Qilin: El ransomware que industrializó la extorsión digital

Introducción: El nuevo rostro del ransomware

El modelo Ransomware-as-a-Service (RaaS) consolidó un cambio estructural en el ecosistema del cibercrimen. Ya no hablamos de atacantes aislados, sino de organizaciones criminales con:

• División de desarrollo
• Afiliados especializados en intrusión
• Soporte de negociación
• Infraestructura de filtración en la dark web
• Modelos de comisión y reparto de utilidades

Dentro de este escenario, Qilin se posiciona como uno de los actores más relevantes y técnicamente sofisticados de los últimos años.

1. ¿Quién es Qilin?

Qilin surge en julio de 2022 bajo el nombre Agenda. Evoluciona rápidamente hacia una operación RaaS madura, con presencia constante en portales de filtración y rankings OSINT como ransomware.live.

Su sitio de filtraciones en Tor (qilin[.]rocks y dominios alternativos) funciona como mecanismo de presión pública, donde publica datos de víctimas que no pagan rescate.

2. Modelo de negocio: RaaS en estado maduro

Qilin opera bajo un esquema clásico de Ransomware-as-a-Service, documentado por investigadores de seguridad en múltiples reportes de inteligencia de amenazas:

Fuente: Estructura RaaS documentada en análisis de Group-IB y Trend Micro Research.

Su madurez operativa lo diferencia de otros grupos más voluminosos pero menos consistentes técnicamente.

3. Evolución técnica: de Go a Rust

Qilin no es un ransomware estático. Ha mostrado evolución agresiva para evadir controles defensivos.

Capacidades clave

• Terminación de procesos AV/EDR: Desactiva antivirus y plataformas de detección y respuesta en endpoints antes de iniciar el cifrado, eliminando la última línea de defensa del sistema.
• Eliminación de shadow copies (VSS): Borra las copias de seguridad automáticas que Windows crea silenciosamente (Volume Shadow Service), impidiendo la recuperación sin pagar rescate.
• Autoeliminación post ejecución: El malware se borra a sí mismo una vez completado el cifrado, dificultando el análisis forense posterior.
• Cifrado AES-256-CTR / ChaCha20 + RSA-4096: Combina cifrado simétrico ultrarrápido (AES-256 o ChaCha20) para los archivos con cifrado asimétrico RSA-4096 para proteger las claves, lo que hace matemáticamente imposible descifrar sin la clave privada del atacante.
• Apagado automático de máquinas virtuales en ESXi: Detiene todas las VMs antes de cifrar sus discos, asegurando que los archivos no estén bloqueados por el sistema operativo huésped.
• Exclusión estratégica de directorios críticos: Omite carpetas del sistema necesarias para que el equipo siga funcionando (y la víctima pueda leer la nota de rescate), facilitando la negociación.

4. Tácticas y técnicas (MITRE ATT&CK)

Qilin demuestra una alineación consistente con el marco de MITRE ATT&CK, un estándar global que clasifica las tácticas, técnicas y procedimientos (TTPs — Tactics, Techniques and Procedures) utilizados por actores de amenazas. Este marco permite a los equipos de seguridad entender exactamente cómo opera un atacante y qué defensas aplicar en cada etapa del ataque. Ver grupos documentados en MITRE ATT&CK →

Acceso inicial

• Explotación de servicios expuestos (ej. FortiOS SSL VPN – CVE-2024-21762, vulnerabilidad crítica que permite ejecución remota de código sin autenticación en dispositivos Fortinet)
• Phishing con técnicas de evasión CAPTCHA
• Compra de accesos a Initial Access Brokers
• Abuso de herramientas RMM (Remote Monitoring & Management): software legítimo de administración remota —como AnyDesk, ConnectWise o Kaseya— que los atacantes explotan para moverse por la red sin levantar alertas, ya que imitan el comportamiento de un administrador IT.

Movimiento lateral

El movimiento lateral es la capacidad del atacante de desplazarse desde un sistema comprometido hacia otros sistemas dentro de la misma red.

• RDP / WinRM: Protocolos nativos de Windows para acceso y administración remota (Escritorio Remoto / Windows Remote Management), abusados con credenciales robadas.
• PsExec: Herramienta de Microsoft Sysinternals que permite ejecutar procesos en sistemas remotos; muy usada por administradores y, por ello, raramente bloqueada.
• Cobalt Strike: Framework comercial de simulación de ataques (pentesting) que los actores de amenazas utilizan con licencias piratas para controlar sistemas comprometidos.
• Dump de credenciales LSASS: Extracción de contraseñas y hashes almacenados en el proceso LSASS (Local Security Authority Subsystem Service) de Windows, que gestiona la autenticación del sistema. Con estas credenciales, el atacante puede suplantar usuarios con privilegios elevados.

Exfiltración

La exfiltración es la transferencia no autorizada de datos desde la red de la víctima hacia servidores controlados por el atacante, previa al cifrado.

