Vulnerabilidades de VMware Aria Operations

El 24 de febrero de 2026, Broadcom publicó un aviso de seguridad crítico que aborda tres vulnerabilidades distintas en VMware Aria Operations. Estas fallas, que abarcan desde la inyección de comandos hasta la escalada de privilegios, pueden comprometer la confidencialidad, la integridad y el control administrativo de los sistemas afectados. Se requiere la aplicación inmediata de parches para evitar una vulneración generalizada de la infraestructura

¿Cúal es la amenaza?

Se han identificado tres vulnerabilidades en VMware Aria Operations:

CVE-2026-22720

Scripting entre sitios almacenado (CVSS 8.0): La aplicación permite almacenar datos proporcionados por el usuario y mostrarlos posteriormente sin validación ni codificación adecuadas. Un atacante puede incrustar una carga útil de JavaScript malicioso que se ejecuta cuando un administrador con privilegios elevados accede a la página afectada. Esto puede provocar el secuestro de sesión, lo que permite al atacante robar cookies administrativas y suplantar la identidad de un superusuario.

 CVE‑2026-22720 JavaScript

CVE-2026-22719

Inyección de comandos (CVSS 8.1): Una falla en el procesamiento de las entradas administrativas por parte de la interfaz de administración. No depura correctamente los meta-caracteres del shell antes de ejecutar comandos a nivel de sistema. Un atacante autenticado con acceso de red a la configuración de Aria Operations puede inyectar cadenas maliciosas en parámetros de configuración específicos, lo que provoca la ejecución remota de código (RCE).

 CVE‑2026-22719 (RCE)

CVE-2026-22721

Escalada de privilegios (CVSS 6.2): Una vulnerabilidad local derivada de la gestión incorrecta de archivos. Un atacante con acceso al dispositivo puede explotar esta vulnerabilidad para elevar sus privilegios de usuario estándar a root, lo que le otorga control total sobre el sistema operativo subyacente y elude la telemetría de seguridad interna.

 CVE‑2026-22721 Vulnerabilidad local

¿Por qué es digno de mención?

No se ha informado públicamente de ninguna explotación generalizada, pero Aria Operations suele ejecutarse con privilegios de sistema de alto nivel. Un ataque exitoso podría permitir la ejecución de código arbitrario, la instalación de puertas traseras persistentes o el desplazamiento lateral a través del entorno virtualizado.

¿Cuál es la exposición o riesgo?

Aria Operations es un componente fundamental del plano de gestión. Su vulnerabilidad proporciona a los atacantes una vía de acceso a la pila más amplia de VMware Cloud Foundation. En entornos de nube de telecomunicaciones, estas vulnerabilidades podrían interrumpir los servicios principales de 5G o interferir con las configuraciones de segmentación de red. Los atacantes también podrían alterar las métricas de rendimiento para ocultar otras actividades maliciosas o extraer metadatos de configuración confidenciales.

Análisis Técnico de CVE-2025-40538 en SolarWinds Serv-U

CVE‑2025‑40538 es una vulnerabilidad crítica de control de acceso en SolarWinds Serv‑U, un servidor de transferencia de archivos administrada (MFT) y FTP/SFTP/FTPS/HTTP(S) autoalojado, utilizado para el intercambio seguro de archivos.

¿Cúal es la amenaza?

CVE‑2025‑40538 es una vulnerabilidad crítica de control de acceso en SolarWinds Serv‑U que permite a un atacante con privilegios de administrador de dominio o de grupo crear una cuenta de administrador del sistema Serv‑U y ejecutar código arbitrario como usuario con privilegios (root/admin). SolarWinds califica el problema con una calificación de 9.1 (crítico) dado que su explotación requiere privilegios administrativos de alto nivel. Los ataques viables son más probables en escenarios que involucran el robo de credenciales o la escalada de privilegios encadenada.

SolarWinds

Es una plataforma integral diseñada para la administración, monitoreo y observabilidad de infraestructuras de TI, redes, bases de datos y aplicaciones en entornos híbridos o de nube.

