Qilin e Securotrop no segundo trimestre de 2026

Linha do tempo da operação

Cadeia de ataque e TTPs

O material permite reconstruir uma cadeia de ataque parcial, não um playbook completo. O ponto de partida verificado é a exploração de CVE-2026-50751 em dispositivos Check Point com configurações IKEv1 legadas. Essa condição técnica é importante porque limita o universo de vítimas potenciais às organizações que mantiveram acesso remoto legado, não exigiram certificado de máquina e expuseram seus gateways VPN à internet. Uma vez dentro, a sessão remota era estabelecida sem credenciais válidas, o que evitava a etapa típica de roubo ou força bruta de senhas.

Depois do acesso inicial, a Check Point observou tentativas de baixar payloads ELF a partir de infraestrutura controlada pelo atacante. Isso sugere uma fase de pós-exploração voltada a sistemas Linux. A referência não permite identificar com precisão o binário baixado nem sua função exata, mas permite ler que o atacante não se limitou a obter uma sessão interativa. Havia intenção de executar ou preparar carga adicional a partir de servidores próprios.

A Red Piranha adiciona uma peça útil para a análise de comportamento do Qilin. Em uma amostra analisada na ANY.RUN em 4 de junho de 2026, o ransomware executa o comando `vssadmin delete shadows /all /quiet` para apagar shadow copies no Windows e gera logs sob o caminho `QLOG\ThreadId(1).LOG`. Essa combinação é consistente com objetivos clássicos de ransomware, em que a exclusão de shadow copies busca dificultar a recuperação e o log interno serve para acompanhamento de execução ou depuração operacional. O achado, por si só, não prova a autoria do incidente na ATCOM nem em outras vítimas locais, mas se encaixa na identidade operacional do Qilin.

A atribuição do Securotrop merece leitura à parte. A Red Piranha o descreve como um grupo estabelecido no início de 2025 que opera dentro da rede de afiliados do Qilin, mantém um Data Leak Site próprio e utiliza o software do Qilin sem alterar o código original. Essa última frase, relatada como declaração pública do próprio grupo, é um sinal de marca afiliada. Não se trata de uma família de malware diferente, mas de uma etiqueta operacional que compartilha tooling e, provavelmente, infraestrutura de extorsão. A sobreposição de endereços onion entre o DLS do Securotrop e um link de extorsão do Qilin, confirmada por trackers independentes, reforça a relação.

TTPs observadas ou atribuídas

Impacto regional

Panorama regional

O material regional mostra uma atividade do Qilin distribuída e heterogênea, não uma campanha única e homogênea na América Latina. O Chile concentra o maior volume de referências públicas, tanto pela discussão sobre a ATCOM quanto pelo mapeamento de outras vítimas atribuídas ao grupo. A Argentina aparece em relatórios de terceiros e na cobertura da campanha de VPN, mas sem rastreabilidade pública suficiente para reconstruir um caso individual com IOCs. A Bolívia surge nos relatórios semanais da Scrutex como um dos países com vítimas reclamadas pelo Qilin no período de 8 a 14 de junho. O Peru mostra casos isolados e estatísticas agregadas, e a Colômbia fica mais associada a alertas setoriais do sistema financeiro do que a um expediente completo de intrusão. Brasil e Paraguai não trazem fatos verificáveis adicionais no material fornecido.

Argentina

Na Argentina, o material útil é curto, mas consistente em um ponto. A DeXpose indicou em 11 de junho que o Qilin teria atacado a Axionlog, descrita como um fornecedor líder de serviços logísticos no país, e alertou para a possível exposição de dados sensíveis. Essa afirmação fica classificada como atribuída pela fonte e não como confirmação independente, porque o material não traz IOCs, vetores nem evidência técnica para sustentá-la isoladamente.

O segundo elemento relevante é mais amplo e vem da Check Point Research, que em seu relatório de 15 de junho incluiu referências a organizações afetadas em vários países, entre eles a Argentina, dentro da campanha de CVE-2026-50751. O material disponível não nomeia outras vítimas argentinas associadas a essa exploração, mas a inclusão do país confirma que a campanha teve alcance regional e não se limitou aos Estados Unidos ou à Europa.

O artigo da CM-Alliance publicado em 1º de julho reforça essa leitura geográfica ao colocar a Argentina dentro da cobertura dos maiores ciberataques de junho e resumir o vínculo entre o zero day de VPN e o Qilin. Ele não traz novos detalhes sobre vítimas ou vetores, mas mostra que a campanha seguiu relevante até o fechamento do mês.

