Qilin Ransomware nel 2026: Evoluzione, Modifiche al Codice e Tattiche

Sintesi

Il ransomware Qilin si è evoluto da uno strumento a riga di comando operato manualmente in un payload modulare altamente automatizzato scritto in Rust. Le varianti recenti includono il riconoscimento automatico dell’Active Directory, il movimento laterale tramite PsExec e moduli dedicati alla disattivazione degli hypervisor VMware ESXi. Il malware utilizza anche tecniche avanzate di evasione delle difese, inclusi riavvii in modalità provvisoria progettati per disabilitare o superare i sensori EDR.

Indagine

L’indagine ha confrontato due varianti del ransomware Qilin: un campione di riferimento del marzo 2026 e una versione più avanzata di ottobre 2026. Gli analisti hanno utilizzato x32dbg per esaminare il ciclo di esecuzione in otto fasi del malware, la negoziazione crittografica tramite CPUID e l’integrazione dell’API Windows Restart Manager per sbloccare i file prima della crittografia.

Mitigazione

Le organizzazioni dovrebbero dare priorità alla sicurezza dell’Active Directory, disabilitare gli strumenti RSAT non necessari e monitorare l’esecuzione non autorizzata di bcdedit.exe. È anche cruciale mantenere backup resilienti e proteggere gli ambienti VMware vCenter da attività sospette SSH o SCP. Inoltre, monitorare il traffico insolito delle stampanti sulla porta TCP 9100 può fornire un utile segnale di rilevamento.

Risposta

Quando viene rilevata attività di Qilin, isolare immediatamente gli host colpiti per prevenire il movimento laterale tramite PsExec o moduli correlati a vCenter. Rivedere i registri eventi di Windows per modifiche a bcdedit ed attività di terminazione del servizio. Condurre analisi forensi per binari non autorizzati basati su Rust e investigare accessi sospetti a condivisioni amministrative nell’intero ambiente.

Esecuzione di simulazione

• Narrativa dell’attacco & Comandi: L’avversario cerca di automatizzare la disattivazione di VMware vCenter per prepararsi a un dispiegamento massiccio di ransomware. Utilizzano uno script PowerShell specializzato progettato per disabilitare la High Availability (HA) per garantire che una volta iniziata la crittografia, le macchine virtuali non possano riavviarsi automaticamente su host sani. Per evitare il rilevamento, l’attaccante ha inizialmente utilizzato uno script contenente l’identificatore specifico “suite di automazione PowerShell per VMware vCenter”. Durante questa simulazione, eseguiremo il comando contenente questa stringa per confermare l’attivazione della regola, e poi dimostreremo un immediato bypass modificando leggermente la stringa.

• Script di test di regressione:

  # FASE 1: Attivare il rilevamento (L'"Attacco")
  Write-Host "[+] Esecuzione comando per attivare il rilevamento..." -ForegroundColor Cyan
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Inizializzazione: suite di automazione PowerShell per VMware vCenter'}"
  
  # FASE 2: Dimostrare l'evasione (Il "Bypass")
  # Questo rappresenta come un vero attaccante eviterebbe la regola semplicemente cambiando un carattere.
  Write-Host "[+] Esecuzione comando per dimostrare l'evasione..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Inizializzazione: Suite di Automazione di PowerShell per VMware vCenter'}" # Nota la maiuscola 'A' e 'S'

• Comandi di pulizia:

  # Non sono state fatte modifiche persistenti durante questa simulazione. 
  # Tuttavia, se sono stati creati file di trascrizione, dovrebbero essere rimossi.
  Remove-Item -Path "$env:USERPROFILEDocumentsPowerShell_Transcript*.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] Pulizia completata." -ForegroundColor Green