El grupo cibercriminal conocido como Qilin (también conocido como Agenda, Gold Feather y Water Galura) ha reclamado más de 40 víctimas cada mes desde principios de 2025, excepto en enero, y el número de publicaciones en su sitio web de filtración de datos alcanzó un máximo de 100 casos en junio.
Este avance se produce en un momento en el que la operación ransomware-as-a-service (RaaS) se ha convertido en uno de los grupos de ransomware más activos, con 84 víctimas en los meses de agosto y septiembre de 2025. Se sabe que Qilin lleva activo desde aproximadamente julio de 2022.
Según los datos recopilados por Cisco Talos, Estados Unidos, Canadá, Reino Unido, Francia y Alemania son algunos de los países más afectados por Qilin. Los ataques se han centrado principalmente en los sectores de la fabricación (23 %), los servicios profesionales y científicos (18 %) y el comercio mayorista (10 %).
Es probable que los intrusiones perpetrados por los afiliados de Qilin hayan aprovechado las credenciales administrativas filtradas en la web oscura para obtener acceso inicial mediante una interfaz VPN, seguido de la realización de conexiones RDP al controlador de dominio y al punto final ingresando con éxito.
En la siguiente fase, los cibercriminales llevaron a cabo acciones de reconocimiento del sistema y descubrimiento de la red para mapear la infraestructura, y ejecutaron herramientas como Mimikatz, WebBrowserPassView.exe, BypassCredGuard.exe y SharpDecryptPwd para facilitar la recopilación de credenciales de diversas aplicaciones y filtrar los datos a un servidor SMTP externo utilizando un script de Visual Basic.
"Los comandos ejecutados a través de Mimikatz se dirigían a una serie de datos confidenciales y funciones del sistema, entre los que se incluían borrar los registros de eventos de Windows, habilitar SeDebugPrivilege, extraer contraseñas guardadas de la base de datos SQLite de Chrome, recuperar credenciales de inicios de sesión anteriores y recopilar credenciales y datos de configuración relacionados con RDP, SSH y Citrix", afirmó Talos.
Un análisis más detallado ha revelado que el autor de la amenaza utilizó mspaint.exe, notepad.exe e iexplore.exe para inspeccionar archivos en busca de información confidencial, así como una herramienta legítima llamada Cyberduck para transferir archivos de interés a un servidor remoto, al tiempo que ocultaba la actividad maliciosa.
Se ha descubierto que las credenciales sustraídas permiten la escalada de privilegios y el movimiento lateral, abusando del acceso elevado para instalar múltiples herramientas de supervisión y gestión remota (RMM) como AnyDesk, Chrome Remote Desktop, Distant Desktop, GoToDesk, QuickAssist y ScreenConnect. Talos afirmó que no podía concluir de forma definitiva si los programas se utilizaron para el movimiento lateral.
Para evitar ser detectado, la cadena de ataque implica la ejecución de comandos PowerShell para desactivar AMSI, desactivar la validación de certificados TLS y habilitar la administración restringida, además de ejecutar herramientas como dark-kill y HRSword para eliminar el software de seguridad. También se implementan en el host Cobalt Strike y SystemBC para un acceso remoto persistente.
La infección culmina con el lanzamiento del ransomware Qilin, que cifra los archivos y deja una nota de rescate en cada carpeta cifrada, pero no sin antes borrar los registros de eventos y eliminar todas las instantáneas mantenidas por el Servicio de instantáneas de volumen (VSS) de Windows.
Los hallazgos coinciden con el descubrimiento de un sofisticado ataque Qilin que desplegó su variante de ransomware para Linux en sistemas Windows y lo combinó con la técnica traiga su propio controlador vulnerable (BYOVD) y herramientas informáticas legítimas para eludir las barreras de seguridad.
"Los atacantes hicieron un uso indebido de herramientas legítimas, concretamente instalando AnyDesk a través de la plataforma de supervisión y gestión remota (RMM) de Atera Networks y ScreenConnect para la ejecución de comandos. Abusa de Splashtop para la ejecución final del ransomware", afirmó Trend Micro.
"Se centraron específicamente en la infraestructura de copia de seguridad de Veeam utilizando herramientas especializadas de extracción de credenciales, recopilando sistemáticamente credenciales de múltiples bases de datos de copia de seguridad para comprometer las capacidades de recuperación ante desastres de la organización antes de desplegar la carga útil del ransomware".
Además de utilizar cuentas válidas para acceder a las redes objetivo, algunos ataques selectos han empleado páginas falsas de CAPTCHA de tipo spear-phishing y ClickFix alojadas en la infraestructura Cloudflare R2 para activar la ejecución de cargas maliciosas. Se estima que estas páginas proporcionan a los cibercriminales información necesarios para recopilar credenciales que luego se utilizan para obtener acceso inicial.
Algunas de las medidas cruciales adoptadas por los cibercriminales son las siguientes:
- Implementación de una DLL de proxy SOCKS para facilitar el acceso remoto y la ejecución de comandos.
- Uso indebido de las capacidades de gestión remota de ScreenConnect para ejecutar comandos de detección y herramientas de análisis de red con el fin de identificar posibles objetivos de movimiento lateral.
- Ataque a la infraestructura de copia de seguridad de Veeam para recopilar credenciales.
- Uso del controlador «eskle.sys» como parte de un ataque BYOVD para desactivar soluciones de seguridad, terminar procesos y evadir la detección.
- Implementación de clientes SSH PuTTY para facilitar el movimiento lateral a sistemas Linux.
- Uso de instancias de proxy SOCKS en varios directorios del sistema para ocultar el tráfico de comando y control (C2) mediante la puerta trasera COROXY.
- Uso de WinSCP para la transferencia segura de archivos del binario del ransomware Linux al sistema Windows.
- Uso del servicio de gestión de Splashtop Remote (SRManager.exe) para ejecutar el binario del ransomware Linux directamente en sistemas Windows.
"El binario del ransomware para Linux ofrecía capacidad multiplataforma, lo que permitía a los cibercriminales afectar tanto a los sistemas Windows como a los Linux del entorno utilizando una única carga útil", señalaron los investigadores de Trend Micro.
"Las muestras actualizadas incorporaban la detección de Nutanix AHV, ampliando el objetivo para incluir plataformas de infraestructura hiperconvergente. Esto demostró la adaptación de los autores de las amenazas a los entornos de virtualización empresariales modernos más allá de las implementaciones tradicionales de VMware".
Fuente: thehackernews