qilin

正体と来歴

Qilin は、2022年8月に「Agenda」として確認され、翌月に Qilin へ改称した RaaS 型ランサムウェアである [s2][s6]。名称は中国神話の生き物に由来する [s4][s6]。RansomLook の記録上、リークサイトへの初出は 2022-10-08 で、連絡手段は Jabber と Tox である [s1]。Check Point は 2022年9月までに改称したと記し、cybelangel は同年10月に最初の被害者が Agenda 名義で掲載されたとする [s4][s6]。実装は Go と Rust が中心で、Windows、Linux、VMware ESXi に対応する [s2][s5][s6]。Group-IB は 2023年3月にこのグループへ潜入し、アフィリエイト用管理パネルを分析した。パネルは Targets、Blogs、Stuffers、News、Payments、FAQs の各項目で構成される [s2]。Tox 上で、フォーラム RAMP で特定された Haise と接触し、分配率は 300万ドル以下なら 80%、超えれば 85% とされた [s2]。一方、Check Point や Acronis は運営側の取り分を 15〜20% と記している [s3][s4]。リクルート投稿はロシア語で、「CIS 諸国では活動しない」と書かれていた [s2]。このため Check Point は「ロシア系の可能性」を指摘し、cybelangel は Russia との関連を示しつつ政府による正式な帰属はないとする [s4][s6]。

手口

初期侵入は、フィッシング、盗まれた VPN/SSO 認証情報、Chrome を狙うインフォスティーラー、Citrix や RDP などの公開サービスの悪用である [s3][s4]。ThreatLocker は、IAB から購入した認証情報や BEC も挙げる [s5]。Fortinet の CVE-2024-21762 と CVE-2024-55591 の悪用が確認されており、Check Point によると、この攻撃は自動化され、アフィリエイトは標的を選ぶだけで実行できる [s3][s4][s6]。cybelangel は、TeamCity の CVE-2024-27198 や Veeam の CVE-2023-27532 の悪用も挙げる [s6]。Acronis は SAP NetWeaver の CVE-2025-31324 と SimpleHelp の CVE-2024-57726〜57728 を挙げるが、いずれも可能性の指摘にとどまる [s3]。横展開には Cobalt Strike、Mimikatz、NetExec、PsExec、RMM ツールが使われる [s3][s4]。ThreatLocker の観測では PsExec は英数字のランダム名へ改名され、Nmap による偵察も確認された [s5]。cybelangel によれば、AnyDesk、ScreenConnect、Splashtop、TeamViewer も侵入で観測され、データの持ち出しには Rclone、Cyberduck、WinRAR が使われた [s6]。BYOVD として TPwSav.sys も挙がっている [s6]。ThreatLocker は C2 ドメインに cloudflariz[.]com、cybelangel は bloglake7[.]cfd を挙げる [s5][s6]。暗号化は ChaCha20、AES、RSA-4096 を用い、モードは normal、step-skip、fast、percent から選べる [s4]。被害者ごとの会社 ID が拡張子に付く [s4]。Qilin.B は Rust 製で、セキュリティ関連サービスの停止、イベントログ消去、ボリュームシャドウコピー削除を行う [s4]。脅迫は二重恐喝で、窃取データを Tor 上のリークサイトに掲載すると脅す [s2][s4]。交渉の圧力手段として、法務専門家へアクセスできる「Call Lawyer」機能が追加された [s3][s4][s5]。ランサムノートのファイル名には README-RECOVER-[company_id].txt などがある [s6]。

標的と主な被害

標的の業種は幅広く、製造業が最多で、医療や技術分野が続く [s5][s6]。地域は米国が中心で、フランス、カナダ、英国、ドイツ、ブラジルが続く [s5]。Group-IB が 2023年5月に確認したリークサイトの 12 社には、日本の組織が 1 件含まれていた [s2]。2024年6月には英国の Synnovis を攻撃し、5,000万ドルの身代金を要求した。約 400GB を公開し、病院の予約や手術に大きな支障が出た [s4][s6]。日本では、2025年9月末にアサヒグループホールディングスが被害を受けた [s3][s6]。Qilin 側は約 27GB・9,300 ファイルを窃取したと主張した [s3][s6]。cybelangel によると、侵入は盗まれた認証情報によるもので、ゼロデイや新規ツールはなかった [s6]。Acronis は侵入経路について公式発表はないとする [s3]。操業停止の範囲や損失額は出典間で食い違う。Acronis は国内6か所の製造施設の停止と最大約500億円の損失の可能性を伝える [s3]。cybelangel は約30工場の大半が停止し、国内ビール6工場は10月2日に再開し、売上損失は約50億円と推計されたとする [s6]。同社は 11 月に 150 万人超の個人データ流出も確認した [s6]。

動向

Check Point によれば、アフィリエイトの募集は 2023年後半に確認され、RansomHub の停止を受けて 2025年に再び活発化した [s3][s4]。ThreatLocker は 2024年の活動が前年の約4倍、2025年は14倍になり、被害は 900 件超に達したと述べる [s5]。cybelangel は 2025年の被害主張が 1,000 件超だったとし、2026年1月も勢いが続くと記す [s6]。2025年9月には、LockBit および DragonForce との連携が発表された [s5][s6]。10月には、Windows Subsystem for Linux 内で Linux 版暗号化ツールを動かして EDR を回避する手口が報告された [s6]。2026年には、Check Point VPN の CVE-2026-50751 を悪用した侵入に Qilin のアフィリエイトが関与したとされた。Check Point は確度を中程度としている [s6]。同年 Q2 には Halcyon の追跡で月間の出力が約3分の1減り、元アフィリエイトの TheGentlemen が6月に月間首位となった [s6]。