در طول سال ۲۰۲۶، توسعه‌دهندگان باج‌افزار Qilin (Agenda) تغییرات ساختاری بنیادینی در بدافزار خود اعمال کرده‌اند. نسخه اولیه این بدافزار به صورت یک اپلیکیشن بود که نیازمند ورود دستی پارامترها و دستورات توسط مهاجم بود؛ اما نسخه‌های جدید به یک Payload خودکار تبدیل شده‌اند که می‌تواند از طریق نشست‌های (Sessions) مختلف کاربر به صورت خودکار در شبکه منتشر شود. نویسندگان این بدافزار، کد خود را که به زبان Rust نوشته شده بود، به ماژول‌های مجزا تبدیل کرده و قابلیت‌هایی نظیر اسکن خودکار Active Directory، انتشار در پلتفرم‌های VMware ESXi و استفاده از Native Windows APIs را به آن افزوده‌اند.
چرخه حیات هشت مرحله‌ای اجرای باج‌افزار
بررسی‌های آزمایشگاهی نشان می‌دهد که Qilin پیش از شروع فرآیند رمزنگاری انبوه، شرایط محیطی را در هشت مرحله بررسی می‌کند:
- مرحله ۱ (Authentication): اعتبارسنجی رمز عبور کمپین با استفاده از الگوریتم SHA-256.
- مرحله ۲ (Privilege Validation): درخواست دسترسی TOKEN_QUERY برای ارتقای سطح دسترسی.
- مرحله ۳ (Hypervisor Profiling): شناسایی محیط‌های مجازی‌سازی مانند VMware و Hyper-V.
- مرحله ۴ (Crypto Negotiation): بررسی پشتیبانی سخت‌افزاری از AES-NI؛ در صورت عدم وجود، بدافزار به الگوریتم ChaCha20 سوئیچ می‌کند.
- مرحله ۵ (Config Ingestion): تجزیه یک فایل پیکربندی JSON برای تعیین لیست‌های استثنا و پسوندها.
- مرحله ۶ (Process Termination): متوقف کردن سرویس‌های حساس و پروسه‌های هدفمند در ویندوز.
- مرحله ۷ (Mass Encryption): پیمایش در درایوها و رمزنگاری فایل‌ها با استفاده از روش Intermittent Encryption برای افزایش سرعت.
- مرحله ۸ (Anti-Forensics & Extortion): پاکسازی Volume Shadow Copies و تغییر والپیپر سیستم برای نمایش پیام باج‌خواهی.
قابلیت‌های پیشرفته در نسخه اکتبر ۲۰۲۶
نسخه جدید Qilin دارای زیرسیستم‌های پیشرفته‌ای برای حمله به سازمان‌ها و دور زدن سیستم‌های دفاعی است:
- باز کردن فایل‌های قفل شده: استفاده از Windows Restart Manager API (rstrtmgr.dll) برای باز کردن و رمزنگاری فایل‌های پایگاه داده (مانند SQL Server) و فایل‌های Exchange بدون ایجاد اختلال در سرویس.
- تخریب زیرساخت‌های مجازی‌سازی: بهره‌گیری از یک مجموعه اسکریپت PowerShell برای حمله به vCenter و ESXi، غیرفعال کردن قابلیت‌های High Availability و رمزنگاری حجم‌های ذخیره‌سازی .vmdk.
- شناسایی خودکار Active Directory: نصب خودکار ماژول‌های RSAT از طریق دستور DISM برای اسکن خودکار شبکه و یافتن اهداف جدید.
- دور زدن EDR از طریق Safe Mode: دستکاری Boot Configuration Data (BCD) برای اجبار سیستم به ریبوت در حالت Safe Mode، که باعث می‌شود بسیاری از سنسورهای EDR و آنتی‌ویروس‌ها بارگذاری نشوند.
- اخاذی از طریق پرینترهای شبکه: ارسال پیام‌های باج‌خواهی به صورت فیزیکی از طریق پرینترهای شبکه با استفاده از پروتکل RAW (پورت ۹۱۰۰).
این باج‌افزار از مدل Ransomware-as-a-Service (RaaS) با استراتژی Double-Extortion استفاده می‌کند که در آن علاوه بر رمزنگاری، داده‌های سرقت شده نیز در پورتال‌های Tor منتشر می‌شوند.