Chile

O Chile é o país com maior densidade de fatos no corpus. Em 18 de junho, a FalconFeeds.io informou que a ATCOM Chile, empresa de outsourcing e staffing sediada no país, teria sido vítima do Qilin. No dia seguinte, Cyber News Live, Undercode News, Hendry Rahardja e o usuário chum1ng0 replicaram versões semelhantes, algumas baseadas em reclamações do próprio grupo e outras em menções na dark web ou em uma suposta lista de vazamento. O padrão é claro, mas a evidência continua sendo de atribuição aberta e não de confirmação técnica completa.

A ATCOM é relevante pelo tipo de empresa que é, não apenas pelo nome. As fontes a descrevem como um ator de outsourcing, staffing e recrutamento que aloca trabalhadores em todo o país. Nesse contexto, um incidente de ransomware impacta dados pessoais, continuidade operacional e serviços terceirizados para múltiplos clientes. Ainda assim, no material disponível não aparecem IOCs, amostras de malware nem uma nota forense que permita ir além da reclamação pública. Por isso, a nota precisa manter a etiqueta de provável ou alegado ao se referir à ATCOM.

O caso fica mais interessante quando cruzado com o mapa da ransomware.live para o Chile e com a análise "Chile bajo presión RaaS". O mapa, atualizado no fim de junho, registrou 74 vítimas para o país e listou a Comercial Echave Turri Limitada como atribuída ao Qilin, com data de descoberta em 2026-05-17. Na mesma página aparecem outras organizações chilenas associadas a grupos como Qilin, LockBit5 e Anubis, entre elas Noi Hotels, Graneles de Chile e Copec S.A., embora o nível de detalhe público não permita verificar cada associação.

O artigo no LinkedIn Pulse de 24 de junho avança ao caracterizar o Qilin como um grupo de ransomware-as-a-service de dupla extorsão, com motivação financeira, e, para o contexto chileno, listar como vítimas vinculadas ao grupo Valbifrut, Ducasse, Conectados Chile, Graneles e Noi Hotels. A peça também sustenta que a pressão sobre o ecossistema chileno responde ao modelo clássico de dupla extorsão, com criptografia e ameaça de publicação de dados. A ausência de TTPs específicas para cada caso obriga a tratar essa relação como uma moldura analítica de nível superior, não como confirmação individual de cada ataque.

O vínculo de infraestrutura entre Qilin e Securotrop também ganha relevância no Chile porque ajuda a interpretar a reutilização de marcas e da maquinaria de extorsão. Se o Securotrop opera como afiliado dentro do Qilin, o fato de diferentes fontes mencionarem o Qilin ou uma reclamação em seu site de vazamento não contradiz necessariamente a mesma cadeia operacional. Pode ser a mesma economia criminosa, apresentada com marcas públicas distintas conforme o afiliado ou o momento do ciclo de extorsão.

Paraguai

Não há fatos verificáveis adicionais no material fornecido para o Paraguai. A ausência de registros não deve ser interpretada como ausência de atividade, mas como falta de suporte documental dentro do corpus entregue.

Bolívia

A Scrutex incluiu a Bolívia em um conjunto de 30 países que tiveram entre uma e três vítimas reclamadas na semana de 8 a 14 de junho de 2026. No mesmo período, o Qilin liderou a atividade com 25 publicações em seu site de vazamento e 45 países afetados, segundo o levantamento do relatório. O dado é útil porque mostra alcance regional e confirma que a Bolívia não ficou fora do ciclo semanal de reclamações do grupo.

A Scrutex acrescenta um detalhe metodológico: pesquisadores da PRODAFT e da ReliaQuest vincularam a alta global de atividade do Qilin à exploração contínua de uma vulnerabilidade em dispositivos VPN. O relatório não atribui essa técnica às vítimas bolivianas em particular, nem identifica incidentes específicos no país. Por isso, a leitura mais prudente é que a Bolívia apareceu no radar das reclamações públicas do Qilin na mesma semana em que a campanha de VPN estava em plena circulação, sem maior precisão.

Peru

O relatório da Red Piranha, de 2 a 8 de junho, apontou incidentes isolados de ransomware com vítimas no Peru, equivalentes a aproximadamente 0,74 por cento dos casos globais do período. O documento não especifica quais grupos estiveram envolvidos, o que obriga a tratar esse dado como contexto estatístico e não como atribuição ao Qilin.