 CVE‑2025‑40538 vulnerabilidad en progreso

¿Por qué es digno de mención?

Esta vulnerabilidad es notable porque permite a un atacante con privilegios de administrador de dominio o de grupo obtener el control total del servidor Serv‑U. Dado que Serv‑U suele almacenar o facilitar el acceso a datos confidenciales de empresas y clientes, una vulnerabilidad puede tener un impacto considerable.

Si bien el requisito de privilegios administrativos limita la explotación oportunista, la vulnerabilidad aumenta significativamente el riesgo en los casos en que los atacantes ya poseen credenciales de administrador robadas o pueden elevar el acceso como parte de una intrusión más amplia.

¿Cuál es la exposición o riesgo?

El principal riesgo de CVE-2025-40538 es la ejecución de código privilegiado y la toma de control administrativo total del servidor Serv-U. Un atacante con privilegios de administrador de dominio o de grupo puede explotar el control de acceso vulnerado para:

• Crear un nuevo usuario administrador del sistema Serv‑U
• Ejecutar código arbitrario como root/admin
• Controle completamente el host Serv‑U y sus servicios asociados

Un servidor Serv-U comprometido podría utilizarse para el acceso no autorizado a archivos transferidos o almacenados, la recolección de credenciales, la persistencia mediante nuevas cuentas de administrador y el acceso lateral a otros sistemas. Esto es especialmente cierto en entornos donde Serv-U se integra con flujos de trabajo de identidad y transferencia de archivos empresariales.

Si bien la explotación requiere privilegios administrativos, esto aún representa un riesgo significativo para las organizaciones donde las credenciales privilegiadas pueden quedar expuestas o donde los atacantes pueden escalar privilegios durante una intrusión de múltiples etapas.

ZeroDay Vulnerabilidad presente en Chrome

Google ha publicado actualizaciones de seguridad de emergencia para Chrome para corregir CVE-2026-2441, una vulnerabilidad de día cero de alta gravedad en el motor CSS del navegador que los atacantes ya están explotando. La falla es un problema de memoria de uso después de la liberación que permite que un sitio web malicioso o comprometido ejecute código dentro del entorno de pruebas de Chrome.

¿Cúal es la amenaza?

CVE‑2026‑2441 es una falla de seguridad en el procesamiento de cierto código CSS en páginas web por parte de Google Chrome. Cuando un usuario visita un sitio web malicioso o comprometido, un atacante puede generar un error de memoria de uso tras liberación y ejecutar código dentro del proceso del navegador Chrome. Esto le permite robar datos a los que el navegador tiene acceso, como cookies, tokens de sesión y otra información confidencial, y potencialmente descargar o ejecutar herramientas maliciosas adicionales. Si el atacante combina esta falla con otra vulnerabilidad que escape al entorno de pruebas del navegador, podría obtener el control total del dispositivo subyacente.

Navegadores en basados ​​en Chromium corren riesgo

Es ideal para ataques drive-by y watering-hole a gran escala.

 Siguen en riesgo hasta que publiquen parches equivalentes.

¿Por qué es digno de mención?

Esta vulnerabilidad es significativa porque se trata de una vulnerabilidad de día cero que se explota activamente antes de que muchos usuarios hayan tenido la oportunidad de actualizar. Chrome y otros navegadores basados ​​en Chromium representan una gran parte del uso tanto doméstico como empresarial, por lo que una falla en este motor principal del navegador crea una superficie de ataque excepcionalmente amplia.

Las vulnerabilidades del navegador son especialmente valiosas para los atacantes, ya que a menudo no requieren descargas ni acciones obvias del usuario: basta con visitar una página web. En muchas organizaciones, el navegador es el principal punto de acceso a las aplicaciones en la nube y a los datos confidenciales, lo que convierte una vulnerabilidad en una posible puerta de entrada a ataques más profundos.

¿Cuál es la exposición o riesgo?

