Resumen de CTI: DragonForce, Qilin, Water Saci

Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza a DragonForce, un grupo de ransomware como servicio (RaaS) de tipo « » ( ) que se ha vuelto muy adaptable y peligroso. Asimismo, analizamos la evolución de Qilin hasta convertirse en una de las amenazas de ransomware más prolíficas a nivel mundial. Por último, analizamos una campaña activa denominada «Water Saci», dirigida a los usuarios de WhatsApp.

DragonForce amplía su influencia

El último informe «Ransomware Spotlight» de Trend Micro, , analiza en profundidad a DragonForce: un grupo de RaaS detectado por primera vez en 2023 y que actualmente se considera uno de los actores más agresivos del ecosistema. El grupo ha evolucionado rápidamente, pasando de ataques basados en «builder» filtrados a un modelo totalmente impulsado por afiliados.

Conocido como «Water Tambanakua», DragonForce emplea técnicas avanzadas de evasión, como «traiga su propio controlador vulnerable» (BYOVD), y admite ataques multiplataforma en Windows, Linux, ESXi y NAS. Aprovecha cargas útiles multivariantes, reutilizando los generadores filtrados de LockBit y Conti en lugar de basarse en una única familia de ransomware. Los afiliados reciben hasta el 80 % de los ingresos procedentes de los rescates, además de herramientas para la gestión y la personalización de los ataques.

En 2025, DragonForce se reconvirtió en un cártel de ransomware, animando a sus afiliados a crear sus propias marcas al tiempo que utilizaban recursos compartidos. En June 2025, se relacionó a este grupo con varios casos de filtraciones de datos de gran repercusión en el sector minorista del Reino Unido . En agosto, lanzó un servicio de análisis de datos que elabora material de extorsión a medida —como guiones de llamadas e informes pseudojurídicos— dirigido a organizaciones con unos ingresos anuales de al menos 15 millones de dólares.

Tendencias y objetivos clave

Trend Micro ha determinado que DragonForce ha tenido un mayor impacto en Estados Unidos que en cualquier otro país. Entre los sectores más afectados se encuentran la industria manufacturera, la construcción y las tecnologías de la información. Las víctimas van desde pequeñas empresas hasta grandes empresas, lo que refleja el enfoque oportunista del grupo.

Cronología de DragonForce

• 2023: Primeros ataques mediante el generador de LockBit 3.0 filtrado
• A mediados de 2024: se puso en marcha el programa de afiliados « »; se lanzó un ransomware propio, seguido de una variante para Linux
• Número 2025 de junio: Se relaciona a « » con los atentados contra comercios en el Reino Unido
• Marzo de 2025: El cambio hacia un modelo de cártel
• Agosto de 2025: Lanzamiento del servicio de análisis de datos para afiliados

Cadena de infección y detalles técnicos

DragonForce aprovecha vulnerabilidades conocidas (por ejemplo, Ivanti Connect Secure, Log4Shell) para obtener acceso inicial, a menudo a través de Scattered Spider como intermediario de acceso inicial. El ransomware puede cifrar unidades fijas, extraíbles y de red, y cuenta con una lista de cadenas y extensiones que excluirá durante el proceso de cifrado.

Además, utiliza cuentas de administrador comprometidas para garantizar la persistencia, la suplantación de tokens para la escalada de privilegios y herramientas como PsExec, WMI y SimpleHelp RMM para el movimiento lateral.

[Anticípese a las amenazas emergentes: descubra cómo los nuevos paneles de control de Tanium Guardian para pymes y RMM ofrecen visibilidad de los riesgos en tiempo real y medidas correctivas]

Se sabe que DragonForce desactiva herramientas y servicios de seguridad para eludir los sistemas de defensa, entre otras cosas, y que utiliza herramientas de extracción de credenciales como Mimikatz y LaZagne.

Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium

El cambio experimentado por el grupo, que ha pasado de utilizar versiones preliminares filtradas a crear su propio ransomware y a adoptar una estructura similar a la de un cártel, pone de manifiesto una tendencia hacia la profesionalización en el ecosistema del ransomware, lo que dificulta tanto la atribución como la desarticulación.

Es probable que DragonForce pueda mantener su éxito y su protagonismo gracias a sus generosas comisiones a los afiliados y al uso de técnicas como BYOVD, que suelen observarse en campañas APT más avanzadas.

