Qilin 勒索组织威胁情报跟踪

2022年中    以 "Agenda" 名称在暗网论坛首次出现
            最初由化名 "BianLian" 的威胁行为者编写
    ↓
2022年底    更名为 "Qilin"（麒麟），取自中国神话瑞兽
            恶意软件从 Go 重写为 Rust
    ↓
2023年      在 RAMP 论坛招募关联成员（注册费500美元BTC）
            开始大规模攻击活动
    ↓
2023.11     攻击延锋汽车（中国），北美多家工厂生产中断
    ↓
2024年初    LockBit 被 Operation Cronos 打击
            ALPHV/BlackCat 退出骗局
            大量经验丰富的附属转入 Qilin
    ↓
2024.06     攻击英国 NHS 相关机构 Synnovis
            索要5000万美元赎金，伦敦多家医院取消手术
    ↓
2024年      攻击澳大利亚法院系统、Bloomberg
            年收入超过5000万美元
    ↓
2025.04     RansomHub 停运
            大量前关联成员转向 Qilin
    ↓
2025年      与 LockBit、DragonForce 建立新联盟
            攻击日本朝日集团、吉隆坡国际机场
    ↓
2025-2026   成为 CISA 认定的"顶级勒索威胁"
            累计受害者超过1,888个
    ↓
2026年      持续活跃，技术持续演进
            Chrome 窃取、WSL 滥用、BYOVD 等新能力

┌─────────────────────────────────────────────────────────────┐
│  俄语系归属证据                                             │
│  ──────────────                                             │
│  • 运营者在 RAMP（俄语独占论坛）使用俄语交流                │
│  • 恶意软件内置 CIS 国家排除逻辑                            │
│  • 基础设施与俄语 RaaS 生态高度一致                         │
│  • 关联招募和论坛活动与俄语生态匹配                         │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  命名来源                                                   │
│  ──────────                                                 │
│  • "Qilin"（麒麟）取自中国神话瑞兽                          │
│  • 象征力量与繁荣                                           │
│  • 但运营者与中国无已知关联                                 │
│  • 仅为品牌命名选择                                         │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  1. 生成 RSA 密钥对（或复用运营者公钥）                      │
│  2. 生成对称密钥（ChaCha20 或 AES-256）                     │
│  3. 使用对称密钥加密文件内容                                 │
│  4. 使用 RSA 公钥加密对称密钥                                │
│  5. 将加密后的对称密钥追加到文件尾部                         │
│  6. 重命名文件（添加自定义扩展名）                           │
│  7. 删除原始文件                                             │
│  8. 投放勒索信                                               │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 A（最常见）: 凭证入侵                              │
│  ────────────────────────                                   │
│  1. 从暗网购买有效凭证                                       │
│  2. 或通过初始访问代理（IAB）获取凭证                        │
│  3. 利用 BEC（商业邮件欺诈）获取凭证                         │
│  4. 登录 VPN 或远程桌面                                      │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 B: 漏洞利用                                        │
│  ──────────────────                                         │
│  1. 利用 FortiGate 漏洞（CVE-2024-21762、CVE-2024-55591）   │
│  2. 利用 Veeam 漏洞（CVE-2023-27532）                       │
│  3. 利用 SAP 0day（CVE-2025-31324）                         │
│  4. 利用 ScreenConnect、Citrix 等远程访问工具漏洞            │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 C: 钓鱼邮件                                        │
│  ──────────────────                                         │
│  1. 发送伪装 Dropbox、发票软件的钓鱼邮件                     │
│  2. 诱导用户执行恶意附件                                     │
│  3. 部署载荷到 C:\temp\w.exe                                 │
└─────────────────────────────────────────────────────────────┘

内网侦察
├── AD 枚举（域控、用户、组、域信任关系）
├── 网络拓扑发现
├── 备份系统定位
├── 虚拟化基础设施识别
├── 关键服务器定位
└── 系统服务枚举

权限提升
├── Mimikatz 凭证窃取（Themida 加壳）
├── DonPAP、lazagne 凭据提取
├── Chrome Stealer（浏览器密码和 Cookie）
├── 令牌操纵（窃取令牌在提升安全上下文中启动进程）
├── UAC 绕过
└── Pass-the-Hash（PtH）攻击

防御规避
├── 终止杀毒软件进程和服务
├── BYOVD（签名漏洞驱动禁用安全软件）
├── WSL 滥用（规避终端检测）
├── 安全模式重启（绕过安全工具）
├── 清除 Windows 事件日志
├── Themida 加壳保护工具
└── Kickidler 监控软件滥用（屏幕录制、键盘记录）

数据窃取
├── FTP 外传
├── MEGA 云存储外传
├── SSL 加密通道外传
└── 单次攻击可外传高达 500GB 数据

加密部署
├── 部署载荷到 C:\temp\w.exe（需命令行密码，SHA-256 验证）
├── 使用 NETXLOADER 自定义加载器
├── SMOKEDHAM PowerShell 后门加载器
└── 横向移动：RDP、SMB、WinRM、PsExec

加密执行
├── 删除卷影副本（vssadmin delete shadows）
├── 删除备份
├── 加密文件（ChaCha20/AES-256 + RSA）
├── 重命名文件（自定义扩展名）
├── 投放勒索信
└── 在 DLS 公布数据（双勒索）

