Операторы Qilin используют украденные учётные данные для доступа через VPN
Операция Qilin, ранее известная как Agenda, действует с 2022 года и предлагает программы-вымогатели как услугу. В 2025 году число её жертв в среднем превышало 40 в месяц. Сильнее всего пострадали предприятия обрабатывающей промышленности, организации, оказывающие профессиональные и технические услуги, а также оптовая торговля.
Доступ к системам и кража данных
В расследованных инцидентах выявили предположительно несанкционированный доступ через VPN с использованием скомпрометированных учётных данных администратора, опубликованных в даркнете. Злоумышленники подключались к VPN-сервисам с помощью аутентификации NTLM, без многофакторной аутентификации. Затем они получали доступ по RDP к скомпрометированным хостам и контроллерам домена.
Получив доступ, операторы изучали хосты, домены, учётные записи пользователей, группы и привилегии. Для кражи учётных данных они применяли Mimikatz, утилиты NirSoft и собственные скрипты. В пакетном файле задавался параметр реестра UseLogonCredential, включавший кэширование учётных данных WDigest. Затем злоумышленники собирали пароли из браузеров и приложений, в том числе Chrome, WinSCP, FileZilla, TeamViewer, Citrix, RDP, SSH и других клиентов. Они также очищали журналы событий Windows и включали привилегию SeDebugPrivilege.
Украденные данные упаковывали с помощью WinRAR и выгружали в облачные хранилища, в том числе Backblaze, используя Cyberduck. Для проверки файлов на наличие конфиденциальной информации злоумышленники запускали Notepad, Paint и Internet Explorer.
Перемещение по сети и развёртывание вымогателя
Для перемещения внутри компании и удалённого доступа злоумышленники использовали похищенные учётные данные, сетевые папки, RDP, PsExec, изменённые настройки брандмауэра и RDP, а также инструменты удалённого управления, включая AnyDesk, Chrome Remote Desktop, ScreenConnect и QuickAssist. Обфусцированный PowerShell отключал AMSI, обходил проверку сертификатов TLS и включал режим Restricted Admin. Этот режим облегчал аутентификацию с использованием хэшей NTLM или билетов Kerberos.
Для атаки на средства защиты EDR злоумышленники завершали работу служб, выполняли команды удаления и применяли инструменты уровня ядра, такие как dark-kill и HRSword. До шифрования они использовали Cobalt Strike Beacon и SystemBC. Cobalt Strike передавал данные по HTTPS через порт 443 с заголовками Malleable C2, в том числе с поддельным значением хоста ocsp.verisign.com.
Qilin.B развёртывали двумя способами. Файл encryptor_1.exe распространяли по хостам с помощью PsExec, а encryptor_2.exe шифровал несколько сетевых папок с одной системы. Скрипты PowerShell перечисляли объекты в средах Active Directory и VMware vCenter, отключали HA и DRS, меняли пароли root для ESXi, включали SSH и запускали исполняемые файлы на хостах ESXi.
Вымогатель также удалял снимки VSS и завершал работу служб безопасности, резервного копирования, баз данных и управления. Он нацеливался на Cluster Shared Volumes, создавал закрепление с помощью запланированных задач или ключа Run и менял обои рабочего стола.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