Cualquier usuario que utilice un navegador Chrome o Chromium sin parchear puede verse comprometido simplemente visitando un sitio web malicioso o comprometido. En entornos empresariales, esta exposición puede provenir de correos electrónicos de phishing, resultados de búsqueda envenenados o sitios web legítimos comprometidos

Una vez que los atacantes ejecutan código dentro del navegador, pueden robar cookies de sesión, tokens de autenticación y otros datos que podrían otorgar acceso al correo electrónico, servicios en la nube o sistemas internos. Combinado con exploits adicionales, los atacantes podrían obtener el control total del endpoint. Esto podría permitirles instalar malware, operar lateralmente o lanzar ataques de ransomware.

Dado que el tráfico del navegador suele usar HTTPS y se asemeja al comportamiento normal del usuario, muchas herramientas de seguridad tradicionales podrían no detectar estos ataques inmediatamente. Los trabajadores remotos y los dispositivos no administrados se enfrentan a un riesgo aún mayor si no reciben actualizaciones con prontitud. La aplicación tardía de parches deja a las organizaciones vulnerables a la explotación oportunista y dirigida de este día cero.

ZeroDayRAT permite la toma de control en Android e iOS

Una nueva plataforma comercial de spyware móvil, ZeroDayRAT, se promociona entre ciberdelincuentes en Telegram como una herramienta que proporciona control remoto completo de dispositivos Android e iOS comprometidos. Investigadores de la empresa de detección de amenazas móviles iVerify la describen como un "kit completo de herramientas para la vulneración de dispositivos móviles", capaz de robar datos, vigilar en tiempo real y realizar fraude financiero.

¿Cúal es la amenaza?

ZeroDayRAT es un troyano móvil multiplataforma de acceso remoto (RAT) y spyware que proporciona acceso persistente y completo a smartphones y tablets infectados.

El panel del atacante muestra lo siguiente:

Modelo del dispositivo, versión del sistema operativo, estado de la batería, detalles de la tarjeta SIM, país y estado de bloque.

Desde allí, los operadores pueden acceder a amplias capacidades de registro, seguimiento y control en tiempo real.

Vigilancia, pasiva y registro; seguimiento de ubicación.

Registrar el uso de la aplicación, capturar mensajes SMS, realizar seguimiento de las notificaciones, ataques de fuerza bruta, seguimiento en tiempo real, ubicación en Google Maps y análisis de movimiento.

Seguimiento de la víctima en tiempo real

Operaciones activas y prácticas

Los operadores pueden:

Activar cámara frontal o trasera para fotos y videos, activar el micrófono para la captura del audio en vivo y permite grabar la pantalla, exponiendo el contenido de la aplicación, las indicaciones de inicio de sesión, los desafíos de MFA, la información escrita y más.

Acceso a las transmisiones de la cámara y el micrófono

Intercepción de credenciales y módulos de robo financiero.

Captura OTP entrantes, enviar mensajes fraudulentos, contraseñas, gestos, patrones, escaneo de billeteras, inyección de portapapeles, registro de IDs, ataques de superposición, etc. 

Los módulos anti-criptomonedas y anti-bancos

¿Por qué es digno de mención?

ZeroDayRAT permite una vulnerabilidad profunda y persistente en las dos principales plataformas móviles, combinando vigilancia, control de dispositivos, robo de credenciales y fraude financiero en un solo paquete. Compatible con una amplia gama de sistemas operativos, permite a los atacantes monitorear las comunicaciones, la actividad de las cuentas, los datos de las aplicaciones y el historial de ubicación, todo desde un panel de operador fácil de usar.

Sus capacidades integradas contra el robo financiero, incluyendo el escaneo de billeteras de criptomonedas y la superposición de aplicaciones bancarias, indican que ZeroDayRAT está diseñado no solo para la vigilancia, sino también para la monetización directa. Al interceptar contraseñas de un solo uso (OTP) y credenciales de registro de teclas, puede incluso eludir las protecciones 2FA/MFA.

¿Cuál es la exposición o riesgo?

