Ransomware Qilin en 2026: Evolución, Cambios de Código y Tácticas

Resumen

El ransomware Qilin ha evolucionado de una herramienta de línea de comandos operada manualmente a una carga útil modular altamente automatizada escrita en Rust. Las variantes recientes incluyen un reconocimiento automatizado de Active Directory, movimiento lateral a través de PsExec y módulos dedicados para interrumpir los hipervisores VMware ESXi. El malware también utiliza técnicas avanzadas de evasión de defensa, incluidos reinicios en modo seguro destinados a deshabilitar o eludir sensores EDR.

Investigación

La investigación comparó dos variantes del ransomware Qilin: una muestra básica de marzo de 2026 y una versión más avanzada de octubre de 2026. Los analistas usaron x32dbg para examinar el ciclo de vida de ejecución de ocho fases del malware, la negociación criptográfica a través de CPUID y la integración de la API del Windows Restart Manager para desbloquear archivos antes de la encriptación.

Mitigación

Las organizaciones deben priorizar la seguridad de Active Directory, deshabilitar herramientas RSAT innecesarias y monitorear la ejecución no autorizada de bcdedit.exe. También es crucial mantener copias de seguridad resilientes y proteger los entornos de VMware vCenter contra actividades sospechosas de SSH o SCP. Además, monitorear un tráfico inusual de impresoras a través del puerto TCP 9100 puede proporcionar una señal de detección útil.

Respuesta

Cuando se detecta actividad de Qilin, aísle inmediatamente los hosts afectados para prevenir el movimiento lateral a través de los módulos relacionados con PsExec o vCenter. Revise los registros de eventos de Windows para cambios en bcdedit y actividad de finalización de servicios. Realice un análisis forense para binarios no autorizados basados en Rust e investigue el acceso sospechoso a recursos compartidos administrativos en todo el entorno.

Ejecución de simulación

• Narrativa de Ataque y Comandos: El adversario busca automatizar la interrupción de VMware vCenter para preparar un despliegue masivo de ransomware. Utilizan un script de PowerShell especializado diseñado para deshabilitar la Alta Disponibilidad (HA) para asegurar que una vez que comienza la encriptación, las máquinas virtuales no puedan reiniciarse automáticamente en hosts saludables. Para evadir la detección, el atacante utilizó originalmente un script que contenía el identificador específico «suite de automatización de PowerShell para VMware vCenter». Durante esta simulación, ejecutaremos el comando que contiene esta cadena para confirmar que se activan las reglas y luego demostraremos una omisión inmediata alterando ligeramente la cadena.

• Script de Prueba de Regresión:

  # FASE 1: Activar la Detección (El "Ataque")
  Write-Host "[+] Ejecutando comando para activar detección..." -ForegroundColor Cyan
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initializing: PowerShell suite de automatización para VMware vCenter'}"
  
  # FASE 2: Demostrar Evasión (El "Bypass")
  # Esto representa cómo un atacante real evadiría la regla simplemente cambiando un carácter.
  Write-Host "[+] Ejecutando comando para demostrar evasión..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initializing: Suite de Automatización de PowerShell para VMware vCenter'}" # Note las letras mayúsculas 'A' y 'S'

• Comandos de Limpieza:

  # No se realizaron cambios persistentes durante esta simulación. 
  # Sin embargo, si se crearon archivos de transcripción, deben ser eliminados.
  Remove-Item -Path "$env:USERPROFILEDocumentsPowerShell_Transcript*.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] Limpieza completa." -ForegroundColor Green