Qilin se perfila como una de las principales amenazas mundiales de ransomware

Cisco Talos ofrece información sobre la transformación del grupo de ransomware Qilin en una de las amenazas de ransomware más prolíficas a nivel mundial, revelando que se registraron más de 40 víctimas al mes durante la segunda mitad de 2025. El grupo opera bajo un modelo RaaS y recurre a la doble extorsión, combinando el cifrado de archivos con la filtración de datos públicos.

Qilin, anteriormente conocida como Agenda y en activo desde July 2022, se dirige a una amplia gama de países, aunque centra especialmente su actividad en Estados Unidos, Canadá y el Reino Unido, con presencia adicional en Francia y Alemania. Qilin también se centra en varios sectores, entre los que destacan la industria manufacturera, seguida de los servicios profesionales y científicos, y el comercio mayorista.

En octubre, Qilin, DragonForce y LockBit anunciaron una alianza estratégica. Según ReliaQuest, esta colaboración permitirá a los grupos compartir técnicas, recursos e infraestructura, lo que reforzará las capacidades de cada uno de ellos.

Explicación de las tácticas, técnicas y procedimientos (TTP) de Qilin

• Acceso inicial: Cisco Talos ha evaluado, con un grado de confianza moderado, que es probable que los atacantes hayan hecho uso indebido de credenciales filtradas para obtener acceso a la VPN y que, posiblemente, hayan utilizado cambios en la política de grupo de Active Directory para habilitar el RDP.
  [No permita que las credenciales comprometidas se conviertan en una puerta abierta: descubra cómo reforzar la seguridad de Active Directory y detener a los atacantes antes de que se desplacen lateralmente]
  En un caso concreto, Cisco Talos identificó varios intentos de autenticación NTLM contra la VPN tan solo dos semanas después de que las credenciales quedaran expuestas en la dark web. La autenticación multifactorial (MFA) no se ha configurado en la VPN.
• Reconocimiento y detección: Se ha observado que el grupo ejecuta nltest.exe y net.exe para enumerar los controladores de dominio.
  Cisco Talos también observó que el actor evaluaba los niveles de privilegios de diversos usuarios utilizando el comando whoami , junto con tasklist y netscan para la detección de procesos y redes.
• Acceso a credenciales y sustracción de datos: En los incidentes analizados por Cisco Talos, se detectó una carpeta protegida con contraseña que contenía herramientas que podían utilizarse para el robo de credenciales. Cisco Talos no ha podido examinar todos los archivos de esta carpeta, pero considera que «esto apunta al uso de Mimikatz, varias utilidades de recuperación de contraseñas publicadas por NirSoft y archivos de scripts personalizados».
  El registro se modificó activando la opción « » y «WDigest UseLogonCredential», lo que permitió que las credenciales se almacenaran en memoria en texto sin cifrar. Posteriormente, los datos se consolidaron en un único archivo de texto y se extrajeron a un servidor SMTP controlado por el atacante.
• Pruebas de la exfiltración: Los atacantes empaquetaron los datos sustraídos utilizando WinRAR y, durante la inspección manual, utilizaron herramientas de código abierto como mspaint.exe, notepad.exe y iexplore.exe para examinar archivos y buscar información relevante.
  Más recientemente, el grupo ha estado utilizando una herramienta de código abierto llamada Cyberduck para permitir la transferencia de archivos a servidores en la nube —a menudo a Backblaze—, utilizando configuraciones de carga multiparte para facilitar la exfiltración a gran escala y camuflar la actividad entre el tráfico legítimo.
• Ampliación de privilegios y movimiento lateral: . Las credenciales sustraídas permitieron el acceso a varias direcciones IP y recursos compartidos de red. Los atacantes modificaron la configuración del cortafuegos y del RDP, añadieron cuentas al grupo de administradores locales y crearon recursos compartidos de red que otorgaban control total. Entre las herramientas de RMM detectadas se encuentran AnyDesk, ScreenConnect y QuickAssist.