El riesgo aumenta significativamente cuando los dispositivos instalan aplicaciones de fuentes no confiables o se utilizan para actividades sensibles como banca móvil, pagos, acceso a cuentas corporativas o manejo de datos confidenciales.

Esto puede permitir que los atacantes se muevan lateralmente hacia sistemas internos o entornos de nube, incluso si la infraestructura central es segura.

Falla crítica presente en RCE

Se ha identificado una vulnerabilidad crítica de ejecución remota de código (RCE) previa a la autenticación en BeyondTrust Remote Support (RS) y Privileged Remote Access (PRA).

¿Cúal es la amenaza?

CVE-2026-1731 es una vulnerabilidad de RCE previa a la autenticación que afecta a los productos de Soporte Remoto (RS) y Acceso Remoto Privilegiado (PRA) de BeyondTrust. Al enviar solicitudes especialmente diseñadas a endpoints expuestos, un atacante puede ejecutar comandos arbitrarios a nivel de sistema operativo sin necesidad de iniciar sesión.

BeyondTrust Remote Support es ampliamente utilizado por los equipos de TI para diagnósticos y resolución de problemas remotos, mientras que el Acceso Remoto Privilegiado actúa como una puerta de enlace segura para acceder a sistemas internos confidenciales. Si se explota, esta vulnerabilidad podría permitir a un atacante tomar el control total de las máquinas afectadas, lo que facilita el robo de datos, el acceso no autorizado o la interrupción operativa.

La vulnerabilidad afecta a las versiones RS 25.3.1 y anteriores, y a las versiones PRA 24.3.4 y anteriores. Hay parches disponibles para RS 25.3.2 y posteriores, y PRA 25.1.1 y posteriores. BeyondTrust ya ha asegurado todas las instancias SaaS, pero los entornos locales aún requieren la aplicación manual de parches de inmediato.

¿Por qué es digno de mención?

Esta vulnerabilidad es de alto riesgo debido a la extensa base de clientes empresariales de BeyondTrust, que incluye muchas organizaciones de la lista Fortune 100, y al carácter privilegiado de las implementaciones de RS y PRA. Los atacantes están muy motivados para atacar herramientas que permiten el acceso remoto y permisos elevados.

Para agravar la preocupación, BeyondTrust se ha enfrentado a múltiples incidentes de seguridad de alto perfil en los últimos años. Fallas de día cero anteriores, como CVE‑2024‑12356 y CVE‑2024‑12686, se aprovecharon para robar una clave API de infraestructura y comprometer 17 instancias de SaaS de soporte remoto

¿Cuál es la exposición o riesgo?

Se descubrió que aproximadamente 8500 instancias locales de RS y PRA estaban expuestas a internet antes de la disponibilidad del parche. En combinación con las implementaciones en la nube, se estima que 11 000 instancias son visibles externamente, lo que crea una superficie de ataque considerable, especialmente dada la facilidad de explotación.

Datos de suma importancia:

• Afecta: Implementaciones locales RS hasta la versión 25.3.1, PRA hasta la versión 24.3.4.
• Sistemas en riesgo:  RS 25.3.2+ o PRA 25.1.1+
• Propagación: BeyondTrust.
• Entornos: SaaS
• Impacto: Compromiso total del sistema, acceso no autorizado o exfiltración
• Activo: Desde el 2024

Recomendaciones

• Aplicar parche de inmediato: Actualizar RS a 25.3.2+ y PRA a 25.1.1+ en todos los sistemas locales.
• Reducir exposición: si la aplicación de parches se retrasa, restrinja o elimine el acceso a Internet a las puertas de enlace RS/PRA y aplique controles estrictos de acceso a la red.
• Aislar sistemas críticos: implementar la segmentación de la red para limitar las oportunidades de movimiento lateral.
• Fortalecer la gestión de vulnerabildiad: mantener el descubrimiento y la evaluación periódicos de todas las herramientas de acceso remoto.
• Mantenga las plataformas de terceros actualizadas: establezca cronogramas de aplicación de parches consistentes y habilite actualizaciones automáticas siempre que sea posible.
• Aumente la supervisión:registre y alerte sobre solicitudes inusuales o no autenticadas dirigidas a puntos finales RS/PRA para detectar intentos de explotación de forma temprana.

