Badacze bezpieczeństwa odkryli wieloplatformową kampanię ransomware, w której grupa Qilin (znana też jako Agenda) wdrażała binaria linuksowe na hostach z systemem Windows, skutecznie omijając zabezpieczenia punktów końcowych i przejmując firmowe systemy kopii zapasowych.
Przebieg ataku
Trend Micro informuje, że Qilin wykorzystał legalne narzędzia do zdalnego dostępu — w tym AnyDesk, ATERA RMM i ScreenConnect — aby przemieszczać się po sieci i uruchamiać swój linuksowy ładunek ransomware na maszynach z systemem Windows.
„Ta technika umożliwia działania o niskiej wykrywalności, które wyłączają opcje odzyskiwania, wykradają poświadczenia do kopii zapasowych i neutralizują zabezpieczenia punktów końcowych za pomocą ataków BYOVD [Bring Your Own Vulnerable Driver]” — powiedział Trend Micro.
Qilin połączył WinSCP do transferu plików z Splashtop Remote do uruchamiania ładunku, wykorzystując zarówno komponenty Windows, jak i Linux w sieciach hybrydowych.
Atakowane zasoby
Atakujący skupili się na infrastrukturze kopii zapasowych Veeam, zbierając poświadczenia z wielu baz danych kopii zapasowych, aby przed wdrożeniem ransomware sparaliżować możliwości odtwarzania awaryjnego.
Ładunek wyświetlał żądanie okupu z unikalnymi poświadczeniami do portalu negocjacyjnego grupy — cechą charakterystyczną działalności Qilin w modelu Ransomware-as-a-Service (RaaS).
Inżynieria społeczna i uzyskanie początkowego dostępu
Kampania rozpoczęła się od wyrafinowanego ataku phishingowego z użyciem fałszywych stron CAPTCHA hostowanych w Cloudflare R2, imitujących ekrany weryfikacyjne Google.
Strony te instalowały infostealery, które wykradały poświadczenia, tokeny i pliki cookie przeglądarki, dzięki czemu Qilin mógł:
- Omijać uwierzytelnianie wieloskładnikowe (MFA)
- Przemieszczać się po sieci, używając prawidłowych sesji użytkowników
- Uruchamiać ładunki w kontekście legalnych użytkowników
Skala globalna
Według Trend Micro i Cisco Talos:
- Od stycznia Qilin dotknął ponad 700 organizacji w 62 krajach.
- Do najbardziej dotkniętych krajów należą USA, Francja, Kanada, Wielka Brytania i Niemcy.
- Ofiary pochodzą z sektorów produkcji, usług finansowych, ochrony zdrowia i technologii.
- Tempo ataków: ok. 40+ przypadków miesięcznie, ze szczytem 100 w czerwcu i sierpniu 2025 r.
Qilin należy do kartelu ransomware wraz z LockBit i DragonForce, które dzielą się infrastrukturą i informacjami wywiadowczymi, aby zwiększyć swój zasięg.
Zalecane środki bezpieczeństwa
Aby bronić się przed wieloplatformowym ransomware, takim jak Qilin:
- 🔒 Ogranicz narzędzia do zdalnego dostępu (AnyDesk, ATERA, Splashtop itp.) wyłącznie do autoryzowanych hostów.
- 🧠 Włącz telemetrię z systemów Linux i Windows do monitoringu EDR/SOC.
- 🧱 Utwardź infrastrukturę kopii zapasowych i monitoruj nieautoryzowany dostęp do poświadczeń.
- 🧾 Stosuj MFA odporne na phishing i śledź nietypowe ponowne użycie tokenów lub sesji.
- 🚫 Wykrywaj wykorzystanie BYOVD dzięki monitorowaniu integralności sterowników jądra.
Spostrzeżenia Alcaeus Services
Skoro grupy ransomware sięgają po ładunki wieloplatformowe, tradycyjne zabezpieczenia skupione wyłącznie na Windows przestają wystarczać.
W Alcaeus Services pomagamy organizacjom:
- Wdrażać wieloplatformową widoczność EDR (Windows + Linux)
- Wzmacniać mechanizmy kontroli opartej na tożsamości oraz polityki dostępu
- Budować odporne strategie kopii zapasowych, które wytrzymują ataki wykorzystujące skradzione poświadczenia