[Los piratas informáticos no necesitan malware cuando pueden engañar a su servicio de asistencia técnica: descubra cómo detener la ingeniería social antes de que le abra las puertas a sus datos]

• Evasión de la defensa: El autor utilizó un script de PowerShell ofuscado para desactivar AMSI y la validación de certificados TLS, y habilitar el modo de administrador restringido. El actor también intentó desactivar el EDR utilizando herramientas como «dark-kill» y «HRSword».
• Repercusiones e impedimento de la recuperación: Cisco Talos señaló que se utilizaron herramientas de acceso remoto, como el cargador de Cobalt Strike y SystemBC, antes de la ejecución del ransomware.
• Ransomware Qilin: Cisco Talos también ha detectado la variante Qilin.B, que destaca por su estrategia de doble cifrado y sus ataques avanzados dirigidos a entornos virtualizados. Esta variante permite la implementación de dos programas de cifrado:
  1. encryptor_1.exe, que se propaga a través de PsExec por múltiples hosts 2. encryptor_2.exe, que se ejecuta desde un único sistema para cifrar numerosos recursos compartidos de red

Además, esta variante utiliza comandos de PowerShell para enumerar los nombres de host de Active Directory e instalar módulos RSAT; ataca de forma agresiva los entornos ESXi cambiando las contraseñas de root y desactivando las protecciones de los clústeres; y modifica la configuración de los enlaces simbólicos mediante los comandos « » y «fsutil » para obtener un acceso más amplio a los archivos.

A continuación, el actor comenzará a desplazarse lateralmente, realizará cambios en el Servicio de instantáneas de volumen, eliminará todas las instantáneas y colocará la nota de rescate en cada carpeta cifrada. Cada nota de rescate incluye una URL de Tor para la negociación y un identificador único de la víctima integrado en la extensión del archivo, lo que permite acceder a un portal específico para el pago y las instrucciones.

Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium

El uso por parte de Qilin de cifradores duales, la exfiltración basada en la nube y herramientas de acceso remoto como AnyDesk y ScreenConnect refleja una arquitectura de ataque madura y modular. Además, su capacidad para adaptarse a distintos entornos, como Windows, ESXi y la nube, demuestra un profundo conocimiento de la infraestructura empresarial.

Dicho esto, no es de extrañar que Qilin se haya consolidado como un grupo de RaaS tan activo y exitoso. Su capacidad para identificar a más de 40 víctimas al mes es impresionante y la convierte en una operación de alcance mundial y a gran escala.

«Water Saci» se difunde a través de WhatsApp

Trend Micro ha publicado recientemente un estudio sobre una campaña de malware activa denominada «Water Saci», que ataca las sesiones de WhatsApp Web a través de una cadena de infección que se propaga de forma autónoma. El malware utiliza cargadores basados en scripts (VBS + PowerShell) para ejecutarse sin archivos, secuestra sesiones del navegador y automatiza el envío de mensajes de WhatsApp con el fin de propagar base64-encoded archivos ZIP maliciosos con nombres aleatorios a todos los contactos y grupos. Destaca por su persistencia avanzada y el control de comandos en tiempo real a través del correo electrónico, y comparte tácticas con el troyano bancario Coyote.

Detalles de la cadena de ataque

La investigación de Trend Micro reveló que Water Saci utiliza una cadena de infección muy estructurada que se inicia a través de WhatsApp Web. La campaña comienza con descargas de archivos sospechosos y evoluciona hasta llegar al secuestro total de la sesión y a la propagación automatizada.

Las etapas clave son las siguientes:

• Primera fase: El ataque comienza cuando la víctima descarga y descomprime un archivo ZIP denominado « Orcamento-2025*.zip». En su interior se encuentra un descargador VBS ofuscado (Orcamento.vbs) que emite un comando de PowerShell para ejecutar tadeu.ps1 directamente en memoria mediante New-Object Net.WebClient, lo que permite la ejecución sin archivos y recurre a los valores predeterminados codificados si no se puede acceder a C2 .
• Configuración engañosa: El script de PowerShell muestra un banner en el que se afirma que se trata de «WhatsApp Automation v6.0» y, a continuación, establece comunicación con su infraestructura de mando y control (C2) para recuperar listas de destinatarios, plantillas de mensajes y configuraciones de temporización. Crea un espacio de trabajo temporal, descarga la biblioteca de automatización WA-JS de GitHub y guarda una carga útil maliciosa para su uso posterior.
• Secuestro del navegador: El malware comprueba la versión de Chrome instalada, descarga el ChromeDriver adecuado e instala el módulo de Selenium para PowerShell con el fin de automatizar tareas en el navegador. Cierra los procesos de Chrome, borra las sesiones antiguas y copia el perfil de Chrome de la víctima (cookies y tokens) para eludir la autenticación de WhatsApp sin necesidad de escanear el código QR. Chrome se relanza con opciones de automatización diseñadas para eludir la detección, y se inyecta WA-JS para obtener un control total sobre WhatsApp.
• Propagación y exfiltración: . Una vez activa la sesión secuestrada, el malware recopila todos los contactos de WhatsApp y los exfiltra al C2. A continuación, distribuye archivos ZIP maliciosos utilizando la codificación base64 , nombres de archivo aleatorios y mensajes personalizados, mientras que los atacantes mantienen un control en tiempo real para pausar, reanudar y supervisar la campaña en todos los equipos infectados.