Ola de Bots impulsan el caos DDoS en el 2026

El ecosistema de botnets continúa evolucionando rápidamente, impulsado por una avalancha de hardware de consumo y pequeñas oficinas con poca seguridad. Todo, desde routers y cámaras web hasta dispositivos de streaming Android TV no autorizados, se ha convertido en parte de un sustrato global que impulsa operaciones DDoS persistentes.

Kimwolf: una botnet sigilosa que se infiltra en redes corporativas y gubernamentales

La botnet Kimwolf se ha infiltrado silenciosamente en entornos corporativos, gubernamentales y municipales. Como informó Krebs on Security, Kimwolf se esconde en equipos de oficina y routers domésticos de uso diario que nunca fueron reforzados para la exposición a nivel empresarial.

Informes adicionales muestran que Kimwolf utiliza canales de comunicación sigilosos que cambian dinámicamente para evadir la detección. Un vector importante en la propagación de Kimwolf son los dispositivos Android TV no autorizados o clonados, que a veces incluyen malware preinstalado o componentes de acceso remoto inseguros. Una vez conectados a una red doméstica o de una pequeña oficina, exponen shells remotos o interfaces de administración que los atacantes pueden usar fácilmente como arma.

Dentro de las redes empresariales, los dispositivos comprometidos actúan como puntos de apoyo duraderos, permitiendo el movimiento lateral y convirtiendo la infraestructura interna en participantes involuntarios en campañas DDoS a gran escala.

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Kimwolf
• Propagación: Dispositivos IoT y streaming Android
• Vector: Debilidades en cadena de suministro
• Objetivo: Redes corporativas y gubernamentales
• Activo: Desde el 2025

Aisuru: El predecesor que estableció récords globales de DDoS

Antes de Kimwolf, Aisuru demostró lo destructiva que puede ser la explotación automatizada del IoT. Según Cybersecurity Dive , Aisuru lideró múltiples ataques DDoS que batieron récords, incluyendo una campaña en la que el volumen de tráfico superó los picos globales anteriores por un margen significativo.

Aisuru compromete rápidamente modelos de dispositivos predecibles a menudo hardware IoT de gama baja con firmware obsoleto, infectando miles de dispositivos en cuestión de horas. Estos nodos comprometidos generan inundaciones volumétricas masivas, rotan los vectores de ataque dinámicamente y saturan los sistemas de mitigación globales.

Una campaña distintiva de Aisuru atacó a varios proveedores de servicios a la vez, desplazando la carga en tiempo real a medida que los defensores intentaban mitigar el ataque. El análisis de amenazas Q325 de Cloudflare explora esta escalada más amplia en cuanto a la escala y sofisticación de los ataques DDoS.

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Aisuru
• Propagación: Escaneo y explotación automatizados de dispositivos IoT vulnerables
• Vector: Autenticación débil, firmware obsoleto y valores predeterminados inseguros en la cadena de suministro
• Objetivo: Redes de consumidores y empresas a nivel mundial
• Activo: Desde el 2024

Mirai y la nueva generación de variantes de botnets IoT

Casi una década después de su debut, Mirai sigue siendo una de las familias de botnets más persistentes y ampliamente adaptadas de internet. Su perdurabilidad se debe a la oferta masiva y en constante renovación de dispositivos IoT inseguros: routers, DVR, cámaras inteligentes y dispositivos de bajo coste que se entregan con firmware obsoleto y credenciales indeseables. Las variantes modernas de Mirai se han expandido mucho más allá de la botnet original de código abierto. Entre las variantes emergentes como Katana, Satori y otras bifurcaciones se incluyen:

Grandes bibliotecas de exploits que atacan a docenas de vulnerabilidades de IoT a la vez. 

Motores de propagación más rápidos capaces de comprometer miles de dispositivos por hora.

Técnicas evasivas de comando y control, incluyendo flujo de dominio y canales de comando cifrados.

