
- Logs Exchange OWA con requests anómalos (ProxyNotShell)
- Fortinet con túnel SSL VPN sin MFA
- Cobalt Strike Beacon + SystemBC proxy
Vectores típicos de ataque Play
| Causa | % | ¿Recuperable? |
|---|---|---|
| FortiOS SSL-VPN (CVE-2022-42475, CVE-2023-27997) | 40% | Patch + MFA + restore |
| Microsoft Exchange (ProxyNotShell CVE-2022-41082) | 30% | Patch + restore |
| RDP expuesto | 18% | Hardening + restore |
| Phishing dirigido | 7% | Capacitación + restore |
| Otros / no identificado | 5% | Análisis caso a caso |
Distribución según CISA AA23-352A.
Qué NO hacer al identificar Play
- 1.No restaure Exchange sin patch. ProxyNotShell (CVE-2022-41082/41040) es la entrada principal. Restaurar sin patch reabre la puerta.
- 2.No negocie vía Protonmail anónimamente. Antes de contactar, arme cadena de custodia y tenga jurídico involucrado. Toda comunicación debe documentarse.
- 3.No pague sin confirmar exfiltración. Play SIEMPRE exfiltra. Pagar 'solo para descifrar' deja datos en manos del atacante de todos modos.
- 4.No ignore logs Fortinet. Los logs Fortinet contienen línea de tiempo detallada de la sesión SSL-VPN del atacante. Preserve antes de cualquier acción.
- 5.No desconecte Exchange antes del snapshot. La memoria de Exchange contiene artefactos forenses críticos (sesiones, tokens, scripts en ejecución).
Proceso HD Doctor para respuesta Play
Respuesta enfocada en Exchange Server, Fortinet y Windows Server.
- 1
Triaje y contención (0 a 6h)
Aislamiento, snapshot de Exchange y DCs, captura de RAM, preservación de logs Fortinet y Exchange OWA/IIS, desactivación inmediata de SSL-VPN.
- 2
Forense (6 a 48h)
Análisis de logs Fortinet (auth SSL-VPN), Exchange (ProxyNotShell), identificación del binario Play (payload renombrado), exfiltración vía WinSCP/WinRAR.
- 3
Evaluación de decryptor (24h)
Sin decryptor público para Play. Foco en restore de backup y reconstrucción.
- 4
Restore Windows (3 a 15 días)
Restore Veeam/Commvault de Exchange, AD y file servers. Recuperación granular de mailboxes vía Veeam Explorer for Exchange.
- 5
Hardening e informe (5 a 25 días)
Patch Fortinet (CVE-2022-42475, CVE-2023-27997), Exchange (todos los CVEs recientes), MFA obligatorio, EDR, informe forense y regulatorio.
SLA típico para respuesta Play
| Escenario | Plazo |
|---|---|
| Triaje y contención | 0 a 6h |
| Forense Exchange + Fortinet | 24 a 72h |
| Restore Exchange y AD | 3 a 12 días hábiles |
| Restore granular de mailboxes | 5 a 20 días hábiles |
| Informe técnico final | 15 a 30 días hábiles |
- Play no tiene decryptor público; el backup inmutable es el control principal.
Sistemas afectados por Play
| Familia | Soporte | Notas |
|---|---|---|
| Microsoft Exchange 2013-2019 | ✅ Respuesta completa | ProxyNotShell, restore + patch |
| Fortinet FortiGate (FortiOS) | ✅ Forense + hardening | Entrada más común |
| Windows Server 2012R2-2022 | ✅ AD, file server, SQL | Restore Veeam |
| Active Directory | ✅ Recuperación completa | DCs comprometidos |
| Backup Veeam / Commvault | ✅ Restore guiado | Forense de manipulación |
Por qué HD Doctor para respuesta Play
- 🎮Equipo con casos reales de Play en América Latina, con playbook validado.
- ⚡Respuesta 24×7 en hasta 6h, ingeniero Exchange + Fortinet directo.
- 💾Restore granular Veeam Exchange para recuperar mailboxes individualmente.
- 🛡️Hardening específico Fortinet + Exchange post-incidente.
- 📋Informe pericial en hasta 72h para regulador y uso judicial.
Preguntas frecuentes sobre Play
¿Existe decryptor gratuito para Play?
No. No hay decryptor público para Play en 2026. El restore desde backup limpio es el camino principal de recuperación.
¿Por qué Play se enfoca en América Latina?
Grupos de habla rusa suelen apuntar a América Latina por la menor madurez media de defensa cibernética y limitada cooperación de aplicación de la ley. CISA AA23-352A documenta casos en Brasil, Argentina, Chile, México.
¿Debo pagar el rescate a Play?
No recomendamos. Play SIEMPRE exfiltra antes de cifrar. Pagar no previene la filtración y financia ataques futuros. Foco en restore + regulador + comunicación a titulares.
¿Cómo evitar Play?
Cinco controles: (1) Fortinet y Exchange estrictamente actualizados; (2) MFA en SSL-VPN; (3) Exchange OWA con WAF; (4) EDR en DCs y servidores críticos; (5) backup inmutable offline. Nuestro informe incluye plan priorizado.
¿Cuánto tiempo hasta restore completo?
Con backup Veeam inmutable: 5 a 15 días para servidores críticos. Sin backup limpio: 30 a 60 días según el alcance. Recuperación de mailboxes individuales: 1 a 5 días por mailbox crítico.
¿Bajo ataque Play / PlayCrypt ahora?
Especialistas Exchange + Fortinet. Respuesta 24×7.