SafePay y Aur0ra golpean a Argentina

Aur0ra registró víctimas en Argentina y Perú, y su análisis describe un esquema de doble extorsión con acceso inicial mediante portales VPN mal configurados, endpoints RDP con autenticación de un solo factor y appliances perimetrales vulnerables. En paralelo, SafePay fue incluido en un aviso conjunto de CISA, el FBI, el U.S. Secret Service y organismos policiales de Alemania y Reino Unido, que atribuye al menos 600 organizaciones afectadas desde agosto de 2024, con referencias a Sudamérica en seguimientos de terceros.

¿Qué se observó en Aur0ra?

Aur0ra combinó intrusión inicial por exposición perimetral débil, movimiento lateral con herramientas administrativas integradas, PowerShell y Mimikatz, y luego búsqueda de recursos compartidos, repositorios y copias de seguridad. Después, según el análisis de Ransom-DB, comprimió y exfiltró la información con herramientas legítimas de sincronización o túneles C2 cifrados, y la publicó más tarde en un sitio de filtraciones en Tor.

El relevamiento de Ransom-DB ubica además a Aur0ra sobre sectores concretos, entre ellos manufactura comercial, servicios jurídicos, diagnóstico sanitario, hotelería e ingeniería arquitectónica. Es decir, no se trata de un patrón concentrado en una sola vertical, sino de una campaña que alcanzó organizaciones con perfiles distintos.

¿Cómo encaja SafePay en el mapa regional?

SafePay aparece en un aviso conjunto que habla de más de 600 organizaciones afectadas y lo vincula con una técnica de doble extorsión, además de insistir en medidas básicas de endurecimiento. La cobertura del aviso prioriza parches para vulnerabilidades explotadas, MFA obligatoria, copias offline e inmutables, segmentación de redes y vigilancia del movimiento lateral.

La fuente de cobertura de MedRisk agrega que Argentina, Chile, Colombia, Perú y otros países latinoamericanos figuran en seguimientos de terceros sobre SafePay, pero aclara que el aviso oficial no confirma víctimas concretas ni entrega un desglose por país. Esa distinción deja dos planos separados: una advertencia formal de alcance global y una atribución regional que todavía no está confirmada oficialmente.

¿Qué datos regionales quedan firmes?

Lo confirmado, con material verificable, es que Aur0ra ya dejó víctimas en Argentina y Perú, y que SafePay fue objeto de una advertencia conjunta por su impacto en al menos 600 organizaciones desde agosto de 2024. También hay una referencia a 2025 en FortiRecon, que reportó 141 víctimas confirmadas en Brasil, 69 en México, 50 en Argentina y 41 en Colombia, aunque ese dato no se vincula en el material con una sola familia de ransomware.

La foto que dejan los reportes es la de campañas activas con presencia regional y TTPs que explotan fallas de acceso remoto, equipos expuestos y credenciales débiles. En el caso de SafePay, la atribución por país sigue abierta en la información disponible; en Aur0ra, en cambio, Argentina y Perú ya aparecen como víctimas confirmadas.