Qilin Ransomware у 2026 році: Еволюція, Зміни Коду та Тактики

Резюме

Програма-вимагач Qilin еволюціонувала з інструменту командного рядка, що керується вручну, в високотехнологічне модульне навантаження, написане на Rust. Останні варіанти включають автоматизовану розвідку Active Directory, рух в межах мережи через PsExec, і спеціальні модулі для зриву гіпервізорів VMware ESXi. Шкідливе програмне забезпечення також використовує передові методи уникнення захисту, включаючи перезавантаження в безпечному режимі, спрямовані на вимкнення або обхід датчиків EDR.

Розслідування

Розслідування порівняло два варіанти Qilin: зразок від березня 2026 року та більш розвинену версію жовтня 2026 року. Аналітики використовували x32dbg для вивчення восьмифазного життєвого циклу виконання шкідливого програмного забезпечення, криптографічних переговорів через CPUID та інтеграції Windows Restart Manager API для розблокування файлів перед шифруванням.

Пом’якшення

Організації повинні приділяти пріоритетну увагу безпеці Active Directory, вимикати непотрібні інструменти RSAT і моніторити несанкціоноване виконання bcdedit.exe. Підтримка надійних резервних копій та захист середовища VMware vCenter від підозрілої діяльності SSH або SCP також є критично важливими. Крім того, моніторинг незвичайного трафіку принтера через TCP порт 9100 може забезпечити корисний сигнал виявлення.

Відповідь

При виявленні активності Qilin негайно ізолюйте уражені вузли, щоб запобігти боковому руху через модулі PsExec або пов’язані з vCenter. Перевірте журнали подій Windows на зміни bcdedit і активність завершення служб. Проведіть криміналістичний аналіз несанкціонованих бінарних файлів на основі Rust і досліджуйте підозрілі доступи до адміністративних спільних ресурсів в усьому середовищі.

Виконання симуляції

• Опис атаки та команди: Зловмисник прагне автоматизувати порушення роботи VMware vCenter для підготовки до масового розгортання програми-вимагача. Вони використовують спеціальний скрипт PowerShell, розроблений для відключення високої доступності (HA), щоб забезпечити, що після початку шифрування віртуальні машини не можуть автозапускатись на здорових вузлах. Щоб уникнути виявлення, спочатку зловмисник використовував скрипт із спеціальним ідентифікатором “PowerShell automation suite for VMware vCenter”. Під час цієї симуляції ми виконаємо команду з цим рядком, щоб підтвердити, що правило спрацьовує, а потім продемонструємо негайний обхід, злегка змінивши рядок.

• Скрипт регресійного тесту:

  # ФАЗА 1: Викликати виявлення ("Атака")
  Write-Host "[+] Виконання команди для виклику виявлення..." -ForegroundColor Cyan
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initializing: PowerShell automation suite for VMware vCenter'}"
  
  # ФАЗА 2: Продемонструвати обхід ("Обхід")
  # Це представляє, як справжній зловмисник обійде правило, просто змінивши один символ.
  Write-Host "[+] Виконання команди для демонстрації обходу..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initializing: PowerShell Automation Suite for VMware vCenter'}" # Зверніть увагу на велику 'A' та 'S'

• Команди очищення:

  # Постійних змін не було зроблено під час цієї симуляції.
  # Однак, якщо були створені файли транскрипції, їх слід видалити.
  Remove-Item -Path "$env:USERPROFILEDocumentsPowerShell_Transcript*.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] Очищення завершено." -ForegroundColor Green