Ransomware Qilin em 2026: Evolução, Alterações no Código e Táticas

Resumo

O ransomware Qilin evoluiu de uma ferramenta de linha de comando operada manualmente para um payload altamente automatizado e modular escrito em Rust. As variantes recentes incluem reconhecimento automatizado do Active Directory, movimentação lateral através de PsExec e módulos dedicados para interromper hipervisores VMware ESXi. O malware também utiliza técnicas avançadas de evasão de defesa, incluindo reinicializações em Modo de Segurança com a intenção de desativar ou contornar sensores EDR.

Investigação

A investigação comparou duas variantes do ransomware Qilin: uma amostra de base de março de 2026 e uma versão mais avançada de outubro de 2026. Os analistas usaram o x32dbg para examinar o ciclo de execução em oito fases do malware, a negociação criptográfica através do CPUID e a integração da API do Windows Restart Manager para desbloquear arquivos antes da criptografia.

Mitigação

As organizações devem priorizar a segurança do Active Directory, desativar ferramentas RSAT desnecessárias e monitorar a execução não autorizada do bcdedit.exe. Manter backups resilientes e proteger ambientes VMware vCenter contra atividade suspeita de SSH ou SCP também são críticos. Além disso, monitorar tráfego incomum de impressoras via porta TCP 9100 pode fornecer um sinal útil de detecção.

Resposta

Quando uma atividade Qilin é detectada, isole imediatamente os hosts afetados para impedir movimentações laterais através de módulos relacionados ao PsExec ou vCenter. Revise os Logs de Eventos do Windows para mudanças no bcdedit e atividade de encerramento de serviços. Conduza análises forenses para detectar binários baseados em Rust não autorizados e investigue acessos suspeitos a compartilhamentos administrativos em todo o ambiente.

Execução da Simulação

• Narrativa do Ataque & Comandos: O adversário busca automatizar a interrupção do VMware vCenter para preparar uma implantação massiva de ransomware. Eles utilizam um script PowerShell especializado projetado para desativar a Alta Disponibilidade (HA), garantindo que, uma vez que ocorra a criptografia, as máquinas virtuais não possam reiniciar automaticamente em hosts saudáveis. Para evitar a detecção, o atacante originalmente usava um script contendo o identificador específico “suite de automação PowerShell para VMware vCenter”. Durante esta simulação, executaremos o comando contendo esta string para confirmar o acionamento da regra, e então demonstraremos um contorno imediato alterando ligeiramente a string.

• Script de Teste de Regressão:

  # FASE 1: Acione a Detecção (O "Ataque")
  Write-Host "[+] Executando comando para acionar a detecção..." -ForegroundColor Cyan
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Inicializando: suite de automação PowerShell para VMware vCenter'}"
  
  # FASE 2: Demonstre a Evasão (O "Desvio")
  # Isso representa como um verdadeiro invasor evitaria a regra simplesmente mudando um caractere.
  Write-Host "[+] Executando comando para demonstrar a evasão..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Inicializando: Suite de Automação PowerShell para VMware vCenter'}" # Note o 'A' maiúsculo e o 'S'

• Comandos de Limpeza:

  # Nenhuma mudança persistente foi feita durante esta simulação.
  # No entanto, se arquivos de transcrição foram criados, eles devem ser removidos.
  Remove-Item -Path "$env:USERPROFILEDocumentsPowerShell_Transcript*.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] Limpeza completa." -ForegroundColor Green