Qilin применяет PowerShell для шифрования виртуальной инфраструктуры
Qilin, также известная как Agenda, работает с 2022 года как русскоязычная операция по предоставлению программ-вымогателей как услуги. Её аффилированные лица обычно получают первоначальный доступ через целевой фишинг, украденные учётные данные для VPN или RDP, уязвимые приложения, доступные из интернета, и злоупотребление средствами удалённого управления. Группировка в основном атакует организации в Северной Америке, Европе и других регионах, обычно избегая стран Содружества Независимых Государств. Значимая цель Qilin, организации здравоохранения. Группировка использует двойное вымогательство: до шифрования систем похищает конфиденциальные данные и угрожает опубликовать их через собственную инфраструктуру и сайт утечек WikiLeaksV2.
Действия аффилированных лиц после получения доступа
Получив доступ, аффилированные лица обычно применяют легитимные административные утилиты для перемещения внутри организации, повышения привилегий, нарушения работы средств защиты, подавления механизмов восстановления и развёртывания программ-вымогателей. Qilin может завершать работу выбранных процессов и служб Windows, в том числе связанных с базами данных, виртуализацией, резервным копированием, средствами защиты и программным обеспечением для удалённого доступа.
Группировка удаляет теневые копии томов с помощью vssadmin.exe и меняет параметры оценки символьных ссылок Windows, чтобы разрешить ссылки в режимах удалённый-локальный и удалённый-удалённый. Кроме того, Qilin может собирать журналы выполнения в архив QLOGS.zip для последующей эксфильтрации.
Шифровальщик Windows и атаки на виртуализированные среды
Исследованный образец шифровальщика для Windows представляет собой исполняемый файл PE32, написанный на Rust. Для запуска ему требуется аргумент -password с действительным значением. Программа создаёт мьютекс, чтобы не допустить одновременного запуска нескольких экземпляров, и проверяет наличие административных привилегий. Параметр --no-elevation позволяет пропустить операции, для которых нужны повышенные права.
Встроенные чёрные списки исключают из обработки системные каталоги, критически важные файлы, расположения браузеров, исполняемые и конфигурационные файлы, а также определённые процессы и службы. Шифровальщик добавляет к именам файлов уникальное для жертвы расширение, например .3Tqc380bbh, и помещает в зашифрованные каталоги записку с требованием выкупа README-RECOVER-<company-id>.txt.
Шифровальщик рекурсивно ищет файлы на локальных и обнаруженных томах хранения, используя многопоточную обработку. Для каждого файла создаётся случайный ключ длиной 32 байта, которым выполняется шифрование; затем ключ защищается с помощью RSA-4096. При обнаружении поддержки AES-NI программа выбирает AES-CTR, в противном случае использует ChaCha20.
Шифровальщик также нацелен на виртуализированные среды. Он обнаруживает виртуальные машины Hyper-V или Azure и может запускать сценарии PowerShell для установки необходимых компонентов, настройки PowerCLI, отключения служб кластера, смены паролей ESXi, включения SSH и изменения параметров хостов. Кроме того, сценарии могут загружать и запускать полезную нагрузку на хостах ESXi для шифрования инфраструктуры виртуальных машин.
Экосистему аффилированных лиц Qilin также связывали с Moonstone Sleet, Scattered Spider, хакерской группировкой The Gentlemen и Securotrop.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
