Ransomware Qilin en 2026 : Évolution, Changements de Code et Tactiques

Résumé

Qilin ransomware a évolué d’un outil en ligne de commande manuel vers une charge utile modulaire hautement automatisée écrite en Rust. Les variantes récentes incluent une reconnaissance automatisée de l’Active Directory, un déplacement latéral via PsExec et des modules dédiés à la perturbation des hyperviseurs VMware ESXi. Le logiciel malveillant utilise également des techniques avancées d’évasion des défenses, y compris des redémarrages en mode sans échec destinés à désactiver ou contourner les capteurs EDR.

Enquête

L’enquête a comparé deux variantes du ransomware Qilin : un échantillon de référence de mars 2026 et une version plus avancée d’octobre 2026. Les analystes ont utilisé x32dbg pour examiner le cycle d’exécution en huit phases du malware, la négociation cryptographique via CPUID et l’intégration de l’API Windows Restart Manager pour déverrouiller les fichiers avant le chiffrement.

Atténuation

Les organisations doivent prioriser la sécurité de l’Active Directory, désactiver les outils RSAT inutiles et surveiller l’exécution non autorisée de bcdedit.exe. Maintenir des sauvegardes résilientes et protéger les environnements VMware vCenter contre les activités SSH ou SCP suspectes sont également essentiels. De plus, surveiller le trafic inhabituel des imprimantes via le port TCP 9100 peut fournir un signal de détection utile.

Réponse

Lorsqu’une activité Qilin est détectée, isolez immédiatement les hôtes affectés pour empêcher le déplacement latéral via PsExec ou les modules liés à vCenter. Consultez les journaux d’événements Windows pour détecter les modifications de bcdedit et les activités de terminaison de service. Effectuez une analyse légale pour découvrir des binaires en Rust non autorisés et enquêtez sur les accès suspects aux partages administratifs à travers l’environnement.

Exécution de simulation

• Narration & commandes de l’attaque : L’adversaire cherche à automatiser la perturbation de VMware vCenter pour préparer un déploiement massif de ransomware. Ils utilisent un script PowerShell spécialisé conçu pour désactiver la haute disponibilité (HA) afin de s’assurer qu’une fois le chiffrement commencé, les machines virtuelles ne peuvent pas redémarrer automatiquement sur des hôtes sains. Pour éviter la détection, l’attaquant a initialement utilisé un script contenant l’identifiant spécifique « suite d’automatisation PowerShell pour VMware vCenter ». Pendant cette simulation, nous exécuterons la commande contenant cette chaîne pour confirmer que la règle se déclenche, puis démontrerons un contournement immédiat en modifiant légèrement la chaîne.

• Script de test de régression :

  # PHASE 1 : Déclencher la détection (L'"Attaque")
  Write-Host "[+] Exécution de la commande pour déclencher la détection..." -ForegroundColor Cyan
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initialisation : suite d'automatisation PowerShell pour VMware vCenter'}"
  
  # PHASE 2 : Démontrer l'évasion (Le "Contournement")
  # Cela représente comment un attaquant réel contournerait la règle en changeant simplement un caractère.
  Write-Host "[+] Exécution de la commande pour démontrer l'évasion..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initialisation : Suite d'Automatisation PowerShell pour VMware vCenter'}" # Notez le 'A' et 'S' en majuscules

• Commandes de nettoyage :

  # Aucun changement persistant n'a été effectué au cours de cette simulation. 
  # Cependant, si des fichiers de transcription ont été créés, ils doivent être supprimés.
  Remove-Item -Path "$env:USERPROFILEDocumentsPowerShell_Transcript*.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] Nettoyage terminé." -ForegroundColor Green