Qilin a fondo: loaders en Rust, EDR killers a nivel de kernel y cuatro años de datos de sitios de filtraciones
Qilin, la marca de ransomware como servicio que surgió en 2022 con el nombre de Agenda, lleva tres años en lo más alto de los rankings de sitios de filtraciones. El monitor ransomware.live le atribuye 2.398 víctimas publicadas en 104 países, con listados tan recientes como el 19 de octubre de 2026. Ese mismo mes la marca volvió a los titulares por otro motivo: un presunto miembro del núcleo está detenido en Alemania, y el expediente incluye el ataque de 2024 contra los servicios de patología de Londres.
Qilin es un animal distinto de la operación Medusa que cubrimos en nuestro anterior artículo sobre la mecánica de los sitios de filtraciones: gestiona su propia cadena de herramientas, alquila un panel de afiliados maduro y busca organizaciones donde el tiempo de inactividad duele — hospitales, periódicos contra fecha de cierre, fabricantes dentro de una cadena de suministro.Una base de código en Go y Rust, una caja de herramientas a nivel de kernel
Los cifradores de Qilin están escritos en Go y Rust, con compilaciones para Windows, Linux y VMware ESXi; una publicación de reclutamiento citada por SOCRadar enumera ChaCha20, AES y RSA-4096 como primitivas, y las compilaciones se adaptan al entorno de cada víctima. Más nueva es la capa de entrega: el análisis de julio de 2026 de Flashpoint documentó un loader en Rust propio que descomprime el cifrador en el mismo proceso, en circulación desde mayo de 2024. A su lado corre un EDR killer a nivel de kernel, vendido por unos 2.000 dólares en mercados ilícitos, que abusa del legítimo driver ThrottleStop para obtener acceso al kernel y mata procesos de EDR tras reescribir sus controles de acceso para que no puedan reiniciarse. Como la mayoría de las operaciones de habla rusa, la herramienta rechaza equipos con configuración regional de países de la CEI, como Rusia o Bielorrusia — y Flashpoint considera que las herramientas anti-EDR son ya un requisito estándar del ransomware de alto impacto.Synnovis: cuando el cifrado llegó al quirófano
El 3 de junio de 2024, Qilin golpeó a Synnovis, la alianza de patología que sirve a los hospitales King's College y Guy's and St Thomas' en Londres. Las cifras de NHS England, recogidas por la BBC, mostraron más de 800 operaciones aplazadas en la primera semana, cientos de citas ambulatorias reprogramadas y 18 órganos desviados; en las semanas siguientes se vieron afectadas más de 10.000 citas."Creemos que es un grupo de ciberdelincuentes rusos que se hacen llamar Qilin." — Ciaran Martin, exdirector del NCSC, citado por The Guardian, junio de 2024SOCRadar recoge una petición de rescate de 50 millones de dólares; tras vencer el plazo el 20 de junio, se publicaron unos 400 GB de datos de pacientes, buena parte a través del canal de Telegram del grupo. La banda dijo a la BBC que el ataque protestaba por el apoyo británico a Ucrania, una afirmación recibida con escepticismo. Un año después, King's College Hospital confirmó que un paciente había muerto tras una larga espera del resultado de un análisis de sangre; según la BBC, la policía estudia un caso de homicidio, una posible primicia para el cibercrimen. En mayo de 2026, la policía japonesa detuvo a un ruso de 28 años, identificado en la prensa alemana como Vladimir K., durante un viaje vacacional; trasladado a Fráncfort, se le acusa de extorsionar unos 160.000 dólares a una empresa de logística en septiembre de 2024 — y los investigadores alemanes han añadido desde entonces el ataque a Synnovis al caso, informó la BBC en octubre de 2026.
Víctimas de renombre como patrón
Synnovis no fue una excepción. En febrero de 2025, Qilin cifró aplicaciones críticas de Lee Enterprises, la editora estadounidense detrás del St. Louis Post-Dispatch, los Buffalo News y unos 350 títulos más, parando las rotativas. La banda reclamó 120.000 archivos y 350 GB de datos; Lee reveló después que 39.779 personas, incluidos números del Seguro Social, se vieron afectadas, y cifró los costes de recuperación en unos 2 millones de dólares. Otras víctimas reclamadas son Yanfeng, Court Services Victoria en Australia y, en octubre de 2025, la cervecera japonesa Asahi. Microsoft ha vinculado a miembros de Scattered Spider con ataques usando la marca de Qilin, como informó BleepingComputer.Lo que muestran los contadores
Los recuentos varían según el monitor, pero la tendencia coincide. La página de Qilin en ransomware.live lista 2.398 víctimas desde 2022, encabezadas por manufactura (502), servicios profesionales (398), tecnología (272), sanidad (200) y comercio minorista (169), con Estados Unidos primero, con 1.005 registros. CybelAngel contó más de 2.100 organizaciones en el sitio de filtraciones desde 2022 — 55 de ellas solo en las dos primeras semanas de enero de 2026. La actualización de SOCRadar de noviembre de 2025 llamó a Qilin el grupo de ransomware más activo de 2025, con unas 800 víctimas en más de 50 países desde enero de ese año. Las tácticas de presión evolucionan con los rankings. SOCRadar documenta una función "Call lawyer" añadida al panel de afiliados en junio de 2025, que permite a los afiliados llevar abogados a las negociaciones. En septiembre de 2025, DragonForce anunció una coalición con Qilin y LockBit para compartir técnicas e infraestructura. La presión también es regulatoria: la notificación de Lee Enterprises a los reguladores de Maine y las advertencias de NHS England sobre los datos de pacientes muestran la estela de cumplimiento que deja una filtración.Lo que hace distintivo a Qilin
Sin la marca, unos cuantos hábitos operativos distinguen a Qilin:- La doble extorsión es estándar: los datos se exfiltran antes del cifrado y la publicación llega cuando vence el plazo — Synnovis y Lee Enterprises acabaron ambas en publicaciones de datos.
- Los objetivos se inclinan hacia organizaciones sensibles al tiempo — fabricantes, logística, hospitales, periódicos — donde una hora de inactividad tiene precio.
- Las vías de acceso incluyen phishing, explotación de aplicaciones expuestas y de servicios remotos como RDP, según informes del MS-ISAC; vía proveedores de servicios gestionados, los ataques de cadena de suministro han alcanzado a decenas de empresas a la vez — la operación "Korean Leaks" de septiembre de 2025 llegó a al menos 25 financieras surcoreanas.
- La evasión es una función: el ataque BYOVD a nivel de kernel y el loader en Rust documentados por Flashpoint, además de cifradores Linux ejecutados dentro de Windows Subsystem for Linux para esquivar EDR centrados en Windows, según SOCRadar.