Ola de Bots impulsan el caos DDoS en el 2026

El ecosistema de botnets continúa evolucionando rápidamente, impulsado por una avalancha de hardware de consumo y pequeñas oficinas con poca seguridad. Todo, desde routers y cámaras web hasta dispositivos de streaming Android TV no autorizados, se ha convertido en parte de un sustrato global que impulsa operaciones DDoS persistentes.

Kimwolf: una botnet sigilosa que se infiltra en redes corporativas y gubernamentales

La botnet Kimwolf se ha infiltrado silenciosamente en entornos corporativos, gubernamentales y municipales. Como informó Krebs on Security, Kimwolf se esconde en equipos de oficina y routers domésticos de uso diario que nunca fueron reforzados para la exposición a nivel empresarial.

Informes adicionales muestran que Kimwolf utiliza canales de comunicación sigilosos que cambian dinámicamente para evadir la detección. Un vector importante en la propagación de Kimwolf son los dispositivos Android TV no autorizados o clonados, que a veces incluyen malware preinstalado o componentes de acceso remoto inseguros. Una vez conectados a una red doméstica o de una pequeña oficina, exponen shells remotos o interfaces de administración que los atacantes pueden usar fácilmente como arma.

Dentro de las redes empresariales, los dispositivos comprometidos actúan como puntos de apoyo duraderos, permitiendo el movimiento lateral y convirtiendo la infraestructura interna en participantes involuntarios en campañas DDoS a gran escala.

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Kimwolf
• Propagación: Dispositivos IoT y streaming Android
• Vector: Debilidades en cadena de suministro
• Objetivo: Redes corporativas y gubernamentales
• Activo: Desde el 2025

Aisuru: El predecesor que estableció récords globales de DDoS

Antes de Kimwolf, Aisuru demostró lo destructiva que puede ser la explotación automatizada del IoT. Según Cybersecurity Dive , Aisuru lideró múltiples ataques DDoS que batieron récords, incluyendo una campaña en la que el volumen de tráfico superó los picos globales anteriores por un margen significativo.

Aisuru compromete rápidamente modelos de dispositivos predecibles a menudo hardware IoT de gama baja con firmware obsoleto, infectando miles de dispositivos en cuestión de horas. Estos nodos comprometidos generan inundaciones volumétricas masivas, rotan los vectores de ataque dinámicamente y saturan los sistemas de mitigación globales.

Una campaña distintiva de Aisuru atacó a varios proveedores de servicios a la vez, desplazando la carga en tiempo real a medida que los defensores intentaban mitigar el ataque. El análisis de amenazas Q325 de Cloudflare explora esta escalada más amplia en cuanto a la escala y sofisticación de los ataques DDoS.

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Aisuru
• Propagación: Escaneo y explotación automatizados de dispositivos IoT vulnerables
• Vector: Autenticación débil, firmware obsoleto y valores predeterminados inseguros en la cadena de suministro
• Objetivo: Redes de consumidores y empresas a nivel mundial
• Activo: Desde el 2024

Mirai y la nueva generación de variantes de botnets IoT

Casi una década después de su debut, Mirai sigue siendo una de las familias de botnets más persistentes y ampliamente adaptadas de internet. Su perdurabilidad se debe a la oferta masiva y en constante renovación de dispositivos IoT inseguros: routers, DVR, cámaras inteligentes y dispositivos de bajo coste que se entregan con firmware obsoleto y credenciales indeseables. Las variantes modernas de Mirai se han expandido mucho más allá de la botnet original de código abierto. Entre las variantes emergentes como Katana, Satori y otras bifurcaciones se incluyen:

Grandes bibliotecas de exploits que atacan a docenas de vulnerabilidades de IoT a la vez. 

Motores de propagación más rápidos capaces de comprometer miles de dispositivos por hora.

Técnicas evasivas de comando y control, incluyendo flujo de dominio y canales de comando cifrados.

Módulos que se actualizan automáticamente, lo que permite a los atacantes lanzar rápidamente nuevos exploits a medida que aparecen.

