En enero de 2026 apareció en circulación una nueva variante para Linux del ransomware Qilin (antes conocido como Agenda), pensada específicamente para atacar entornos de virtualización VMware ESXi. Es de las primeras familias de ransomware que se centra tanto en los hipervisores ESXi, un blanco cada vez más buscado: cifrar un solo host basta para dejar fuera de juego decenas de máquinas virtuales a la vez.
Qué es y cómo funciona
Qilin es una operación de ransomware como servicio (RaaS) que empezó siendo “Agenda” en agosto de 2022 y pasó a llamarse Qilin en septiembre de ese mismo año. La muestra nueva es un cifrador multiplataforma: al arrancar comprueba si corre sobre Linux, FreeBSD o un servidor VMware ESXi y ajusta su comportamiento según el caso.
Lo que llama la atención del binario es su flexibilidad. Acepta configuración embebida y argumentos de línea de comandos con los que el atacante puede activar un modo de depuración, lanzar un escaneo de prueba (dry-run), elegir si cifra o no las máquinas virtuales y sus snapshots, y ajustar listas blancas y negras de directorios, extensiones de fichero y procesos.
A quién afecta
El objetivo principal son los servidores VMware ESXi, junto con sistemas Linux y FreeBSD. El cifrador va a por los directorios con más valor —bases de datos, almacenamiento de virtualización y copias de seguridad— y deja fuera rutas críticas del sistema como /boot/, /proc/ y /sys/ para no romper el host antes de terminar el cifrado. Cuando acaba, añade una extensión configurada a los ficheros y deja una nota de rescate en cada carpeta afectada.
Lo más dañino es cómo trata las máquinas virtuales: antes de cifrar, apaga las VM y borra sus snapshots con comandos propios de ESXi como esxcli y esxcfg-advcfg, algo que casi no se ve en otros cifradores de ESXi. Al eliminar los snapshots, recuperar sin pagar el rescate se vuelve mucho más difícil.
Gravedad
El impacto es alto. Qilin ha sido uno de los grupos de ransomware más prolíficos, con cientos de víctimas y rescates que van desde unos 25.000 dólares hasta varios millones. Que el cifrador apague máquinas virtuales y borre snapshots de forma automática lo hace especialmente peligroso para centros de datos y proveedores que concentran sus cargas de trabajo en ESXi.
Mitigación y recomendaciones
Aquí no hay una vulnerabilidad concreta con su parche, sino una herramienta de cifrado que se despliega tras un acceso inicial, así que la defensa tiene que ser en profundidad:
- Mantén copias de seguridad fuera de línea o inmutables, que no se puedan alcanzar desde el propio host ESXi.
- Restringe y vigila el acceso administrativo a ESXi y al vCenter; usa autenticación multifactor.
- Activa el modo de bloqueo (lockdown mode) de ESXi y limita el shell SSH.
- Vigila la ejecución inesperada de comandos
esxcliyesxcfg-advcfgy el apagado masivo de VM. - Aplica los parches de VMware y segmenta la red de gestión.