El grupo de ransomware Qilin ha incrementado significativamente su actividad, afectando a más de 40 víctimas mensuales desde principios de 2025. Recientemente, se ha detectado que este grupo emplea un ataque híbrido sofisticado que combina una variante de ransomware para Linux con técnicas BYOVD (Bring Your Own Vulnerable Driver) en sistemas Windows. Este enfoque permite a los atacantes eludir las defensas de seguridad tradicionales.

El vector de ataque inicial suele involucrar credenciales administrativas filtradas obtenidas en la dark web, que se utilizan para acceder a través de VPN y establecer conexiones RDP al controlador de dominio y endpoints comprometidos. Tras obtener acceso, los atacantes realizan un reconocimiento exhaustivo de la red, utilizando herramientas como Mimikatz, WebBrowserPassView, BypassCredGuard y SharpDecryptPwd para extraer credenciales de diversas aplicaciones y exfiltrar datos sensibles.

Para evitar la detección, los atacantes deshabilitan AMSI, desactivan la validación de certificados TLS y habilitan Restricted Admin. También emplean herramientas como dark-kill y HRSword para terminar procesos de software de seguridad. Adicionalmente, utilizan herramientas legítimas como Cyberduck para la transferencia de archivos, ocultando la actividad maliciosa.

El ataque culmina con la ejecución del ransomware Qilin, que cifra los archivos y deja una nota de rescate. Antes de esto, borra los registros de eventos y elimina todas las copias de seguridad del Volume Shadow Copy Service (VSS). Se ha observado que el grupo Qilin se dirige específicamente a infraestructuras de backup Veeam, extrayendo credenciales de múltiples bases de datos para comprometer las capacidades de recuperación ante desastres de la organización.

Además, Qilin ha incorporado la detección de Nutanix AHV en sus últimas versiones, ampliando su alcance para incluir plataformas de infraestructura hiperconvergente más allá de las implementaciones tradicionales de VMware.

En INGENIERÍA TELEMÁTICA SAS, estamos comprometidos con la protección integral de su infraestructura. Ante la creciente sofisticación de amenazas como Qilin, ofrecemos soluciones robustas de firewall, EDR/XDR, SOC y gestión de infraestructura. Si desea fortalecer su postura de seguridad y proteger sus sistemas contra ataques de ransomware, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es cliente.

Fuente original: Ver aquí