Los investigadores señalan que muchos dispositivos infectados con Mirai sufren ciclos de vida de firmware descuidados, lo que significa que rara vez reciben parches, lo que da como resultado un grupo de nodos vulnerables de larga duración que impulsan una actividad DDoS sostenida.

Datos de suma importancia:

• Tipo: Botnet, DDoS
• Malware: Mirai y variantes modernas (Satori, restos de Mozi, Katana)
• Propagación: Explotación automatizada de dispositivos loT inseguros.
• Vector: Credenciales predeterminadas, firmware sin parches, servicios expuestos (API Telnet/SSH/HTTP)
• Objetivo: Redes de consumidores y empresas a nivel mundial
• Activo: Desde el 2024

Conclusión

El crecimiento de botnets como Kimwolf, Aisuru y Mirai subraya una verdad fundamental: la cadena de suministro global de dispositivos domésticos y de IoT es ahora un campo de batalla central para las operaciones DDoS.

Los atacantes se benefician de un suministro infinito de hardware inseguro: Dispositivos IoT económicos con configuraciones predecibles. Equipos domésticos con interfaces de gestión expuestas. Dispositivos que rara vez reciben actualizaciones de firmware. Ecosistemas de proveedores con valores predeterminados débiles y pruebas inconsistentes.

Qilin en 2026: Crecimiento acelerado, mayor agresividad y un riesgo que se vuelve insostenible

Introducción

El grupo de ransomware Qilin inicia 2026 con una actividad más intensa que nunca. Lejos de desacelerarse, el actor de amenazas ha incrementado su volumen de ataques, ampliado su alcance sectorial y elevado su nivel de riesgo operativo.
Sin embargo, este crecimiento acelerado no está exento de consecuencias: la historia demuestra que los grupos de ransomware que cruzan ciertos límites —especialmente en sectores críticos— suelen enfrentar colapsos repentinos.

Este análisis explora la evolución de Qilin, su desempeño reciente y por qué su propia estrategia podría convertirse en su principal amenaza.

Puntos clave

• Qilin acelera su actividad en 2026, registrando 55 víctimas en las primeras semanas del año, superando el ritmo de 2025.
• La falta de restricciones sectoriales (incluida la atención médica y servicios públicos) incrementa el riesgo de consecuencias catastróficas.
• El crecimiento del grupo es frágil, ya que muchos de sus afiliados no son leales y han abandonado otras operaciones RaaS ante señales de inestabilidad.
• La historia del ransomware es clara: ataques de alto impacto suelen atraer una presión regulatoria y policial que termina por desmantelar a los grupos.

De la incertidumbre al auge: la evolución de Qilin

Cuando Qilin fue perfilado a mediados de 2025, existían dudas legítimas sobre su supervivencia. Su rápido crecimiento se apoyó, en gran parte, en afiliados provenientes de operaciones de ransomware como servicio (RaaS) que ya habían colapsado, como RansomHub y LockBit.

Estos afiliados aportaron:

• Experiencia operativa
• Capacidad técnica
• Ritmo acelerado de ataques

Pero también dejaron claro algo fundamental: no eran afiliados leales. Ya habían demostrado que abandonarían cualquier operación ante el menor signo de riesgo.

Aun así, contra todo pronóstico, Qilin no solo sobrevivió, sino que prosperó.

El impacto real de los ataques de alto perfil

En febrero de 2025, Qilin obtuvo acceso a un proveedor clave del sistema de salud de Londres. El impacto fue devastador:

• Más de 170 casos de daño a pacientes
• Dos casos de daño permanente o a largo plazo
• Una muerte confirmada

Este tipo de disrupción no pasa desapercibida. Los ataques contra infraestructura crítica históricamente han marcado el principio del fin para múltiples grupos de ransomware.

