Группировка Qilin Ransomware атакует корпоративную VPN-инфраструктуру в рамках скоординированных атак на крупных сетевых вендоров
TL;DR
Группировка Qilin Ransomware атакует корпоративную VPN-инфраструктуру в рамках скоординированных атак на крупных сетевых вендоров
Синдикат Qilin Ransomware перестал быть просто очередным игроком в подполье киберпреступности — они стали главными архитекторами хаоса. С начала 2025 года они организовали около 700 атак, что является ошеломляющей цифрой, подчеркивающей расчетливый сдвиг в их глобальных операциях. После того как синдикат RansomHub фактически сошел со сцены, Qilin заняли освободившуюся нишу, направив свой взор на самое слабое звено современной корпоративной безопасности: инфраструктуру корпоративных VPN. Они не просто взламывают системы; они закрепляются в них.
Впервые появившись в августе 2022 года под названием "Agenda", группа претерпела радикальную трансформацию. Они работают по модели Ransomware-as-a-Service (RaaS) и знают, как удерживать своих талантов. Предлагая долю до 85% от каждого выкупа, они привлекли поток закаленных преступников. Это не просто группа дилетантов — это бизнес, и бизнес процветает в секторах здравоохранения, энергетики и образования.
От Go к Rust: технологический сдвиг
На ранних этапах Qilin полагались на вредоносное ПО на языке Go, но это было только начало. Переход на инструментарий, написанный на Rust, стал кошмаром для команд безопасности. Rust позволяет им создавать высоконастраиваемые кроссплатформенные полезные нагрузки, которые легко работают в средах Windows, Linux и ESXi. Это универсальное оружие, позволяющее их аффилиатам адаптировать процедуры шифрования под любую архитектуру, обнаруженную в целевой сети.
Их текущая стратегия во многом опирается на использование VPN для получения долгосрочного доступа. Оказавшись внутри, они действуют хирургически точно. Согласно подробному анализу Qilin ransomware, группа мастерски извлекает учетные данные прямо из Google Chrome. Более того, они начали использовать Windows Subsystem for Linux (WSL). Запуская вредоносные команды внутри среды Linux, скрытой в хосте Windows, они становятся практически невидимыми, обходя традиционные решения EDR, которые не отслеживают трафик внутри подсистемы.
| Функция | Начальное состояние (2022) | Текущее состояние (2025) |
|---|---|---|
| Основной язык | Go | Rust / Go |
| Область целей | Общие предприятия | Критическая инфраструктура |
| Метод закрепления | Стандартные ключи реестра | Злоупотребление WSL / Эксплуатация VPN |
| Модель вымогательства | Одиночное шифрование | Двойное вымогательство |
География преступлений
Стремительная эскалация Qilin ransomware не случайна. Это стратегическая охота за высокоценными целями. Тем не менее, при всем их охвате, они следуют строгому набору правил: они не трогают страны СНГ. Учитывая русскоязычные корни группы, это классический ход, позволяющий избежать давления со стороны правоохранительных органов, которое могло бы уничтожить их операцию в одночасье.
Они также удвоили ставки в игре с «двойным вымогательством». Теперь недостаточно просто зашифровать файлы. Они похищают конфиденциальные данные и угрожают опубликовать их на специализированном сайте утечек, если выкуп не будет выплачен. Это жестокая и эффективная тактика давления. В период с середины 2022 по середину 2023 года они атаковали 12 крупных жертв. Сегодня это число резко возросло, ставя организации в безвыходное положение: платить или наблюдать, как проприетарные данные становятся достоянием общественности.
Как выстроить защиту
Если вы пытаетесь остановить противника, который относится к VPN как к парадной двери, а к WSL — как к секретному туннелю, обнаружение на основе сигнатур — это пережиток прошлого. Вам нужна стратегия глубоко эшелонированной обороны, которая предполагает, что периметр уже скомпрометирован.
- Укрепление VPN: Если ваш VPN не использует MFA, устойчивую к фишингу, он уже скомпрометирован. Перестаньте полагаться на простые пароли.
- Мониторинг WSL: Ограничьте его использование. Только авторизованные администраторы должны иметь возможность устанавливать или запускать WSL. Если его использует обычный пользователь — это тревожный сигнал.
- Гигиена учетных данных: Запретите браузерам сохранять корпоративные пароли. Это золотая жила для злоумышленников, а Chrome — их любимая площадка для охоты.
- Поведенческий анализ: Ищите аномалии. Если вы видите кроссплатформенные паттерны выполнения, которые не соответствуют вашим стандартным ИТ-процессам, немедленно проводите расследование.
Уровень организации этой группы пугает. Еще в марте 2023 года команда Threat Intelligence компании Group-IB смогла заглянуть за кулисы, внедрившись в партнерскую панель группы. Они обнаружили не просто разрозненную группу хакеров, а структурированную иерархию с четким распределением ролей: вербовка, распределение выплат и техническая поддержка.
Qilin никуда не денется. Они доказали, что могут адаптироваться к действиям правоохранительных органов и развивать свой технический инструментарий, чтобы оставаться на шаг впереди. Поскольку они продолжают использовать уязвимости на стыке удаленного доступа и локальных систем, единственный способ выжить — перестать ждать оповещений и начать охоту за подозрительным поведением. Они играют по-крупному — пришло время индустрии начать делать то же самое.
