Resumen ejecutivo

Anonymous Islamic Army publicó un mensaje en árabe en el que presenta un ransomware orientado contra sistemas israelíes. Según el actor, la herramienta fue diseñada para ejecutarse únicamente en dispositivos asociados con Israel mediante comprobaciones de zona horaria e idioma hebreo antes de iniciar el proceso de cifrado.

La publicación combina propaganda religiosa, narrativa anti-Israel y distribución pública de una capacidad ofensiva. El actor no solo promueve el ransomware como instrumento de ataque, sino que afirma liberarlo para que pueda ser utilizado por terceros, mientras mantiene bajo su control el proceso de descifrado y la monetización asociada.

El elemento novedoso del caso no reside únicamente en el malware en sí, sino en su liberación pública bajo un esquema donde el uso se descentraliza, pero el control del descifrado y la monetización permanece, según el actor, bajo su órbita.

Juicios clave

• Anonymous Islamic Army presentó públicamente un ransomware anti-Israel y lo encuadró como herramienta de “ciber-yihad” dirigida contra sistemas israelíes.
• Según el actor, el malware valida zona horaria e idioma hebreo antes de iniciar el cifrado, con el objetivo declarado de limitar su uso contra objetivos israelíes. 
• La publicación transforma el ransomware en un recurso ofensivo distribuido: el actor lo libera para uso público, pero afirma retener el control sobre el descifrado.
• El esquema declarado sugiere una modalidad en la que la ejecución puede ser descentralizada, mientras la monetización y la legitimidad ideológica del pago permanecen asociadas al actor.

Qué ocurrió

Anonymous Islamic Army difundió un mensaje en el que afirma que el “ciber-yihad” no es menos importante que la confrontación en el terreno físico y lo presenta como una pieza de apoyo al esfuerzo contra sus adversarios. Luego introduce un ransomware que, según su descripción, estaría diseñado para operar únicamente en dispositivos israelíes.

El actor sostiene que el malware verifica la zona horaria y el idioma hebreo antes de iniciar el cifrado. Según esa narrativa, esta restricción permitiría evitar un uso indiscriminado de la herramienta y concentrar su impacto sobre objetivos israelíes.

La publicación incluye un enlace a un repositorio de GitHub donde se distribuye el artefacto. El archivo asociado, identificado como encryption.exe, cuenta con el hash SHA1 c5c7373add6ee71ca05c310dc05ef72d4bcc522c. El repositorio también incluye un README.txt que presenta la herramienta como un ransomware avanzado orientado exclusivamente contra “sistemas sionistas”.

El README afirma que el ransomware utiliza AES-256 y que los archivos quedarían bloqueados salvo que sean descifrados por el propio equipo del actor. También sostiene que la herramienta no fue creada con fines de lucro personal, sino como respuesta digital a crímenes de guerra y ataques contra civiles, según la narrativa del grupo.

Evaluación operacional

iQBlack evalúa la publicación como distribución pública de una herramienta ransomware ideologizada. El malware ya se encuentra in-the-wild desde hace al menos un mes, pero el punto central de esta comunicación es que Anonymous Islamic Army lo convierte en una herramienta públicamente accesible. Esa decisión modifica el modelo operativo porque el ransomware deja de ser un recurso privativo y pasa a funcionar como instrumento distribuido de agresión digital.

Sin embargo, el actor no abandona por completo el control. Según su propio mensaje, las claves de descifrado quedarían retenidas por Anonymous Islamic Army y los casos exitosos deberían ser reportados al grupo. La condición declarada para el descifrado sería la transferencia de dinero hacia causas vinculadas con Gaza, Sudán y otros espacios presentados por el actor como parte de una comunidad oprimida.

En términos operacionales, esto sugiere un modelo híbrido: el uso de la herramienta se abre a terceros, pero el actor procura mantener el control sobre la recuperación, la monetización y el encuadre ideológico del pago. La ejecución se descentraliza; el descifrado y el relato de legitimidad permanecen centralizados.

La lógica de targeting descrita por el actor requiere especial cautela debido a que la verificación de idioma hebreo y zona horaria puede ser consistente con una intención de limitar el alcance del malware, pero no garantiza exclusividad real contra sistemas israelíes. Estas comprobaciones pueden ser incompletas, manipulables, erróneas o removidas por terceros una vez que el artefacto queda disponible públicamente.

Contexto del actor

Anonymous Islamic Army mantiene un foco sostenido en Israel como objetivo de su comunicación y actividad pública. En ese marco, la aparición de un ransomware anti-Israel no representa una desviación del perfil conocido del actor, sino una ampliación de recursos dentro de un repertorio más amplio de hostigamiento digital y propaganda operacional.

El actor no se limita a una metodología única. Su actividad debe entenderse como parte de un ecosistema hacktivista donde la visibilidad, la movilización, la presión simbólica y la disponibilidad de herramientas ofensivas pueden tener tanto valor como el impacto técnico directo.

En este caso, el ransomware funciona al mismo tiempo como artefacto técnico, pieza propagandística y mecanismo de financiamiento declarado. Esa combinación refuerza la lectura de una herramienta diseñada no solo para producir impacto negativo en las víctimas, sino también para convertir la participación de terceros en una forma de contribución ideológica.

Significado para inteligencia

La relevancia de esta publicación reside en la convergencia entre malware, propaganda y financiamiento. Anonymous Islamic Army no solo anuncia una herramienta ofensiva, sino que la libera públicamente bajo una narrativa de uso selectivo contra Israel. Esa decisión puede facilitar la participación de simpatizantes, operadores de baja sofisticación o terceros oportunistas, reduciendo la barrera de entrada para acciones ransomware con motivación ideológica.

El esquema declarado también introduce una dimensión financiera particular. Según el actor, el descifrado dependería de pagos destinados a causas vinculadas con Gaza, Sudán y otros espacios presentados como parte de una comunidad oprimida. De esta forma, la monetización del ransomware se reencuadra como financiamiento de causa y no como lucro individual.

Esa narrativa no debe aceptarse de forma acrítica, pero sí debe analizarse como parte del valor estratégico del mensaje. El actor intenta presentar la herramienta como moralmente limitada, técnicamente selectiva y políticamente justificada. Al mismo tiempo, la liberación pública del artefacto puede generar efectos no controlados, incluyendo reutilización contra terceros, modificaciones del código o pérdida de control sobre el uso real del malware.

Cierre analítico

Anonymous Islamic Army publicó un ransomware anti-Israel y lo presentó como una herramienta pública de agresión digital y financiamiento ideológico. Según el actor, el malware estaría diseñado para operar únicamente contra dispositivos israelíes mediante verificaciones de idioma y zona horaria, mientras el descifrado permanecería bajo control del propio grupo.

Hasta contar con validación técnica completa, iQBlack evalúa la publicación como un indicador preliminar de distribución pública de capacidad ofensiva y no como confirmación de una campaña ransomware exitosa ni de targeting exclusivo contra Israel.

El modelo propuesto por el actor con el uso distribuido del malware, el control centralizado del descifrado y la monetización reencuadrada como aporte a una causa político-ideológica, representan el valor inmediato para inteligencia.