Lecciones del pasado

Otros grupos han colapsado tras cruzar límites similares:

• DarkSide desapareció tras el ataque al Oleoducto Colonial, luego de una presión directa de EE. UU.
• ALPHV/BlackCat se disolvió tras el ataque a Change Healthcare, posiblemente debido al impacto en el acceso a medicamentos.
• Black Basta cerró operaciones después del ataque a Ascension Health, cuando incluso sus propios miembros reconocieron el riesgo extremo de atraer al FBI y la CISA.

Estos precedentes refuerzan una conclusión clara: los ataques contra servicios esenciales generan una presión insostenible.

Qilin en cifras: 2025 y el arranque de 2026

Durante 2025, Qilin mostró cifras alarmantes:

• Más de 1,000 víctimas publicadas en su sitio de filtraciones
• Más de 40 víctimas mensuales en el segundo semestre
• El sector manufacturero fue el más afectado (≈23 % de los ataques)
• El grupo afirmó haber robado 31.2 petabytes de datos, principalmente de un solo fabricante (cifras no verificadas)

2026: un ritmo aún más agresivo

Apenas iniciado el año, Qilin ya ha publicado 55 víctimas adicionales en su sitio de filtraciones. Aunque estas afirmaciones aún no han sido verificadas, varias publicaciones incluyen muestras de datos presuntamente robados, lo que refuerza su credibilidad operativa.

Si esta tendencia continúa, Qilin superará fácilmente sus cifras récord de 2025.

Una amenaza consolidada… pero vulnerable

Qilin cuenta con:

• Una plataforma de ransomware sofisticada
• Capacidad de adaptación rápida a nuevas defensas
• Una presencia consolidada en el ecosistema de amenazas

Todo indica que seguirá siendo un actor dominante durante el primer semestre de 2026. Sin embargo, ningún grupo de ransomware es invulnerable.

Factores que podrían provocar su colapso

• Divisiones internas que deriven en filtraciones o cooperación con autoridades
• Ataques de alto perfil que atraigan demasiada atención mediática y gubernamental
• Interrupciones sostenidas de infraestructura, que provoquen la huida de afiliados

El mayor enemigo de Qilin: su propia estrategia

Qilin no impone límites claros a sus afiliados. No evita:

• Proveedores de atención médica
• Servicios municipales
• Infraestructura crítica
• Organizaciones que sostienen la salud y el bienestar público

Este enfoque sin restricciones maximiza ganancias a corto plazo, pero multiplica exponencialmente el riesgo. Basta un solo ataque mal calculado para paralizar servicios esenciales de toda una región y desencadenar una respuesta coordinada de fuerzas del orden a nivel internacional.

Al no marcar ningún sector como “fuera de alcance”, Qilin se posiciona como su propio peor enemigo.

Conclusión

Qilin entra en 2026 más fuerte, más activo y más agresivo que nunca. Sin embargo, la historia del ransomware demuestra que este tipo de crecimiento descontrolado suele ser insostenible.
La combinación de ataques indiscriminados, afiliados poco leales y un escrutinio creciente convierte su éxito actual en una amenaza latente para su propia supervivencia.

El tiempo dirá si Qilin logra adaptarse y moderar su estrategia… o si se suma a la larga lista de grupos de ransomware que crecieron demasiado rápido y cayeron con la misma velocidad.

• 

  Cómo evolucionaron los ataques de phishing en 2025

  ---

  Temas principales en un ataque de PhaaS

  Los temas de phishing más comunes incluían mensajes falsos de pago, financieros, legales, de firma digital y relacionados con RH todos diseñados para engañar a los usuarios y hacer clic en un enlace, escanear un código QR o abrir un archivo adjunto y compartir información personal con los atacantes. Son enfoques probados y comprobados que llevan años existiendo, que falsifican marcas de confianza como Microsoft, DocuSign, SharePoint y más. Siguen teniendo éxito a pesar de la creciente conciencia de los usuarios y las medidas de seguridad cada vez más avanzadas.

  

  ---

  Estafas de pagos y facturas

  Los atacantes utilizaron IA generativa para producir correos electrónicos y solicitudes de pago de "factura atrasada" muy convincentes que coincidían estrechamente con el tono, estilo e imagen del servicio legítimo al que se estaban suplantando.