Puerta trasera SORVEPOTEL

El archivo ZIP descargado contiene « » y «Orcamento.vbs», también conocido como la puerta trasera SORVEPOTEL. Este componente utiliza técnicas avanzadas contra el análisis, entre las que se incluyen comprobaciones de idioma para restringir la ejecución a sistemas en portugués, detección de depuradores y un mutex basado en WMI para garantizar la ejecución de una única instancia. Si se detectan herramientas de análisis, el malware activa una rutina de autodestrucción.

La persistencia se logra mediante mecanismos multivectoriales, entre los que se incluyen modificaciones en el registro y tareas programadas que utilizan una copia guardada denominada « », «WinManagers.vbs» ( ) en «», «C:\ProgramData\WindowsManager\» ().

Trend Micro considera que la característica más sofisticada de SORVEPOTEL es su arquitectura C2 de doble canal:

• Recuperación a través del correo electrónico: . El malware utiliza conexiones IMAP a cuentas de correo electrónico de terra.com.br, cuyos datos están predefinidos, para obtener C2 direcciones URL de servidores y datos de configuración. Estos correos electrónicos contienen varios tipos de URL (puntos de acceso a datos, servidores de copia de seguridad y envío de cargas útiles de PowerShell). Posteriormente, los atacantes implementaron la autenticación multifactorial (MFA) en estas cuentas, lo que, si bien supuso retrasos operativos, mejoró la seguridad de su infraestructura.
• Sondeo HTTP para el control en tiempo real: . Una vez recuperadas las URL, el malware pasa a realizar un sondeo HTTP intensivo para la ejecución de comandos en tiempo real. Este mecanismo permite a los atacantes detener, reanudar y coordinar operaciones similares a las de una red de bots en los equipos infectados, lo que garantiza un control dinámico y una gran capacidad de adaptación durante las campañas.

Entre los comandos compatibles se incluyen la recopilación de información del sistema, la ejecución de PowerShell, la captura de capturas de pantalla, la enumeración de procesos, las operaciones con archivos y el control de la alimentación del sistema (reinicio/apagado), entre otros.

La evolución de Water Saci y sus posibles vínculos con Coyote

El análisis de Trend Micro revela que Water Saci presenta importantes similitudes técnicas y operativas con el troyano bancario Coyote, lo que sugiere que ambas campañas podrían tener su origen en el mismo ecosistema de ciberdelincuentes brasileños.

Entre los solapamientos más importantes se incluyen:

• Uso del secuestro de sesiones de WhatsApp Web para la autopropagación
• Automatización del navegador mediante ChromeDriver y Selenium, combinada con la inyección de WA-JS
• Técnicas avanzadas contra el análisis, como las comprobaciones del idioma portugués y la detección de depuradores
• Presencia persistente mediante modificaciones en el Registro, tareas programadas y scripts ejecutados

Estas coincidencias ponen de manifiesto una tendencia más amplia: los autores de amenazas están pasando de utilizar cargas útiles ruidosas y compiladas a ataques sigilosos basados en scripts que se aprovechan de perfiles legítimos de navegadores y plataformas de mensajería.

Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium

El cambio hacia WhatsApp Web como vector de infección pone de manifiesto una evolución significativa en las tácticas de ingeniería social de . Los autores de amenazas están aprovechando ahora las plataformas de comunicación de confianza para eludir las defensas tradicionales basadas en el correo electrónico y sacar partido de la familiaridad de los usuarios con ellas.

El hecho de que la campaña utilice la ejecución sin archivos y las capacidades de control en tiempo real también dificulta su detección y contención. Conviene estar atentos a esta amenaza, sobre todo teniendo en cuenta su evolución y sus capacidades más recientes.

¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.

Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.