Qilin автоматизировал развёртывание и шифрование в Windows и VMware
Qilin (Agenda) эволюционировал из управляемого вручную образца программы-вымогателя в более автоматизированный модульный полезный груз. Qilin работает по модели «программа-вымогатель как услуга» с двойным вымогательством: записки направляют жертв на портал переговоров в сети Tor, а украденные данные могут опубликовать на сайте утечек, если жертвы не вступят в переговоры.
Запуск вредоносной программы зависит от пароля кампании: его хеш SHA-256 сравнивается с жёстко заданным значением. ВПО проверяет наличие повышенных привилегий и получает сведения о гипервизоре. Для шифрования оно выбирает AES-NI, если эта технология доступна, иначе использует ChaCha20. Встроенная конфигурация JSON содержит исключения для каталогов, расширений файлов и служб. Qilin обходит смонтированные диски и GUID томов, пропускает указанные системные расположения и критические расширения исполняемых файлов, а также шифрует через равные интервалы блоки размером 1 МБ, чтобы повысить пропускную способность. Программа добавляет к файлам случайное расширение и сохраняет в их подвале сессионный ключ, обёрнутый с помощью RSA-4096.
Версия для Windows использует API Restart Manager, чтобы обнаруживать и завершать процессы, блокирующие файлы. Это позволяет шифровать, например, файлы SQL Server, Exchange и виртуальных машин. Вредоносная программа также останавливает службы и процессы, удаляет теневые копии томов, размещает записки с требованием выкупа и меняет обои рабочего стола. Среди индикаторов поведения в отчёте названы изменение параметров безопасного режима с помощью bcdedit и применение Restart Manager для снятия блокировок файлов.
Новая версия автоматизирует обнаружение Active Directory с помощью модуля PowerShell: он перечисляет компьютеры домена и проверяет доступность хостов. В неё встроены 32-битные и 64-битные исполняемые файлы PsExec для развёртывания на обнаруженных хостах через административные сетевые папки. Модуль PowerShell может нацеливаться на VMware vCenter и ESXi. Он отключает HA и DRS, обнаруживает гипервизоры, загружает варианты программ-вымогателей для Linux, останавливает виртуальные машины и шифрует тома VMDK.
Среди других возможностей Qilin есть настройка Windows для перезагрузки в безопасном режиме и сканирование локальных сетей в поисках принтеров, слушающих TCP-порт 9100. На них программа может печатать записки с требованием выкупа.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