  Se incorporaron códigos QR en las facturas para desplazar a las víctimas de entornos de escritorio seguros a dispositivos móviles menos protegidos, aumentando las probabilidades de un ataque exitoso.

  ---

  Estafas de buzon de voz (vishing)

  Los correos electrónicos incluían enlaces a portales de "buzón de voz seguro" que recopilaban credenciales.

  Los atacantes también utilizaron IA generativa para generar múltiples variantes de correos y scripts de phishing, ayudando a que los correos pasaran por alto la detección y aumentaran la credibilidad.

  Se suplantaron direcciones de correo electrónico de confianza para que los ataques parecieran legítimos, e incluso copiaron el diseño y patrones familiares usados por servicios conocidos que gestionan notificaciones de buzón de voz.

  ---

  Estafas de documentos finacieros y legales

  Los atacantes usaron trucos de ingeniería social junto con IA generativa para eliminar cualquier error evidente que pudiera alertar a las víctimas. Al hacer que los mensajes resultaran más personales y adaptar constantemente sus patrones, dificultaron mucho que las víctimas distinguieran los correos maliciosos de los reales.

  Los atacantes utilizaron técnicas de spear phishing para investigar cuidadosamente cada organización, obteniendo información sobre sus principales ejecutivos e imitándolos de cerca. En algunos casos, secuestraron o utilizaron cuentas comprometidas para engañar a los empleados y que aprobaran transferencias fraudulentas.

  ---

  Estafas de revisión de firmas y documentos

  Los atacantes se hicieron pasar por un número creciente de plataformas de confianza con una marca de alta calidad y demandas "urgentes" para revisar y firmar.

  Incrustar códigos QR maliciosos en solicitudes de firma de aspecto auténtico trasladó el ataque a dispositivos móviles fuera del perímetro de seguridad corporativo.

  ---

  Estafas relacionadas con RH (Beneficios, nóminas, manual del empleado)

  Los ataques estaban alineados con los plazos fiscales y los ciclos de nómina para explotar la urgencia.

  Los códigos QR estaban incrustados en las "actualizaciones de políticas" para saltarse los filtros de correo electrónico.

  ---

  Técnicas populares utilizadas de phishing en 2025

  Las técnicas utilizadas por los kits de phishing durante 2025 fueron variadas e ingeniosas. Entre ellos se encontraban:

  • Ofuscaciones para ocultar URLs de la detección e inspección, observadas en el 48% de los ataques. Los atacantes también añadieron redirecciones abiertas y pasos de verificación humana, haciendo que las URLs de phishing parezcan auténticas y más difíciles de bloquear.
  • Ataques que eluden la autenticación multifactor (MFA), por ejemplo, robando cookies de sesión (también observado en el 48% de los ataques).
  • Ataques que aprovecharon el CAPTCHA para mayor autenticidad y para ocultar destinos sospechosos (43%).
  • Códigos QR maliciosos (vistos en el 19%). Los atacantes empezaron a dividir los códigos QR en múltiples imágenes o a anidar códigos maliciosos dentro o alrededor de los legítimos para evadir la detección por parte de las herramientas de seguridad del correo electrónico.
  • Ataques 'polimórficos' que variaban la cabecera, el cuerpo y el destino del correo para confundir o retrasar la detección (20%).
  • Adjuntos maliciosos (18%).
  • El abuso de plataformas online legítimas y de confianza, como las utilizadas para la colaboración o el diseño (10%).
  • Ataques que aprovechan IA generativa, por ejemplo, el uso de plataformas no-code, CAPTCHAs generados por IA, comentarios y código (10%).
  • El uso de 'URI de blob', un tipo de dirección web utilizada para almacenar datos localmente en memoria, dificulta la detección de ataques con medidas tradicionales (2%).
  • El uso de técnicas de ingeniería social 'ClickFix', donde un usuario es engañado para ejecutar manualmente un comando malicioso (1%).

  

  ---