Ainda assim, o mesmo relatório ajuda a situar o Securotrop dentro do ecossistema do Qilin e a estender a leitura técnica ao ambiente regional. A Red Piranha descreve o Securotrop como um grupo afiliado, com DLS próprio e uso do software original do Qilin, e afirma que o endereço onion do site de vazamento do Securotrop também aparece como link de extorsão do Qilin em um tracker público. Em outras palavras, o ambiente operacional que afeta o Peru não se resume a um único nome, mas a um conjunto de marcas e sites de vazamento conectados.

A Red Piranha também traz uma peça técnica útil sobre o comportamento do Qilin. Em uma análise de amostras datada de 4 de junho, documentou a execução do comando vssadmin delete shadows /all /quiet e a geração dos arquivos de log QLOG\ThreadId(1).LOG. Essa evidência não aponta para uma vítima peruana específica, mas mostra o tipo de execução que pode ser esperado em uma intrusão atribuída à família Qilin ou à sua rede de afiliados.

Colômbia

A Colômbia aparece no material a partir de um ângulo setorial e de inteligência compartilhada. A ransomware.live mantém uma página dedicada ao país, onde rastreia supostas vítimas e datas de descoberta, incluindo atividade atribuída ao Qilin. O corpus, porém, não traz o detalhe de cada entrada colombiana, de modo que a menção funciona mais como sinal de acompanhamento público do que como expediente técnico completo.

A outra linha de informação vem do setor financeiro. A Chrysalis Ciberseguridad informou em 9 de junho que o CSIRT Financeiro da Asobancaria da Colômbia compartilhou informações sobre um "risco cibernético" que afeta um provedor crítico do setor financeiro colombiano. Uma publicação de Alberto Flores Merino, em 16 de junho, reforçou essa referência e a contextualizou com hashtags como #ransomware, #vpn, #checkpoint, #cisa e #zerotrust. O material não afirma de forma explícita que o caso seja Qilin, mas a associação contextual com a campanha da Check Point e a urgência regulatória é clara.

Esse padrão tem relevância operacional. Os alertas do ecossistema financeiro colombiano surgem na mesma janela temporal em que a CISA e a Check Point publicavam avisos sobre CVE-2026-50751. Embora o material não permita conectar diretamente o caso colombiano a um incidente confirmado do Qilin, ele sugere que a exposição de provedores críticos a VPN com IKEv1 legado era um problema compartilhado na região.

Brasil

Não há fatos verificáveis adicionais no material fornecido para o Brasil. A subseção é mantida de forma explícita para respeitar a estrutura exigida e evitar inferências sem base.

Estados Unidos

Os Estados Unidos funcionam neste corpus como centro regulatório e de observação técnica. Em 9 de junho, a CISA determinou que as agências FCEB corrigissem CVE-2026-50751 até 11 de junho, depois de confirmar a exploração em ataques de dia zero por afiliados do Qilin. A ordem se apoiou na inclusão da falha no catálogo KEV, o que acelerou a priorização em ambientes regulados.

O aviso da CISA citado pela BleepingComputer explicou que o bug permitia que atacantes remotos não autenticados contornassem a autenticação e estabelecessem uma conexão VPN de acesso remoto em dispositivos Check Point Mobile Access/SSL VPN, Remote Access VPN ou Spark. A Rapid7 acrescentou que a falha estava restrita a implantações com IKEv1 legado, sem certificado de máquina, e que a exposição operacional havia se limitado a algumas dezenas de organizações até o início de junho.

A SecurityWeek complementou o cenário ao informar que [ao menos um ataque havia sido confirmado como realizado por um afiliado do Qilin](https://www.securityweek.com/check-point-vpn-zero-day-exploited-in-qilin-ransomware-attacks/) e que a Check Point avaliava com confiança média o vínculo do ator com essa família. BleepingComputer e CybersecurityDive destacaram a resposta coordenada, que incluiu patches de emergência, revisão de logs e desativação do IKEv1. The Register, por sua vez, fixou a cronologia com início em 7 de maio e aumento visível no começo de junho.

O material também menciona o Securotrop em um caso nos Estados Unidos ainda não confirmado. Hendry Rahardja publicou sobre a Charisma Media, uma organização nos Estados Unidos, como possível vítima do Securotrop, com 808 GB de dados reclamados. O caso continua pendente de confirmação e não deve ser misturado aos fatos confirmados ligados à campanha da Check Point.

Indicadores técnicos

Não foram identificados, dentro do material fornecido, domínios operacionais adicionais, endereços onion completos, IPs concretos ou amostras binárias com hash suficiente para ampliar a lista de IOCs além do que já foi citado pelas fontes. O corpus menciona que a Check Point publicou blocos de IP associados à campanha, mas esses valores completos não aparecem no texto consolidado, então não devem ser inventados.

