Qilin Ransomware im Jahr 2026: Evolution, Codeänderungen und Taktiken

Zusammenfassung

Die Qilin Ransomware hat sich von einem manuell betriebenen Kommandozeilentool zu einer hochautomatisierten, modularen Nutzlast entwickelt, die in Rust geschrieben ist. Neueste Varianten umfassen automatisierte Active Directory-Erkundung, seitliche Bewegung durch PsExec und spezielle Module zur Störung von VMware ESXi-Hypervisoren. Die Malware nutzt auch fortschrittliche Abwehrtaktiken, einschließlich Neustarts im abgesicherten Modus zur Deaktivierung oder Umgehung von EDR-Sensoren.

Untersuchung

Die Untersuchung verglich zwei Varianten der Qilin Ransomware: eine Basisprobe vom März 2026 und eine fortgeschrittenere Version vom Oktober 2026. Analysten nutzten x32dbg, um den achtstufigen Ausführungslebenszyklus der Malware, die kryptografische Aushandlung über CPUID und die Integration der Windows Restart Manager API zum Entsperren von Dateien vor der Verschlüsselung zu untersuchen.

Minderung

Organisationen sollten der Sicherheit von Active Directory Priorität geben, unnötige RSAT-Tools deaktivieren und die unautorisierte Ausführung von bcdedit.exe überwachen. Die Aufrechterhaltung robuster Backups und der Schutz von VMware vCenter-Umgebungen vor verdächtiger SSH- oder SCP-Aktivität sind ebenfalls entscheidend. Zusätzlich kann die Überwachung ungewöhnlicher Druckeraktivitäten über TCP-Port 9100 ein nützliches Erkennungssignal liefern.

Reaktion

Sobald Qilin-Aktivitäten erkannt werden, sollten betroffene Hosts sofort isoliert werden, um seitliche Bewegungen durch PsExec- oder vCenter-bezogene Module zu verhindern. Überprüfen Sie die Windows-Ereignisprotokolle auf Änderungen bei bcdedit und Aktivitäten zur Dienstbeendigung. Führen Sie eine forensische Analyse auf unautorisierte, auf Rust basierende Binärdateien durch und untersuchen Sie verdächtige Zugriffe auf administrative Freigaben in der gesamten Umgebung.

Simulation der Ausführung

• Angriffserzählung & Befehle: Der Angreifer versucht, die Störung von VMware vCenter zu automatisieren, um eine Massenransomware-Bereitstellung vorzubereiten. Sie verwenden ein spezielles PowerShell-Skript, das dazu dient, die Hochverfügbarkeit (HA) zu deaktivieren, um sicherzustellen, dass die virtuellen Maschinen, sobald die Verschlüsselung beginnt, nicht automatisch auf gesunden Hosts neu gestartet werden können. Um der Erkennung zu entgehen, verwendete der Angreifer ursprünglich ein Skript mit dem spezifischen Identifikator „PowerShell Automatisierungssuite für VMware vCenter“. Während dieser Simulation werden wir das Kommando mit diesem String ausführen, um zu bestätigen, dass die Regel ausgelöst wird, und dann eine sofortige Umgehung demonstrieren, indem der String leicht verändert wird.

• Regressionstest-Skript:

  # PHASE 1: Detektion auslösen (Der „Angriff“)
  Write-Host "[+] Ausführung des Kommandos zur Detektionauslösung..." -ForegroundColor Cyan
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initialisierung: PowerShell Automatisierungssuite für VMware vCenter'}"
  
  # PHASE 2: Umgehung demonstrieren (Das „Bypass“)
  # Dies zeigt, wie ein echter Angreifer die Regel umgehen würde, indem er einfach einen Buchstaben ändert.
  Write-Host "[+] Ausführung des Kommandos zur Demonstration der Umgehung..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initialisierung: PowerShell Automation Suite for VMware vCenter'}" # Beachten Sie das große 'A' und 'S'

• Cleanup-Befehle:

  # Während dieser Simulation wurden keine dauerhaften Änderungen vorgenommen. 
  # Sollten jedoch Transkriptionsdateien erstellt worden sein, sollten diese entfernt werden.
  Remove-Item -Path "$env:USERPROFILEDocumentsPowerShell_Transcript*.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] Bereinigung abgeschlossen." -ForegroundColor Green