2026년 Qilin 랜섬웨어: 진화, 코드 변경 및 전술

요약

Qilin 랜섬웨어는 수동으로 운영되던 명령줄 도구에서 Rust로 작성된 고도의 자동화된 모듈형 페이로드로 발전했습니다. 최근 변종에는 자동화된 Active Directory 정찰, PsExec를 통한 횡적 이동, VMware ESXi 하이퍼바이저를 방해하는 전용 모듈이 포함되어 있습니다. 이 악성코드는 EDR 센서를 비활성화하거나 우회하려는 안전 모드 재부팅을 포함한 고급 방어 회피 기술을 사용합니다.

조사

조사에서는 2026년 3월 기초 샘플과 2026년 10월의 보다 발전된 버전의 두 가지 Qilin 랜섬웨어 변종을 비교했습니다. 분석가들은 x32dbg를 사용하여 악성코드의 여덟 단계 실행 생명 주기, CPUID를 통한 암호 협상, 암호화 전에 파일을 잠금 해제하는 Windows Restart Manager API의 통합을 조사했습니다.

완화 방법

조직은 Active Directory 보안을 우선시하고, 불필요한 RSAT 도구를 비활성화하며, bcdedit.exe의 무단 실행을 모니터링해야 합니다. 견고한 백업을 유지하고 VMware vCenter 환경을 의심스러운 SSH 또는 SCP 활동으로부터 보호하는 것도 중요합니다. 또한 TCP 포트 9100을 통한 비정상적인 프린터 트래픽 모니터링은 유용한 탐지 신호가 될 수 있습니다.

대응

Qilin 활동이 탐지되면 즉시 감염된 호스트를 격리하여 PsExec 또는 vCenter 관련 모듈을 통한 횡적 이동을 방지해야 합니다. Windows 이벤트 로그에서 bcdedit 변경 사항과 서비스 종료 활동을 검토하십시오. 무단 Rust 기반 이진 파일에 대한 포렌식 분석을 수행하고 환경 전반에 걸쳐 의심스러운 관리 공유 액세스를 조사하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령: 적대자는 대규모 랜섬웨어 배포를 준비하기 위해 VMware vCenter의 중단을 자동화하려고 합니다. 그들은 고가용성(HA)을 비활성화하도록 설계된 특수한 PowerShell 스크립트를 사용하여 암호화가 시작되면 가상 머신이 건강한 호스트에서 자동으로 다시 시작되지 않도록 합니다. 탐지를 피하기 위해, 공격자는 원래 “VMware vCenter용 PowerShell 자동화 도구 세트”라는 특정 식별자가 포함된 스크립트를 사용했습니다. 이 시뮬레이션에서, 이 문자열이 포함된 명령을 실행하여 규칙이 트리거되는지 확인한 후, 문자열을 약간 조정하여 즉시 우회하는 것을 시연할 것입니다.

• 회귀 테스트 스크립트:

  # 1단계: 탐지를 유도 ("공격" 단계)
  Write-Host "[+] 탐지를 유도하기 위해 명령을 실행 중..." -ForegroundColor Cyan
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output '초기화: VMware vCenter용 PowerShell 자동화 도구 세트'}"
  
  # 2단계: 우회 시연 ("우회" 단계)
  # 실제 공격자가 규칙을 우회하기 위해 문자를 하나만 변경하는 방법을 나타냅니다.
  Write-Host "[+] 우회를 시연하기 위해 명령을 실행 중..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output '초기화: VMware vCenter용 PowerShell Automation Suite'}" # 'A'와 'S'가 대문자인 점에 주의하십시오.

• 정리 명령:

  # 이 시뮬레이션 동안 영구적인 변경 사항은 없었습니다. 
  # 그러나 전사 파일이 생성된 경우 삭제해야 합니다.
  Remove-Item -Path "$env:USERPROFILEDocumentsPowerShell_Transcript*.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] 정리 완료." -ForegroundColor Green