Análise para equipes de segurança

A primeira leitura operacional é direta. Se uma organização mantém Check Point Remote Access VPN ou Mobile Access com IKEv1 habilitado e sem exigência de certificado de máquina, a exposição não é teórica. O material mostra exploração em ambiente real, associação com atividade de ransomware e resposta emergencial do ecossistema de defesa. A prioridade deve ser verificar se há implantações legadas, confirmar a aplicação dos patches, desativar IKEv1 e validar se os clientes remotos não dependem desse protocolo.

A segunda leitura é de detecção. A Check Point recomendou revisar logs em busca de conexões VPN não autenticadas. A isso vale somar a busca por padrões de pós-exploração, especialmente tentativas de baixar payloads ELF a partir de infraestrutura controlada pelo ator. Em ambientes Linux ou mistos, esse detalhe pode marcar a passagem do acesso inicial para a execução remota. Em ambientes Windows, a presença de exclusão de shadow copies por meio de vssadmin delete shadows /all /quiet continua sendo um sinal útil de atividade posterior de ransomware.

A terceira leitura é de priorização. The Register e Rapid7 indicam que a campanha afetou algumas dezenas de organizações em escala global, mas isso não reduz o risco para quem ficou dentro da superfície vulnerável. O perfil de alvos, VPN exposta e controles de perímetro únicos, é típico de afiliados de ransomware. Isso significa que a exposição não compromete apenas o acesso remoto, mas também abre uma porta para exfiltração, movimento lateral e extorsão com dupla pressão.

Para equipes que monitoram a América Latina, o caso chileno deve ser lido em dois planos. Um é o das vítimas publicamente reclamadas, em que a ATCOM aparece como alvo presumido e outros nomes, como Graneles de Chile e Noi Hotels, surgem em trackers ou análises de terceiros. O outro é o plano de infraestrutura e marcas, em que o Securotrop opera como afiliado do Qilin com um Data Leak Site próprio. Se a organização vê menções a Qilin, Securotrop ou reclamações em trackers de vazamento, deve assumir que o fenômeno pode estar compartilhando capacidades, e não competindo entre si.

Em setores regulados, especialmente financeiro e de serviços críticos, a presença de alertas de CSIRT e de referências a VPN, Check Point e CISA deve disparar revisão prioritária de controles perimetrais. Os indícios da Colômbia mostram que essa pressão já chegou ao perímetro de provedores críticos. O risco principal não é apenas a criptografia, mas o acesso inicial persistente antes da detecção, com possibilidade de exfiltração prévia e extorsão posterior.

Limitações do material

O corpus disponível mistura fontes de alta confiança com publicações explicitamente marcadas como não confirmadas, sobretudo no caso ATCOM e em várias reclamações difundidas por redes sociais e sites de agregação. Isso obriga a distinguir entre um incidente respaldado por confirmação técnica e uma reclamação pública repetida por terceiros. Em particular, a ATCOM Chile aparece citada como possível vítima do Qilin na FalconFeeds.io, Cyber News Live, Undercode News, Hendry Rahardja e chum1ng0, mas o material não traz uma validação independente que permita fechar a atribuição.

Também não há, para Chile, Argentina, Bolívia, Peru ou Colômbia, um pacote uniforme de IOCs, binários ou telemetria forense. O relatório se apoia em fontes de inteligência de ameaças, trackers públicos e publicações de analistas. Isso serve para mapear tendências, não para reconstruir um timeline forense completo de cada vítima. Em vários casos, o nível de detalhe se reduz a nomes de organizações e supostas reclamações em sites de vazamento.

No plano do Securotrop, a Red Piranha apresenta uma tese robusta sobre filiação e infraestrutura compartilhada, mas o próprio relatório distingue entre técnicas CONFIRMED e ATTRIBUTED. Ainda não existe um incidente de Securotrop documentado de forma independente com o mesmo nível de granularidade da campanha de CVE-2026-50751. Por isso, não cabe estender sem ressalvas todas as TTPs do Qilin a cada menção ao Securotrop.

Por fim, o material consolidado não oferece vínculos verificáveis entre um suposto caso local e a exploração de CVE-2026-50751 em todos os países mencionados. A Argentina aparece no relatório da Check Point Research, a Colômbia em alertas setoriais e Bolívia ou Peru em estatísticas semanais, mas não há uma linha única que conecte cada país a um mesmo incidente técnico. Essa fragmentação é uma limitação do corpus, não do fenômeno.