Grupo Qilin

Qilin emplea un modelo RaaS para distribuir su ransomware basado en Rust. Realiza doble extorsión, exfiltrando datos antes del cifrado masivo de sistemas. Explota vulnerabilidades en aplicaciones públicas y abusa de RDP para el acceso inicial. Utiliza Cobalt Strike para C2 y herramientas como Rclone para la exfiltración de datos. Busca eliminar backups y desactivar recuperación para asegurar el pago del rescate.

Cronología y evolución

• Finales de 2022: Aparición inicial como ‘Agenda’ y enfoque en organizaciones de salud. El grupo emergió con el nombre de Agenda, utilizando un payload de ransomware. Sus operaciones iniciales se centraron predominantemente en el sector de la salud, buscando explotar la criticidad de los sistemas y la urgencia de la recuperación. Esto les permitió probar y refinar sus TTPs en entornos de alta presión.

• Principios de 2023: Rebranding a Qilin y adopción del payload de Rust. El grupo cambió oficialmente su nombre a Qilin, marcando una evolución significativa. Introdujeron un nuevo payload de ransomware escrito en Rust, ofreciendo mayor flexibilidad y capacidades de evasión. Esta transición también implicó la adopción de un modelo RaaS más formal.

• Mediados de 2023: Desarrollo y despliegue de variantes para Linux y ESXi. Qilin expandió su arsenal con variantes específicas para entornos Linux y VMware ESXi. Esta capacidad les permitió atacar infraestructuras de virtualización críticas, aumentando el impacto potencial. La focalización en ESXi demuestra una sofisticación creciente para deshabilitar las copias de seguridad y la recuperación de VMs.

• Finales de 2023: Aumento de la actividad y enfoque en grandes empresas. El grupo intensificó sus operaciones, dirigiéndose a organizaciones más grandes y con mayores ingresos. Refinaron sus técnicas de acceso inicial y exfiltración, buscando maximizar los pagos de rescate. Esta fase demostró una mayor madurez operativa y una estrategia de victimización más agresiva.

Resumen del ataque

Acceso inicial

Obtiene acceso inicial explotando vulnerabilidades en software expuesto a internet, como FortiOS SSL-VPN (CVE-2022-42475). También aprovecha el acceso a RDP expuestos a internet, a menudo mediante fuerza bruta o credenciales robadas. El phishing dirigido para obtener credenciales válidas es otro vector común, facilitado por brokers de acceso inicial.

Acceso a credenciales

Estas credenciales permiten un movimiento lateral más fácil y la elevación de privilegios dentro del dominio.

Persistencia y evasión

Establece persistencia mediante la creación de nuevas tareas programadas para ejecutar el ransomware o balizas de C2. Modifican claves de registro para autoarrancar sus ejecutables en el inicio del sistema. La creación de cuentas de usuario locales con privilegios elevados también es un método común.

Movimiento lateral

Emplean herramientas como PsExec para ejecutar cargas útiles en sistemas remotos de manera eficiente. El acceso SSH a hosts ESXi también se utiliza para comprometer la infraestructura virtual.

Exfiltración

La exfiltración de datos es una fase crítica de la doble extorsión de Qilin. Utilizan Rclone para sincronizar grandes volúmenes de datos con servicios de almacenamiento en la nube, como MEGA o Dropbox. También pueden establecer servidores de staging temporales controlados por el atacante. El objetivo es obtener información sensible para aumentar la presión sobre la víctima.

Cifrado

El cifrador de Qilin implementa un modelo de cifrado híbrido multihilo para maximizar la velocidad de impacto, protegiendo los datos mediante algoritmos simétricos como AES-256 o ChaCha20, mientras que el intercambio de claves se resguarda con RSA-2048 o RSA-4096. Dependiendo de la variante (Windows, Linux o VMware ESXi), el malware emplea modos de cifrado parcial u optimizado con protección contra interrupciones en el flujo de archivos.

Una clave pública RSA-4096 se utiliza para cifrar la clave ChaCha20 de cada archivo. Esto hace la recuperación sin la clave privada del atacante prácticamente imposible.

Impacto y destrucción

El impacto se maximiza eliminando las copias de seguridad y los puntos de restauración del sistema. El grupo ejecuta vssadmin.exe delete shadows y wmic shadowcopy delete para erradicar las instantáneas de volumen. Desactivan la recuperación de Windows con bcdedit /set {default} recoveryenabled No. Esto asegura que las víctimas no puedan restaurar archivos desde copias locales.

Víctimas y geografía

Las víctimas de Qilin se distribuyen globalmente, con una alta concentración en América del Norte y Europa. El grupo selecciona objetivos con altos ingresos, independientemente del sector. No muestran una preferencia geográfica específica, sino una focalización en la capacidad de pago. Este enfoque maximiza la probabilidad de éxito en la extorsión.

Fuentes

• SentinelOne — Qilin Ransomware: Unveiling The Linux/ESXi Threat
• BleepingComputer — Qilin Ransomware hits multiple companies