2026年のQilinランサムウェア：進化、コード変更、戦術

概要

Qilinランサムウェアは、手動で操作されるコマンドラインツールから、Rustで書かれた高度に自動化されたモジュール型ペイロードに進化しました。最近の亜種には、自動化されたActive Directory調査、PsExecを使用した横展開、VMware ESXiハイパーバイザーを妨害するための専用モジュールが含まれています。このマルウェアはまた、EDRセンサーを無効化または回避することを意図したセーフモードでの再起動を含む高度な回避技術を使用します。

調査

この調査では、2026年3月の基本サンプルと、より高度な2026年10月版の2つのQilinランサムウェアのバリアントを比較しました。アナリストはx32dbgを使用して、マルウェアの8段階の実行ライフサイクル、CPUIDを通じた暗号化交渉、および暗号化前にファイルをアンロックするためのWindows Restart Manager APIの統合を確認しました。

緩和策

企業はActive Directoryのセキュリティを優先し、不要なRSATツールを無効化し、bcdedit.exeの不正実行を監視するべきです。レジリエントなバックアップの維持や、疑わしいSSHやSCPの活動に対するVMware vCenter環境の保護も重要です。さらに、TCPポート9100経由の異常なプリンタートラフィックの監視は、有用な検出信号を提供できます。

対応

Qilin活動が検出された場合、PsExecやvCenter関連モジュールを通じた横展開を防ぐために、被害を受けたホストを直ちに隔離します。Windowsイベントログでbcdeditの変更やサービス終了活動を確認します。不正なRustベースのバイナリの法科学分析を行い、環境全体での管理共有への疑わしいアクセスを調査します。

シミュレーション実行

• 攻撃の説明とコマンド： 敵対者は、大規模なランサムウェア展開の準備としてVMware vCenterの妨害を自動化しようとしています。暗号化開始時に仮想マシンが健全なホストで自動的に再起動することを防ぐため、HA（高可用性）を無効化するよう設計された特化したPowerShellスクリプトを利用します。攻撃者は検出を回避するため、最初は”PowerShell automation suite for VMware vCenter”という特定の識別子を含むスクリプトを使用しました。このシミュレーションでは、この文字列を含むコマンドを実行してルールが発動するか確認し、その後、文字列を少し変更することによって即座に回避を実演します。

• 回帰テストスクリプト：

  # フェーズ1：検出を引き起こす（「攻撃」）
  Write-Host "[+] 検出を引き起こすコマンドを実行中..." -ForegroundColor Cyan
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initializing: PowerShell automation suite for VMware vCenter'}"
  
  # フェーズ2：回避を実演する（「回避」）
  # これは、実際の攻撃者がルールを回避するために1文字を変える例です。
  Write-Host "[+] 回避を実演するコマンドを実行中..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initializing: PowerShell Automation Suite for VMware vCenter'}" # 大文字の'A'と'S'に注意

• クリーンアップコマンド：

  # このシミュレーション中に永続的な変更は行われていません。
  # しかし、トランスクリプションファイルが作成された場合、それらは削除されるべきです。
  Remove-Item -Path "$env:USERPROFILEDocumentsPowerShell_Transcript*.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] クリーンアップ完了。" -ForegroundColor Green