- Qilin, o RaaS de Elite
- Infraestrutura Qilin
- Programa de Afiliados
- Modus Operandi Tático
- Mitigações Essenciais
- Infraestrutura Qilin
- Indicators of Compromise (IoCs)
- YARA Rule: Qilin.yar
- Referências
Qilin, o RaaS de Elite
Em minhas últimas apresentações, incluindo a MVP Conf Edição 2025, dediquei atenção especial ao ransomware Qilin, pois os dados recentes do campo de batalha cibernético são inegáveis: apenas no último mês, mais de 30% dos 100 ataques mais ativos catalogados envolveram essa variante de Ransomware-as-a-Service (RaaS). Segundo dados de outubro de 2025, o Qilin foi o grupo mais ativo, com 27 incidentes reportados, contribuindo para um total de 586 ataques e 22.790 vítimas globais registradas naquele mês.
Qilin, o RaaS de Elite
O Qilin, que opera desde meados de 2022 e é conhecido também pelo seu nome anterior, Agenda Ransomware, possui suas raízes na comunidade underground de língua russa[1]. Seu nome, que remete a uma criatura mítica chinesa, reflete a discrição e o poder que o grupo busca projetar.
O Qilin é um adversário que pratica a “caça de grandes alvos” (Big Game Hunting), concentrando-se em criptografar redes corporativas inteiras e exigir resgates que, frequentemente, atingem milhões de dólares.
“Detectar um ataque do Qilin não é apenas reagir — é antecipar. O uso de TTPs conhecidos permite que equipes de SOC configurem regras SIGMA, YARA e correlações de SIEM para caçar sinais antes da criptografia começar.”
- Tecnologia: O ransomware Qilin é escrito em Golang, uma linguagem que facilita a criação de payloads multiplataforma e a evasão de detecções baseadas em assinaturas. Ele suporta múltiplos modos de criptografia, todos controlados pelo operador
- Modelo de Dupla Extorsão: Sua tática primária é a Dupla Extorsão (Double Extortion), onde, além de criptografar os dados, os operadores roubam informações sensíveis e ameaçam publicá-las em seu Data Leak Site (DLS), aumentando drasticamente a pressão para o pagamento do resgate.
- Alvos Prioritários: O grupo tem atacado consistentemente setores críticos. Os 5 principais setores alvo incluem Manufatura, Saúde, Tecnologia, Serviços Empresariais e Serviços Financeiros.
- Plataformas de Alto Valor: Além de Windows e Linux, o Qilin foca na exploração de ambientes de virtualização VMware ESXi, que são alvos de alto valor por hospedarem múltiplas máquinas virtuais críticas
Programa de Afiliados
O Qilin RaaS opera como um negócio sofisticado, recrutando afiliados em fóruns exclusivos como o RAMP. Sua estrutura de pagamento é uma das mais atrativas no mercado de cibercrime:
- 80% do valor do resgate para o afiliado, para pagamentos de até US$ 3 milhões.
- 85% do valor do resgate para o afiliado, para pagamentos acima de US$ 3 milhões
Essa alta divisão atrai grupos de ameaça experientes, como DEV-0237 (FIN12), o conhecido pela engenharia social Octo Tempest (SCATTERED SPIDER), e até mesmo o ator estatal norte-coreano Moonstone Sleet, demonstrando a confiança depositada no ecossistema do Qilin.
Modus Operandi Tático
As campanhas do Qilin seguem um ciclo de ataque metódico, com ênfase em evasão de defesas e uso de ferramentas nativas do sistema.
A. Acesso Inicial e Evasão
O acesso inicial é frequentemente obtido por meio de:
- Phishing/Spear-Phishing Direcionados: Campanhas focadas em roubar credenciais, incluindo senhas e senhas de uso único (OTPs) de MFA.
- Exploração de Vulnerabilidades: Uso de falhas conhecidas em soluções de perímetro, como Fortinet, VPNs e RDP, que o grupo explora para obter acesso inicial. Uma tática recente envolveu o uso de phishing para comprometer ferramentas RMM (Remote Monitoring and Management) de Provedores de Serviços Gerenciados (MSPs).
