CISA alerta por SafePay y Qilin en infraestructura

SafePay quedó bajo alerta conjunta de CISA, el FBI, el Servicio Secreto estadounidense y socios de Alemania y Reino Unido, que lo describieron como una de las operaciones de ransomware más activas y le atribuyeron aproximadamente 600 víctimas en sectores de infraestructura crítica de América, Europa y Australia. En paralelo, Hunt.io describió a Qilin, también rastreado como Agenda, como una operación ransomware-as-a-service con acceso inicial mediante credenciales robadas y dispositivos perimetrales, doble extorsión y un cifrador multiplataforma para Windows, Linux y ESXi.

¿Qué dijo el aviso sobre SafePay?

El aviso conjunto informó que SafePay impactó aproximadamente 600 organizaciones de infraestructura crítica y que el material difundido incluye indicadores de compromiso, TTPs, acciones de respuesta y mitigaciones. También recomendó corregir con urgencia vulnerabilidades explotadas conocidas y realizar triaje forense para determinar si hubo compromiso.

La cobertura independiente del aviso identificó entre las vulnerabilidades asociadas a la actividad de SafePay CVE-2020-3259 y CVE-2023-20269, aunque ese detalle debe leerse como parte del resumen del aviso y no como confirmación de explotación en cada incidente. Security Affairs añadió que las autoridades recomendaron mantener actualizados los dispositivos expuestos a Internet, especialmente VPN y firewalls, priorizar vulnerabilidades del catálogo KEV de CISA y habilitar MFA para VPN, correo web y cuentas con acceso a sistemas críticos.

¿Qué TTPs se atribuyen a SafePay y Qilin?

SafePay obtiene acceso inicial mediante exposición de credenciales, ataques de fuerza bruta y explotación de dispositivos VPN perimetrales, y después combina exfiltración previa al cifrado con doble extorsión. Aviatrix también documentó eliminación de shadow copies y de respaldos de almacenamiento conectado a red, lo que apunta a una secuencia orientada a dificultar la recuperación.

Qilin, de acuerdo con Hunt.io, opera como ransomware-as-a-service y sus afiliados acceden mediante dispositivos perimetrales y credenciales robadas. La operación usa doble extorsión y un cifrador multiplataforma que apunta a Windows, Linux y ESXi, un detalle que amplía el rango de entornos que puede afectar.

¿Qué alcance regional marcan estas campañas?

El material disponible no atribuye incidentes específicos a países de América Latina, pero sí muestra que las tácticas documentadas giran alrededor de vectores muy presentes en la región, como VPN, firewalls y otros dispositivos expuestos a Internet. En ese marco, el aviso sobre SafePay y la descripción técnica de Qilin sirven como referencia para sectores críticos que dependan de esos accesos perimetrales y de credenciales reutilizadas o robadas.

La advertencia oficial se centra en infraestructura crítica de varias regiones y en la necesidad de revisar exposición, vulnerabilidades conocidas y controles de autenticación. En el caso de SafePay, el mensaje conjunto también subraya que las organizaciones deben revisar forensemente sus entornos si detectan indicios de compromiso, mientras que la ficha de Qilin confirma que sus afiliados trabajan con un modelo de operación ya industrializado.

¿Qué conviene tener presente sobre las víctimas listadas?

Los listados públicos de víctimas de Qilin y Dire Wolf deben leerse como reclamos o metadatos públicos, no como intrusiones confirmadas de manera independiente. Esa distinción es clave para no sobredimensionar atribuciones que todavía dependen de la verificación de cada caso, en particular cuando el material solo expone presencia en sitios o listados de la operación.