Vue d’ensemble
Le rançongiciel Qilin a été observé pour la première fois en juillet 2022. Écrit en Golang, il prend en charge plusieurs modes de chiffrement, tous contrôlés par l’opérateur. Les acteurs de Qilin pratiquent la double extorsion : ils exigent un paiement pour le déchiffreur, ainsi que pour la non-publication des données volées.
- Premier suivi: 2022-10-08
- Citée dans nos rapports: France · Synthèse du Golfe · Koweït · Maghreb · Oman · Qatar · Arabie saoudite · Turquie · Émirats
Ce que disent les sources publiques
Alias: Agenda · Gold Feather · Water Galura
- Active sous le nom Agenda dès la mi-2022, rebaptisée Qilin en septembre 2022. Le nom évoque l’Asie de l’Est, mais les indices pointent vers une opération russophone.
- Indices à l’appui : sa charge utile peut éviter les paramètres régionaux russes et est-européens, et les affiliés sont recrutés sur des forums russophones.
Géographie : origine et cibles
Origine estimée: Russie. Évaluée comme russophone : la charge utile peut éviter les paramètres régionaux russes et est-européens et les affiliés sont recrutés sur des forums russophones. L’attribution est incertaine : à lire comme une évaluation, pas comme une preuve.
États-Unis d'Amérique987
Royaume-Uni113
Canada111
France109
Allemagne92
Espagne80
Italie70
Australie44
Japon44
Mexique37
Vulnérabilités exploitées
| Éditeur | Produit | CVE | Catégorie | Source |
|---|---|---|---|---|
| Apache | Apache bRPC | CVE-2025-60021 | Applications | ctrlaltintel.com |
| SmarterTools | SmarterMail | CVE-2026-24423 | Applications | ctrlaltintel.com |
| SolarWinds | SolarWinds Web Help Desk | CVE-2025-40554 | Applications | ctrlaltintel.com |
| Telnet | Telnetd in GNU Inetutils | CVE-2026-24061 | Applications | ctrlaltintel.com |
| Veeam | Backup & Replication | CVE-2023-27532 | Applications | labs.withsecure.com, blogs.blackberry.com, welivesecurity.com, sophos.com, news.sophos.com, security.com, group-ib.com |
| Zemana AntiLogger | CVE-2024-1853 | Pilotes | binarydefense.com | |
| Fortinet | FortiOS | CVE-2025-59718 | Équipements de bordure | ctrlaltintel.com |
| Fortinet | FortiOS & FortiProxy | CVE-2024-21762 | Équipements de bordure | ccb.belgium.be, checkpoint.com |
| Fortinet | FortiOS & FortiProxy | CVE-2024-55591 | Équipements de bordure | esentire.com, forescout.com, s-rminform.com, checkpoint.com, ccb.belgium.be, checkpoint.com |
| Check Point | VPN Remote Access and Mobile Access | CVE-2026-50751 | Équipements de bordure | blog.checkpoint.com |
| WatchGuard | WatchGuard Fireware OS | CVE-2025-9242 | Équipements de bordure | ctrlaltintel.com |
| WatchGuard | WatchGuard Fireware OS | CVE-2025-14733 | Équipements de bordure | ctrlaltintel.com |
| SAP | NetWeaver Visual Composer | CVE-2025-31324 | Applications | arkemcyber.com |
| Palo Alto Networks | Cloud NGFW | CVE-2026-0257 | Équipements de bordure | Articwolf |
| Cisco | Secure Firewall Management Center (FMC) | CVE-2026-20316 | Équipements de bordure | thehackernews.com |
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Accès initial (TA0001)
- T1078 · Valid Accounts: Identifiants compromis utilisés pour s’authentifier via VPN et RDP. Qilin vole notamment des identifiants dans les navigateurs Chrome des postes compromis avant le chiffrement.
- T1190 · Exploit Public-Facing Application: Exploitation de vulnérabilités d’équipements VPN et d’outils d’administration à distance pour obtenir un accès initial.
- T1566.003 · Phishing: Spearphishing via Service: Des affiliés de Qilin ont mené de l’hameçonnage ciblé contre des administrateurs de fournisseurs de services managés via ScreenConnect pour atteindre leurs clients en aval, ainsi que des campagnes d’hameçonnage avec des pages de collecte d’identifiants visant les portails VPN et SSO.
Exécution (TA0002)
- T1059.001 · Command and Scripting Interpreter: PowerShell: Des scripts PowerShell servent à l’exécution de la charge utile, au déplacement latéral et aux tâches de post-exploitation.
