Grupo de Ransomware Qilin tem como alvo a infraestrutura de VPN corporativa em ataques coordenados contra grandes fornecedores de rede
TL;DR
Grupo de Ransomware Qilin tem como alvo a infraestrutura de VPN corporativa em ataques coordenados contra grandes fornecedores de rede
O sindicato de ransomware Qilin não é mais apenas um participante do submundo do cibercrime — eles se tornaram os principais arquitetos do caos. Desde o início de 2025, eles orquestraram cerca de 700 ataques, um número impressionante que destaca uma mudança calculada em suas operações globais. Com o sindicato RansomHub efetivamente fora de cena, o Qilin ocupou o vácuo, voltando seus olhos para o elo mais fraco da segurança corporativa moderna: a infraestrutura de VPN corporativa. Eles não estão apenas invadindo; eles estão se instalando.
Surgindo pela primeira vez em agosto de 2022 sob o nome "Agenda", o grupo passou por uma transformação radical. Eles operam em um modelo de Ransomware-as-a-Service (RaaS), e sabem como manter seus talentos satisfeitos. Ao oferecer uma fatia de até 85% de cada pagamento de resgate, eles atraíram um fluxo constante de criminosos experientes. Este não é apenas um grupo desorganizado de amadores — é um negócio, e os negócios estão em alta nos setores de saúde, energia e educação.
De Go para Rust: A Mudança Tecnológica
No início, o Qilin dependia de malware baseado em Go, mas isso era apenas o começo. Sua mudança para um kit de ferramentas baseado em Rust tem sido um pesadelo para as equipes de segurança. O Rust permite que eles criem payloads altamente personalizáveis e multiplataforma que não têm dificuldade em transitar entre ambientes Windows, Linux e ESXi. É uma arma versátil que permite que seus afiliados adaptem suas rotinas de criptografia a qualquer arquitetura que encontrarem dentro de uma rede alvo.
Seu playbook atual depende fortemente da exploração de VPNs para garantir uma base de longo prazo. Uma vez dentro, eles não apenas agem de forma desenfreada; eles são cirúrgicos. De acordo com uma análise detalhada do ransomware Qilin, o grupo é mestre em coletar credenciais diretamente do Google Chrome. Pior ainda, eles armaram o Windows Subsystem for Linux (WSL). Ao executar comandos maliciosos dentro de um ambiente Linux enterrado em um host Windows, eles efetivamente se tornam invisíveis, escapando de soluções EDR tradicionais que simplesmente não monitoram o tráfego dentro do subsistema.
| Recurso | Estado Inicial (2022) | Estado Atual (2025) |
|---|---|---|
| Linguagem Principal | Go | Rust / Go |
| Escopo do Alvo | Empresa Geral | Infraestrutura Crítica |
| Método de Persistência | Chaves de Registro Padrão | Abuso de WSL / Exploração de VPN |
| Modelo de Extorsão | Criptografia Única | Extorsão Dupla |
A Geografia do Crime
A rápida escalada do ransomware Qilin não é aleatória. É uma caçada estratégica por alvos de alto valor. No entanto, apesar de todo o seu alcance, eles seguem um conjunto muito específico de regras: eles não tocam na Comunidade de Estados Independentes (CEI). Dadas as raízes russas do grupo, este é um movimento clássico para evitar o tipo de pressão das autoridades locais que poderia desmantelar sua operação da noite para o dia.
Eles também dobraram a aposta no jogo da "extorsão dupla". Não basta mais bloquear seus arquivos. Eles exfiltram seus dados confidenciais e ameaçam divulgá-los em um site de vazamento dedicado se o resgate não for pago. É uma tática de pressão brutal e eficaz. Entre meados de 2022 e meados de 2023, eles já haviam prejudicado 12 grandes vítimas. Hoje? Esse número disparou, forçando as organizações a uma situação impossível: pagar ou ver seus dados proprietários se tornarem de conhecimento público.
Como Construir uma Defesa
Se você está tentando impedir um adversário que trata VPNs como portas da frente e o WSL como um túnel secreto, a detecção baseada em assinatura é uma relíquia do passado. Você precisa de uma estratégia de defesa em profundidade que assuma que o perímetro já foi comprometido.
- Endurecimento de VPN: Se sua VPN não possui MFA resistente a phishing, ela já está comprometida. Pare de depender de senhas simples.
- Monitoramento de WSL: Bloqueie-o. Apenas administradores autorizados devem ter a capacidade de instalar ou executar o WSL. Se um usuário comum estiver executando, isso é um sinal de alerta.
- Higiene de Credenciais: Pare de permitir que navegadores salvem suas senhas corporativas. É uma mina de ouro para invasores, e o Chrome é seu campo de caça favorito.
- Análise Comportamental: Comece a procurar pelo incomum. Se você vir padrões de execução multiplataforma que não correspondem aos seus fluxos de trabalho de TI padrão, investigue imediatamente.
O nível de organização por trás deste grupo é assustador. Em março de 2023, a equipe de Threat Intelligence da Group-IB conseguiu espiar por trás da cortina, infiltrando-se no painel de afiliados do grupo. O que encontraram não foi uma coleção solta de hackers, mas uma hierarquia estruturada com funções dedicadas para recrutamento, distribuição de pagamentos e suporte técnico.
O Qilin não vai a lugar nenhum. Eles provaram que podem se adaptar às repressões das autoridades e evoluir seu kit de ferramentas técnicas para ficar um passo à frente dos defensores. À medida que continuam a explorar a interseção confusa entre acesso remoto e vulnerabilidades de sistemas locais, a única maneira de sobreviver é parar de esperar pelo alerta e começar a caçar o comportamento. Eles estão jogando para valer — é hora de a indústria começar a fazer o mesmo.
