2026年的Qilin勒索软件：演变、代码变化与战术

摘要

Qilin勒索软件已经从一个手动操作的命令行工具演变为用Rust编写的高度自动化、模块化有效载荷。最近的变种包括自动化的Active Directory侦察、通过PsExec实现的横向移动，以及专门用于破坏VMware ESXi虚拟机管理程序的模块。恶意软件还采用了先进的防御规避技术，包括旨在禁用或绕过EDR传感器的安全模式重启。

调查

调查比较了两种Qilin勒索软件变体：2026年3月的基线样本和2026年10月的更先进版本。分析师使用x32dbg检查了恶意软件的八阶段执行生命周期、通过CPUID的加密协商以及集成Windows重启管理器API以在加密前解锁文件。

缓解措施

企业应优先考虑Active Directory的安全性，禁用不必要的RSAT工具，并监控bcdedit.exe的未经授权执行。保持有韧性的备份并保护VMware vCenter环境免受可疑的SSH或SCP活动也很关键。此外，监控TCP端口9100上的异常打印机流量可以提供有用的检测信号。

响应

当检测到Qilin活动时，立即隔离受影响的主机，以防止通过PsExec或vCenter相关模块进行横向移动。检查Windows事件日志中的bcdedit更改和服务终止活动。进行取证分析以查找未授权的基于Rust的二进制文件，并调查跨环境访问管理共享的可疑行为。

模拟执行

• 攻击叙述与命令： 对手试图自动化中断VMware vCenter，以准备大规模勒索软件部署。他们利用一个专门设计的Powershell脚本禁用高可用性(HA)，以确保一旦加密开始，虚拟机不能在健康主机上自动重启。为了避免检测，攻击者最初使用一个包含特定标识符”PowerShell automation suite for VMware vCenter”的脚本。在此模拟期间，我们将执行包含该字符串的命令以确认规则触发，然后通过稍微更改字符串来展示即时绕过。

• 回归测试脚本：

  # PHASE 1: 触发检测（"攻击"）
  Write-Host "[+] 执行命令以触发检测..." -ForegroundColor Cyan
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initializing: PowerShell automation suite for VMware vCenter'}"
  
  # PHASE 2: 展示规避（"绕过"）
  # 这表示真实攻击者如何通过简单地更改一个字符来规避规则。
  Write-Host "[+] 执行命令以展示规避..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "& {Write-Output 'Initializing: PowerShell Automation Suite for VMware vCenter'}" # 注意大写的'A'和'S'

• 清理命令：

  # 此模拟期间未进行持久性更改。 
  # 不过，如果创建了转录文件，应将其删除。
  Remove-Item -Path "$env:USERPROFILEDocumentsPowerShell_Transcript*.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] 清理完成。" -ForegroundColor Green