• Rclone: Herramienta open source de sincronización de archivos en la nube, utilizada para transferir volúmenes masivos de datos de forma silenciosa hacia servicios de almacenamiento controlados por el atacante.
• FTP/SFTP: Protocolos estándar de transferencia de archivos (File Transfer Protocol / Secure FTP), frecuentemente permitidos en firewalls corporativos.
• Staging en servicios cloud intermedios: Los datos robados se alojan temporalmente en servicios legítimos (como Mega, OneDrive o Dropbox) antes de ser movidos al servidor final del atacante, dificultando la detección por reputación de dominio.

Impacto

• Cifrado masivo
• Publicación en sitio de filtración
• Triple extorsión (datos + presión reputacional + regulatoria)

5. Triple extorsión: más que cifrado

El modelo actual no se limita a bloquear información. Incluye:

• Interrupción operacional
• Exfiltración de datos sensibles
• Presión a clientes, socios o reguladores

6. Presencia global y víctimas en Chile

Qilin ha afectado organizaciones en múltiples sectores:

• Manufactura
• Salud
• Telecomunicaciones
• Educación
• Agroindustria
• Logística

En Chile, al 19 de febrero de 2026, se han registrado al menos dos víctimas confirmadas publicadas en ransomware.live:

• Sector agroexportador: empresa del rubro publicada en el sitio de filtraciones de Qilin durante 2025.
• Sector telecomunicaciones: víctima chilena publicada en febrero de 2026, confirmando la actividad activa del grupo en el país.

Estos casos deben entenderse como parte de una campaña global oportunista y no como un foco exclusivo en Chile.

7. Implicancias regulatorias: cuando el ransomware activa la ley

Un ataque de este tipo puede activar múltiples obligaciones normativas en Chile:

Ley 21.663 – Marco de Ciberseguridad ✅ Vigente

• Reporte obligatorio de incidentes significativos
• Deber de medidas proporcionales al riesgo
• Régimen sancionatorio

Ley 21.719 – Protección de Datos Personales ⏳ Entra en vigencia diciembre 2026

• Notificación de brechas
• Posibles sanciones administrativas
• Responsabilidad civil

8. ¿Por qué Qilin representa un riesgo alto?

• Capacidad multiplataforma (Windows, Linux, ESXi)
• Soporte nativo ESXi para virtualización
• Builder configurable para afiliados
• Evasión avanzada de EDR
• Modelo financiero sólido y sostenible
• Convergencia con actor estatal (Moonstone Sleet — Microsoft Threat Intelligence)
• Uso activo de CVEs recientemente explotadas

No es el grupo más ruidoso, pero sí uno de los más consistentes y técnicamente depurados.

9. Recomendaciones estratégicas para organizaciones

Desde una perspectiva de gobierno corporativo y SGSI:

🔒 Prevención

• Parches críticos inmediatos en VPN, firewalls y appliances expuestos a internet. Idealmente complementado con principios de ZTNA (Zero Trust Network Access): un modelo de seguridad que asume que ningún usuario, dispositivo o red es confiable por defecto, verificando continuamente identidad y contexto antes de otorgar acceso. ZTNA reemplaza la confianza implícita del perímetro tradicional por acceso mínimo necesario y siempre verificado.
• MFA obligatorio en todos los accesos remotos
• Segmentación de redes administrativas
• Hardening de ESXi y plataformas de virtualización

🔍 Detección

• Monitoreo de Rclone y accesos anómalos
• Alertas por acceso a LSASS: El proceso LSASS (Local Security Authority Subsystem Service) de Windows almacena credenciales en memoria. Monitorear accesos no autorizados a este proceso permite detectar intentos de robo de contraseñas en tiempo real, antes de que el atacante logre escalar privilegios o moverse lateralmente.
• Correlación SIEM orientada a TTPs (Tactics, Techniques and Procedures): en lugar de buscar firmas de malware específico, el SIEM correlaciona comportamientos que coinciden con patrones de ataque documentados en MITRE ATT&CK, anticipando amenazas antes de que completen su cadena de ataque.

🛡️ Resiliencia

• Backups offline e inmutables (verificados regularmente)
• Simulacros de respuesta ante incidentes (IR — Incident Response: el proceso estructurado de preparar, detectar, contener, erradicar y recuperarse de un incidente de seguridad. Un plan IR bien ensayado reduce dramáticamente el tiempo de recuperación y los costos asociados a un ataque.)
• Integración de asesoría legal en el plan IR

10. Reflexión final

Qilin es un ejemplo claro de la industrialización del ransomware. Su evolución técnica, su modelo económico y su capacidad de adaptación lo convierten en una amenaza estratégica.

Para las organizaciones, la pregunta ya no es si pueden ser víctimas, sino:

• ¿Tenemos visibilidad real sobre nuestra superficie expuesta?
• ¿Nuestros backups resistirían un ataque ESXi?
• ¿Nuestro plan de respuesta contempla implicancias regulatorias?