Módulos que se actualizan automáticamente, lo que permite a los atacantes lanzar rápidamente nuevos exploits a medida que aparecen.

Los investigadores señalan que muchos dispositivos infectados con Mirai sufren ciclos de vida de firmware descuidados, lo que significa que rara vez reciben parches, lo que da como resultado un grupo de nodos vulnerables de larga duración que impulsan una actividad DDoS sostenida.

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Mirai y variantes modernas (Satori, restos de Mozi, Katana)
• Propagación: Explotación automatizada de dispositivos loT inseguros.
• Vector: Credenciales predeterminadas, firmware sin parches, servicios expuestos (API Telnet/SSH/HTTP)
• Objetivo: Redes de consumidores y empresas a nivel mundial
• Activo: Desde el 2024

Conclusión

El crecimiento de botnets como Kimwolf, Aisuru y Mirai subraya una verdad fundamental: la cadena de suministro global de dispositivos domésticos y de IoT es ahora un campo de batalla central para las operaciones DDoS.

Los atacantes se benefician de un suministro infinito de hardware inseguro: Dispositivos IoT económicos con configuraciones predecibles. Equipos domésticos con interfaces de gestión expuestas. Dispositivos que rara vez reciben actualizaciones de firmware. Ecosistemas de proveedores con valores predeterminados débiles y pruebas inconsistentes.

Qilin en 2026: Crecimiento acelerado, mayor agresividad y un riesgo que se vuelve insostenible

Introducción

El grupo de ransomware Qilin inicia 2026 con una actividad más intensa que nunca. Lejos de desacelerarse, el actor de amenazas ha incrementado su volumen de ataques, ampliado su alcance sectorial y elevado su nivel de riesgo operativo.
Sin embargo, este crecimiento acelerado no está exento de consecuencias: la historia demuestra que los grupos de ransomware que cruzan ciertos límites —especialmente en sectores críticos— suelen enfrentar colapsos repentinos.

Este análisis explora la evolución de Qilin, su desempeño reciente y por qué su propia estrategia podría convertirse en su principal amenaza.

Puntos clave

• Qilin acelera su actividad en 2026, registrando 55 víctimas en las primeras semanas del año, superando el ritmo de 2025.
• La falta de restricciones sectoriales (incluida la atención médica y servicios públicos) incrementa el riesgo de consecuencias catastróficas.
• El crecimiento del grupo es frágil, ya que muchos de sus afiliados no son leales y han abandonado otras operaciones RaaS ante señales de inestabilidad.
• La historia del ransomware es clara: ataques de alto impacto suelen atraer una presión regulatoria y policial que termina por desmantelar a los grupos.

De la incertidumbre al auge: la evolución de Qilin

Cuando Qilin fue perfilado a mediados de 2025, existían dudas legítimas sobre su supervivencia. Su rápido crecimiento se apoyó, en gran parte, en afiliados provenientes de operaciones de ransomware como servicio (RaaS) que ya habían colapsado, como RansomHub y LockBit.

Estos afiliados aportaron:

• Experiencia operativa
• Capacidad técnica
• Ritmo acelerado de ataques

Pero también dejaron claro algo fundamental: no eran afiliados leales. Ya habían demostrado que abandonarían cualquier operación ante el menor signo de riesgo.

Aun así, contra todo pronóstico, Qilin no solo sobrevivió, sino que prosperó.

El impacto real de los ataques de alto perfil

En febrero de 2025, Qilin obtuvo acceso a un proveedor clave del sistema de salud de Londres. El impacto fue devastador:

• Más de 170 casos de daño a pacientes
• Dos casos de daño permanente o a largo plazo
• Una muerte confirmada

Este tipo de disrupción no pasa desapercibida. Los ataques contra infraestructura crítica históricamente han marcado el principio del fin para múltiples grupos de ransomware.

