Qilin extiende sus ataques de ransomware en México: así opera y quiénes están en riesgo
Qilin expande sus ataques de ransomware en México y pone en riesgo a empresas de sectores como salud, telecomunicaciones y servicios públicos.
El grupo cibercriminal Qilin se ha convertido en uno de los atacantes más destructivos y letales para las organizaciones en México durante este año, por lo que es necesario que las empresas aumenten sus niveles de seguridad urgentemente.
Qilin está activo desde 2022 y es un grupo, posiblemente de origen ruso, que se enfoca en ataques de ransomware. Según las cifras de la plataforma MITRE de Eset, la mayoría de sus víctimas se concentra en países como Estados Unidos, Francia, Canadá y Reino Unido. Sin embargo, ha ampliado su área de ataque en los últimos meses hasta llegar a México, donde afirma que ha vulnerado a empresas como Salauno, MCM Telecom y la Comisión Municipal de Agua Potable y Alcantarillado de Victoria (COMAPA Victoria).
La expansión geográfica de Qilin hacia Norteamérica y su agresivo desembarco en México responde a una reconfiguración estratégica del ecosistema del cibercrimen y al apalancamiento tecnológico”, afirmó el fundador de Silikn, Víctor Ruiz.
EL DATO
Recomendaciones:
- Abandonar de inmediato la seguridad perimetral reactiva y migrar hacia una estrategia de Resiliencia Cibernética y Zero Trust
- Dar prioridad absoluta a la implementación de Autenticación de Múltiple Factor robusta y resistente al phishing en 100% de los accesos remotos
- Contar con consolas de administración e infraestructuras de nube
- Asegurar que ninguna sesión de VPN o escritorio remoto dependa únicamente de un usuario y contraseña
LOS BLANCOS
Al platicar con Excélsior, consideró que el cambio de región obedece directamente a la lógica económica del modelo ransomware como servicio, ya que Qilin aprovechó el vacío de poder dejado por el desmantelamiento de gigantes como LockBit y ALPHV/BlackCat para reclutar a sus afiliados desplazados. Incluso llegó a ofrecer comisiones agresivas de hasta 85%, lo que trajo consigo redes de acceso ya establecidas en el continente americano.
Para Ruiz, México se consolidó como el “blanco de oro” en América Latina debido a su alta concentración de empresas industriales y logísticas vinculadas al fenómeno del nearshoring, las cuales muchas veces presentan brechas críticas y bajas tasas de madurez en arquitecturas de ciberseguridad.
David González, investigador de seguridad informática de Eset Latinoamérica, coincidió en que el país es atractivo porque cuenta con una economía diversificada y con empresas relevantes en sectores como manufactura, salud, telecomunicaciones, servicios y educación.
Lo que vemos es que las empresas mexicanas representan un objetivo con valor propio, especialmente cuando forman parte de cadenas de suministro o prestan servicios críticos para miles de usuarios tanto nacional como internacionalmente”, destacó también en entrevista con Excélsior.
El fundador de Silikn recordó que numerosas instituciones públicas operan con sistemas obsoletos, desactualizados, desprotegidos y carentes de mantenimiento adecuado, lo que incrementa significativamente su exposición a amenazas cibernéticas y las convierte en objetivos vulnerables para grupos como Qilin.
EL MODO DE ATAQUE
De acuerdo con González, este grupo ha sabido aprovechar la inteligencia artificial para generar correos, mensajes y contenidos fraudulentos en español con mejor calidad y menor esfuerzo para mejorar sus campañas de ingeniería social.
Sin embargo, dicha tecnología es sólo un facilitador y vectores de ataque como el phishing, el robo de credenciales y la explotación de sistemas expuestos siguen siendo fundamentales para sus campañas.
La Unidad de Investigación de Silikn encontró un cambio agresivo tanto en sus vectores de infiltración como en sus verticales de ataque. Por ejemplo, Qilin hace un uso intensivo de ataques sigilosos de bajo perfil y explota rápidamente las vulnerabilidades críticas recién expuestas en infraestructuras perimetrales de marcas como Fortinet, Check Point o Palo Alto.
Ruiz comentó que también se observó que los afiliados de Qilin entran de forma silenciosa utilizando credenciales legítimas comprometidas previamente por infostealers y utilizan herramientas de administración que ya existen de forma nativa en los sistemas de la empresa, una técnica conocida como Living off the Land, para exfiltrar datos masivos y moverse lateralmente durante semanas sin activar las alertas de los antivirus tradicionales.
Adicionalmente, la Unidad de Investigación de Silikn detectó que la doble extorsión es el estándar operativo de Qilin, pero están migrando hacia una triple extorsión al realizar ataques de denegación de servicio automatizados para derribar los portales web de las empresas mientras están negociando.
A esto se suma el hostigamiento directo vía telefónica o correo electrónico a los clientes y proveedores cuyas bases de datos acaban de ser robadas”, destacó Ruiz.
Dichas técnicas son efectivas en México debido a que hay sectores con alta liquidez financiera, pero que históricamente operan bajo un rezago en cultura de ciberseguridad, presupuestos de TI limitados y sistemas operativos obsoletos.
INCIDENTES
El investigador de Eset explicó que cuando un grupo de ransomware publica el nombre de una organización en su sitio de filtraciones, eso no constituye en sí una confirmación definitiva de un incidente y, en muchos casos, las empresas no pueden confirmar o desmentir inmediatamente la situación.
Ruiz añadió que Qilin publica el nombre de sus víctimas en su blog también como una forma de presión psicológica extrema, ya que las empresas quedan atrapadas entre el pánico reputacional y el temor a sanciones del gobierno en temas de transparencia, por lo que optan por el silencio, minimización la situación o lanzan comunicados ambiguos.
COMAPA Victoria admitió públicamente haber sufrido el ataque de Qilin y pudo recuperar su portal sin ceder al chantaje económico, pero firmas globales de inteligencia y Silikn detectaron la exposición directa de bases de datos con credenciales y contraseñas vigentes de su portal de clientes, por lo que el robo de información existió independientemente de la restauración de los servidores.
En lo que respecta a la tecnológica MCM Telecom y la red de clínicas oftalmológicas Salauno, éstas acaban de ser expuestas de forma masiva en el sitio clandestino de Qilin tras expirar el reloj de arena de la negociación.
EL DATO
Desplegar una arquitectura de segmentación de red estricta
- Aislar los respaldos mediante la regla 3-2-1-1-0, la cual exige mantener al menos tres copias de los datos en dos tipos de medios distintos, con una copia fuera de línea de manera física o en una bóveda digital inmutable aislada de la red corporativa
- Implementar soluciones avanzadas de Detección y Respuesta en Puntos Finales combinadas con monitoreo proactivo las 24 horas del día
- Establecer un programa agresivo de gestión de vulnerabilidades y parches críticos en menos de 24 o 48 horas para todos los activos expuestos a internet