B. Movimento Lateral e Persistência (Living-Off-the-Land)
A furtividade do Qilin é marcada pelo uso da técnica Living Off the Land Binaries (LOLBins), aproveitando ferramentas legítimas já presentes no sistema operacional para fins maliciosos.
| Fase do Ataque | Ferramenta/Tática | Objetivo |
| Descoberta | powershell.exe Import-Module ActiveDirectory | Mapear o domínio e identificar alvos. |
| Descoberta/Recon | Nmap, Nping | Identificação de serviços e hosts vulneráveis na rede. |
| Acesso a Credenciais | sekurlsa::logonpasswords (via Mimikatz) | Extrair credenciais e hashes da memória para uso posterior . |
| Execução/C2 | Cobalt Strike e Tráfego HTTP/SSL | Estabelecer e manter o Comando e Controle (C2). |
| Movimento Lateral | PsExec, WinRM | Executar comandos remotamente e se mover de host para host. |
| Evasão de Defesas | EDRSandBlast, PCHunter, PowerTool | Desativar ou se camuflar de soluções de segurança e monitoramento. |
Em um movimento que demonstra a maturidade do ecossistema RaaS, o administrador do Qilin, “Haise,” anunciou a adição de um recurso de “assistência jurídica” (“call lawyer”) ao painel de afiliados em junho de 2025. O objetivo não é fornecer defesa legal, mas sim auxiliar os afiliados a:
- Aumentar a Pressão: Classificar os dados roubados e determinar a exposição regulatória do alvo sob leis como GDPR, CCPA e HIPAA.
- Justificar o Resgate: Convencer as vítimas de que os custos de multas, ações judiciais e danos à reputação seriam maiores do que o valor do resgate.
Mitigações Essenciais
Combater um APT como o Qilin requer uma estratégia de defesa em profundidade, combinando proteção de identidade, monitoramento comportamental e resiliência de dados:
- Fortalecimento da Identidade e Acesso:
- Implementar MFA (Multi-Factor Authentication) em todos os acessos remotos e administrativos.
- Utilizar Microsoft Entra ID com políticas de Acesso Condicional e autenticação forte (como FIDO2).
- Monitoramento Comportamental e Detecção de TTPs:
- Aplicar políticas de segurança avançadas com Microsoft Defender for Identity, Azure Firewall e Intune [cite: OCR].
- Usar ferramentas de SIEM/SOAR como Microsoft Sentinel e Defender for Endpoint / Cloud para detecção comportamental, identificando o uso de ferramentas LOLBins (PsExec, WinRM) e o uso de utilitários de AD [cite: OCR, 1].
- Desenvolver e testar sistemas DLP (Data Loss Prevention) para impedir a exfiltração de dados que alimenta a dupla extorsão.
- Resiliência e Recuperação (Imutabilidade):
- Testar e Manter Backups regularmente, garantindo que o tempo de recuperação (RTO) seja aceitável.
- Utilizar Azure Backup com o recurso de Cofre Imutável (Immutable Vault), impedindo que os dados de backup sejam deletados ou modificados, mesmo por um administrador comprometido, frustrando a fase final do ataque [cite: OCR].
- Garantir que comandos como vssadmin.exe delete shadows falhem em excluir pontos de restauração cruciais.
- Treinamento Humano:
- Treinar usuários continuamente contra phishing e engenharia social, que são os vetores de acesso inicial mais comuns do grupo, especialmente quando se trata de MSPs e ambientes críticos.
Infraestrutura Qilin
Site de vazamento de dados Qilin:
- ozsxj4hwxub7gio347ac7tyqqozvfioty37skqilzo2oqfs4cw2mgtyd[.]onion
- kbsqoivihgdmwczmxkbovk7ss2dcynitwhhfu5yw725dboqo5kthfaad[.]onion
- Ijzn3sicrcy7guixkzjkib4ukbiilwc3xhnmby4mcbccnsd7j2rekvqd[.]onion
Portal das Vítimas de Qilin:
- ozsxj4hwxub7gio347ac7tyqqozvfioty37skqilzo2oqfs4cw2mgtyd[.]onion
Portal de afiliados Qilin:
- ji57fr53anp7wb44tbbnp72qcgbhqywy4jmbncawdcrejj5amuvh3zqd[.]onion
Site da Qilin Clearnet:
- wikileaksv2[.]com (31.41.244[.]100)
Indicators of Compromise (IoCs)
YARA Rule: Qilin.yar
https://www.ransomware.live/yara/Qilin/Qilin.yar
Seja o primeiro a comentar