制造业          ████████████████████████████████████████ 24%
专业科技服务    ██████████████████████████████           18%
工程与建筑      ███████████████                          10%
医疗健康        ███████████████                          10%
消费与零售      ████████████                             8%
金融服务        ██████████                               7%
教育            ██████████                               高优先级
政府与公共部门  ██████████                               显著目标
其他            ██████████████████████████               15%

高概率受害特征:
├── 使用 Fortinet、Veeam、SAP、Citrix 等未修补漏洞的设备
├── 公网暴露 VPN/远程桌面端口
├── 弱口令或凭证泄露（暗网可购买）
├── 无 MFA 或 MFA 配置不当
├── 依赖 Active Directory 且未加固
├── 无 EDR 或 EDR 配置不当
├── 制造业、医疗、科技、政府等行业
├── 美国、欧洲、亚太地区企业
└── 中小企业（仅11%受害者营收超1亿美元）

┌─────────────────────────────────────────────────────────────┐
│  LockBit 被 Operation Cronos 打击（2024年初）               │
│  → 大量 LockBit 附属转入 Qilin                              │
└─────────────────────────────────────────────────────────────┘
                         ↓
┌─────────────────────────────────────────────────────────────┐
│  ALPHV/BlackCat 退出骗局（2024年）                          │
│  → 经验丰富的附属转入 Qilin                                 │
└─────────────────────────────────────────────────────────────┘
                         ↓
┌─────────────────────────────────────────────────────────────┐
│  RansomHub 停运（2025年4月）                                │
│  → 大量前关联成员转向 Qilin                                 │
└─────────────────────────────────────────────────────────────┘
                         ↓
┌─────────────────────────────────────────────────────────────┐
│  与 LockBit、DragonForce 建立新联盟（2025年）               │
│  → 进一步壮大生态                                           │
└─────────────────────────────────────────────────────────────┘

基础设施策略:
├── Cloudflare 滥用（cloudflariz.com）
├── Tor 隐藏服务（DLS）
├── Clearnet 站点（双站点策略）
├── 木马化工具分发（rv-tool.net）
├── 多 IP 多域名冗余
└── 定期迁移基础设施

title: Qilin Ransomware - Shadow Copy Deletion
id: qilin-shadow-copy-deletion
status: experimental
description: 检测 Qilin 勒索软件删除影子副本的行为
author: Threat Intelligence Team
date: 2026/06/19
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        CommandLine|contains|all:
            - 'vssadmin'
            - 'delete'
            - 'shadows'
    condition: selection
level: critical

title: Qilin Ransomware - Chrome Credential Access
id: qilin-chrome-credential-access
status: experimental
description: 检测异常的 Chrome 凭据访问行为
author: Threat Intelligence Team
date: 2026/06/19
logsource:
    category: file_access
    product: windows
detection:
    selection:
        TargetFilename|contains: 'Google\Chrome\User Data\Default\Login Data'
    condition: selection
level: high

title: Qilin Ransomware - WSL Abuse
id: qilin-wsl-abuse
status: experimental
description: 检测异常的 WSL 调用行为
author: Threat Intelligence Team
date: 2026/06/19
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        Image|endswith: '\wsl.exe'
        CommandLine|contains: 'bash'
    condition: selection
level: medium

rule Qilin_Ransomware {
    meta:
        description = "Detects Qilin ransomware samples"
        author = "Threat Intelligence Team"
        date = "2026-06-19"
        hash = "e90bdaaf5f9ca900133b699f18e4062562148169b29cb4eb37a0577388c22527"
    
    strings:
        $mz = { 4D 5A }
        $rust = "rustc" ascii
        $qilin = "Qilin" ascii
        $agena = "Agenda" ascii
        $cloudflariz = "cloudflariz.com" ascii
        $vssadmin = "vssadmin delete shadows" ascii
        $chrome = "Login Data" ascii
        
    condition:
        $mz at 0 and 3 of ($rust, $qilin, $agena, $cloudflariz, $vssadmin, $chrome)
}

# 1. 立即检查并修补漏洞
# FortiGate: 升级至 7.0.17+ 或 7.2.13+
# Veeam: 应用最新安全补丁
# SAP: 应用 CVE-2025-31324 补丁

# 2. 审计已创建账户
# 检查异常管理员账户

# 3. 全量轮换 VPN 凭证
# 特别是暴露在公网的 VPN 凭证

# 4. 禁用不必要的远程服务
# 禁用 RDP、WinRM、SMB 公网暴露

# 1. 隔离受感染主机
netsh advfirewall firewall set rule group="remote desktop" new enable=no
netsh advfirewall firewall set rule group="file and printer sharing" new enable=no

# 2. 检查异常进程
# 查找 w.exe、main.exe 等可疑进程

# 3. 检查注册表启动项
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce"

# 4. 检查影子副本
vssadmin list shadows

# 5. 检查 Chrome 凭据是否被窃取
# 检查 Login Data 文件访问记录

# 6. 检查 WSL 调用记录
# 检查异常的 bash/wsl.exe 调用

# 7. 收集取证数据