Lecciones del pasado

Otros grupos han colapsado tras cruzar límites similares:

• DarkSide desapareció tras el ataque al Oleoducto Colonial, luego de una presión directa de EE. UU.
• ALPHV/BlackCat se disolvió tras el ataque a Change Healthcare, posiblemente debido al impacto en el acceso a medicamentos.
• Black Basta cerró operaciones después del ataque a Ascension Health, cuando incluso sus propios miembros reconocieron el riesgo extremo de atraer al FBI y la CISA.

Estos precedentes refuerzan una conclusión clara: los ataques contra servicios esenciales generan una presión insostenible.

Qilin en cifras: 2025 y el arranque de 2026

Durante 2025, Qilin mostró cifras alarmantes:

• Más de 1,000 víctimas publicadas en su sitio de filtraciones
• Más de 40 víctimas mensuales en el segundo semestre
• El sector manufacturero fue el más afectado (≈23 % de los ataques)
• El grupo afirmó haber robado 31.2 petabytes de datos, principalmente de un solo fabricante (cifras no verificadas)

2026: un ritmo aún más agresivo

Apenas iniciado el año, Qilin ya ha publicado 55 víctimas adicionales en su sitio de filtraciones. Aunque estas afirmaciones aún no han sido verificadas, varias publicaciones incluyen muestras de datos presuntamente robados, lo que refuerza su credibilidad operativa.

Si esta tendencia continúa, Qilin superará fácilmente sus cifras récord de 2025.

Una amenaza consolidada… pero vulnerable

Qilin cuenta con:

• Una plataforma de ransomware sofisticada
• Capacidad de adaptación rápida a nuevas defensas
• Una presencia consolidada en el ecosistema de amenazas

Todo indica que seguirá siendo un actor dominante durante el primer semestre de 2026. Sin embargo, ningún grupo de ransomware es invulnerable.

Factores que podrían provocar su colapso

• Divisiones internas que deriven en filtraciones o cooperación con autoridades
• Ataques de alto perfil que atraigan demasiada atención mediática y gubernamental
• Interrupciones sostenidas de infraestructura, que provoquen la huida de afiliados

El mayor enemigo de Qilin: su propia estrategia

Qilin no impone límites claros a sus afiliados. No evita:

• Proveedores de atención médica
• Servicios municipales
• Infraestructura crítica
• Organizaciones que sostienen la salud y el bienestar público

Este enfoque sin restricciones maximiza ganancias a corto plazo, pero multiplica exponencialmente el riesgo. Basta un solo ataque mal calculado para paralizar servicios esenciales de toda una región y desencadenar una respuesta coordinada de fuerzas del orden a nivel internacional.

Al no marcar ningún sector como “fuera de alcance”, Qilin se posiciona como su propio peor enemigo.

Conclusión

Qilin entra en 2026 más fuerte, más activo y más agresivo que nunca. Sin embargo, la historia del ransomware demuestra que este tipo de crecimiento descontrolado suele ser insostenible.
La combinación de ataques indiscriminados, afiliados poco leales y un escrutinio creciente convierte su éxito actual en una amenaza latente para su propia supervivencia.

El tiempo dirá si Qilin logra adaptarse y moderar su estrategia… o si se suma a la larga lista de grupos de ransomware que crecieron demasiado rápido y cayeron con la misma velocidad.

• 

  Cómo evolucionaron los ataques de phishing en 2025

  ---

  Temas principales en un ataque de PhaaS

  Los temas de phishing más comunes incluían mensajes falsos de pago, financieros, legales, de firma digital y relacionados con RH todos diseñados para engañar a los usuarios y hacer clic en un enlace, escanear un código QR o abrir un archivo adjunto y compartir información personal con los atacantes. Son enfoques probados y comprobados que llevan años existiendo, que falsifican marcas de confianza como Microsoft, DocuSign, SharePoint y más. Siguen teniendo éxito a pesar de la creciente conciencia de los usuarios y las medidas de seguridad cada vez más avanzadas.

  

  ---

  Estafas de pagos y facturas

  Los atacantes utilizaron IA generativa para producir correos electrónicos y solicitudes de pago de "factura atrasada" muy convincentes que coincidían estrechamente con el tono, estilo e imagen del servicio legítimo al que se estaban suplantando.