- T1059.004 · Command and Scripting Interpreter: Unix Shell: Des scripts shell servent à exécuter la variante Linux/ESXi de la charge utile Qilin.
Persistance (TA0003)
- T1053.005 · Scheduled Task/Job: Scheduled Task: Des tâches planifiées sont créées pour maintenir la persistance et exécuter des scripts de post-exploitation.
Évasion des défenses (TA0005)
- T1027 · Obfuscated Files or Information: La variante Qilin.B (octobre 2024) a introduit une obfuscation renforcée et des techniques anti-analyse par rapport aux versions précédentes.
- T1562.001 · Disable or Modify Tools: Les outils de sécurité et solutions EDR sont désactivés par des scripts batch et des modifications de stratégie de groupe.
Accès aux identifiants (TA0006)
- T1003.001 · OS Credential Dumping: LSASS Memory: La mémoire LSASS est extraite pour récolter des identifiants en vue du déplacement latéral et de l’élévation de privilèges.
- T1555.003 · Credentials from Web Browsers: Qilin a notamment déployé un script sur mesure pour voler les identifiants stockés dans les navigateurs Google Chrome de toutes les machines jointes au domaine via une stratégie de groupe, une technique distinctive observée pour la première fois lors de l’attaque contre Synnovis (NHS, juin 2024).
Découverte (TA0007)
- T1046 · Network Service Discovery: L’analyse réseau sert à énumérer les hôtes et services de l’environnement de la victime.
- T1082 · System Information Discovery: Des informations système sont collectées pour adapter l’attaque et identifier les cibles de grande valeur.
Déplacement latéral (TA0008)
- T1021.001 · Remote Services: Remote Desktop Protocol: RDP est utilisé pour le déplacement latéral dans les réseaux des victimes.
- T1021.002 · Remote Services: SMB/Windows Admin Shares: SMB est utilisé pour propager les charges utiles et se déplacer latéralement dans le réseau.
Collecte (TA0009)
- T1560.001 · Archive Collected Data: Archive via Utility: Les données sont compressées et archivées avant l’exfiltration.
Exfiltration (TA0010)
- T1567.002 · Exfiltration Over Web Service: Exfiltration to Cloud Storage: Les données sont exfiltrées vers un stockage cloud et des serveurs contrôlés par l’acteur pour la double extorsion via le site de fuite de Qilin.
Commande et contrôle (TA0011)
- T1071.001 · Application Layer Protocol: Web Protocols: Communication de commande et contrôle en HTTPS ; Tor est utilisé pour les portails des victimes.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Qilin (anciennement Agenda) utilise ChaCha20 pour chiffrer les fichiers et RSA-4096 pour protéger les clés. D’abord écrit en Go, il a ensuite été réécrit en Rust (Qilin.B). Il cible Windows, Linux et VMware ESXi. Attaque notable : les services de pathologie Synnovis du NHS (juin 2024), à l’origine de plus de 10 000 rendez-vous annulés. RaaS actif avec un partage de revenus élevé pour les affiliés.
- T1490 · Inhibit System Recovery: Les clichés instantanés sont supprimés et les instantanés ESXi retirés pour empêcher la récupération des machines virtuelles.
Outils
Vol d’identifiants
- Mimikatz
Évasion des défenses
- EDRSandBlast
- PCHunter
- PowerTool
- Toshiba power management driver (BYOVD)
- Updater for Carbon Black’s Cloud Sensor AV (upd.exe)
- YDArk
- Zemana Anti-Rootkit driver
Découverte
- Nmap
- Nping
Exfiltration
- EasyUpload.io
- MEGA
Outils natifs détournés
- PowerShell
- PsExec
- WinRM
- fsutil
Réseau et tunnels
- Proxychains
Outils offensifs
- Cobalt Strike
- Evilginx
- Kali Linux
- NetExec
- SystemBC
- Tofsee
Outils d’administration à distance
- NetSupport
- ScreenConnect
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| Qilin | DLS | ozsxj4hwxub7gio347ac7tyqqozvfioty37skqilzo2oqfs4cw2mgtyd[.]onion | Non |
| Qilin blog | DLS | ijzn3sicrcy7guixkzjkib4ukbiilwc3xhnmby4mcbccnsd7j2rekvqd[.]onion | Oui |
| DDOS Protection | DLS | kbsqoivihgdmwczmxkbovk7ss2dcynitwhhfu5yw725dboqo5kthfaad[.]onion | Non |
| Sign In | Admin | ji57fr53anp7wb44tbbnp72qcgbhqywy4jmbncawdcrejj5amuvh3zqd[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11