Ransomware Qilin w 2026: Ewolucja, Zmiany Kodów i Taktyki

Podsumowanie

Ransomware Qilin przekształcił się z ręcznie obsługiwanego narzędzia w wierszu poleceń w wysoce zautomatyzowany, modułowy ładunek napisany w języku Rust. Ostatnie warianty obejmują zautomatyzowane rozpoznanie Active Directory, ruch lateralny przez PsExec oraz dedykowane moduły do zakłócania działania hiperwizorów VMware ESXi. Złośliwe oprogramowanie wykorzystuje również zaawansowane techniki unikania obrony, w tym ponowne uruchomienia w trybie awaryjnym w celu wyłączenia lub ominięcia czujników EDR.

Śledztwo

Śledztwo porównało dwa warianty ransomware Qilin: próbkę z marca 2026 roku oraz bardziej zaawansowaną wersję z października 2026 roku. Analitycy użyli x32dbg do zbadania ośmiofazowego cyklu wykonania złośliwego oprogramowania, negocjacji kryptograficznej za pośrednictwem CPUID oraz integracji API Windows Restart Manager do odblokowania plików przed ich zaszyfrowaniem.

Łagodzenie

Organizacje powinny priorytetowo zabezpieczać Active Directory, wyłączać niepotrzebne narzędzia RSAT i monitorować nieautoryzowane wykonanie bcdedit.exe. Utrzymywanie odpornych kopii zapasowych i ochrona środowisk VMware vCenter przed podejrzaną aktywnością SSH lub SCP są również kluczowe. Ponadto monitorowanie nietypowego ruchu drukarek przez port TCP 9100 może być użytecznym sygnałem detekcyjnym.

Reakcja

Gdy wykryta zostanie aktywność Qilin, należy natychmiast izolować zainfekowane hosty, aby zapobiec ruchowi lateralnemu przez PsExec lub moduły związane z vCenter. Przejrzyj dzienniki zdarzeń systemu Windows pod kątem zmian w bcdedit i aktywności związanej z zakończeniem usług. Przeprowadź analizę kryminalistyczną dla nieautoryzowanych plików binarnych opartych na Rust i zbadaj podejrzany dostęp do udziałów administracyjnych w całym środowisku.

Wykonanie Symulacji

• Narracja Ataku i Polecenia: Przeciwnik dąży do zautomatyzowania zakłócenia VMware vCenter, aby przygotować masowy atak ransomware. Używają specjalistycznego skryptu PowerShell zaprojektowanego do wyłączania High Availability (HA), aby zapewnić, że po rozpoczęciu szyfrowania, maszyny wirtualne nie mogą automatycznie się ponownie uruchomić na zdrowych hostach. Aby uniknąć wykrycia, atakujący pierwotnie użył skryptu zawierającego specyficzny identyfikator „suite automatyzacji PowerShell dla VMware vCenter”. Podczas tej symulacji wykonamy polecenie zawierające ten ciąg, aby potwierdzić uruchomienie reguły, a następnie zademonstrujemy natychmiastowe ominięcie poprzez nieznaczną zmianę ciągu.

• Skrypt Testu Regresji:

  # FAZA 1: Wywołaj Wykrycie ("Atak")
  Write-Host "[+] Wykonanie polecenia w celu wywołania wykrycia..." -ForegroundColor Cyan
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Inicjacja: suite automatyzacji PowerShell dla VMware vCenter'}"
  
  # FAZA 2: Demonstracja Unikania ("Ominięcie")
  # Przedstawia, jak prawdziwy atakujący ominie regułę, zmieniając tylko jeden znak.
  Write-Host "[+] Wykonanie polecenia w celu zademonstrowania ominięcia..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Inicjacja: Suite Automatyzacji PowerShell dla VMware vCenter'}" # Zwróć uwagę na wielką literę 'A' i 'S'

• Polecenia Porządkowe:

  # W trakcie tej symulacji nie wprowadzono trwałych zmian. 
  # Jednak jeśli utworzono pliki transkrypcji, powinny zostać usunięte.
  Remove-Item -Path "$env:USERPROFILEDocumentsPowerShell_Transcript*.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] Czyszczenie zakończone." -ForegroundColor Green