  Se incorporaron códigos QR en las facturas para desplazar a las víctimas de entornos de escritorio seguros a dispositivos móviles menos protegidos, aumentando las probabilidades de un ataque exitoso.

  ---

  Estafas de buzon de voz (vishing)

  Los correos electrónicos incluían enlaces a portales de "buzón de voz seguro" que recopilaban credenciales.

  Los atacantes también utilizaron IA generativa para generar múltiples variantes de correos y scripts de phishing, ayudando a que los correos pasaran por alto la detección y aumentaran la credibilidad.

  Se suplantaron direcciones de correo electrónico de confianza para que los ataques parecieran legítimos, e incluso copiaron el diseño y patrones familiares usados por servicios conocidos que gestionan notificaciones de buzón de voz.

  ---

  Estafas de documentos finacieros y legales

  Los atacantes usaron trucos de ingeniería social junto con IA generativa para eliminar cualquier error evidente que pudiera alertar a las víctimas. Al hacer que los mensajes resultaran más personales y adaptar constantemente sus patrones, dificultaron mucho que las víctimas distinguieran los correos maliciosos de los reales.

  Los atacantes utilizaron técnicas de spear phishing para investigar cuidadosamente cada organización, obteniendo información sobre sus principales ejecutivos e imitándolos de cerca. En algunos casos, secuestraron o utilizaron cuentas comprometidas para engañar a los empleados y que aprobaran transferencias fraudulentas.

  ---

  Estafas de revisión de firmas y documentos

  Los atacantes se hicieron pasar por un número creciente de plataformas de confianza con una marca de alta calidad y demandas "urgentes" para revisar y firmar.

  Incrustar códigos QR maliciosos en solicitudes de firma de aspecto auténtico trasladó el ataque a dispositivos móviles fuera del perímetro de seguridad corporativo.

  ---

  Estafas relacionadas con RH (Beneficios, nóminas, manual del empleado)

  Los ataques estaban alineados con los plazos fiscales y los ciclos de nómina para explotar la urgencia.

  Los códigos QR estaban incrustados en las "actualizaciones de políticas" para saltarse los filtros de correo electrónico.

  ---

  Técnicas populares utilizadas de phishing en 2025

  Las técnicas utilizadas por los kits de phishing durante 2025 fueron variadas e ingeniosas. Entre ellos se encontraban:

  • Ofuscaciones para ocultar URLs de la detección e inspección, observadas en el 48% de los ataques. Los atacantes también añadieron redirecciones abiertas y pasos de verificación humana, haciendo que las URLs de phishing parezcan auténticas y más difíciles de bloquear.
  • Ataques que eluden la autenticación multifactor (MFA), por ejemplo, robando cookies de sesión (también observado en el 48% de los ataques).
  • Ataques que aprovecharon el CAPTCHA para mayor autenticidad y para ocultar destinos sospechosos (43%).
  • Códigos QR maliciosos (vistos en el 19%). Los atacantes empezaron a dividir los códigos QR en múltiples imágenes o a anidar códigos maliciosos dentro o alrededor de los legítimos para evadir la detección por parte de las herramientas de seguridad del correo electrónico.
  • Ataques 'polimórficos' que variaban la cabecera, el cuerpo y el destino del correo para confundir o retrasar la detección (20%).
  • Adjuntos maliciosos (18%).
  • El abuso de plataformas online legítimas y de confianza, como las utilizadas para la colaboración o el diseño (10%).
  • Ataques que aprovechan IA generativa, por ejemplo, el uso de plataformas no-code, CAPTCHAs generados por IA, comentarios y código (10%).
  • El uso de 'URI de blob', un tipo de dirección web utilizada para almacenar datos localmente en memoria, dificulta la detección de ataques con medidas tradicionales (2%).
  • El uso de técnicas de ingeniería social 'ClickFix', donde un usuario es engañado para ejecutar manualmente un comando malicioso (1%).

  

  ---