Profil de Menace : Groupe Ransomware Qilin (Agenda)

Note

Résumé Exécutif : actif depuis mi-2022, Qilin (anciennement connu sous le nom d’Agenda) a rapidement évolué pour devenir l’un des syndicats de Ransomware-as-a-Service (RaaS) les plus prolifiques. Probablement d’origine russe, le groupe s’appuie sur un modèle de double et triple extorsion. Qilin se distingue par des charges utiles hautement personnalisables écrites en Go et en Rust, des chiffreurs dédiés pour VMware ESXi, et des tactiques avancées d’évasion de défense, notamment la technique Bring Your Own Vulnerable Driver (BYOVD) utilisée pour aveugler les solutions EDR.

Résumé Exécutif

Les opérateurs de Qilin se concentrent sur des secteurs à fort impact, ciblant principalement les infrastructures critiques, la santé, l’éducation et l’industrie manufacturière à l’échelle mondiale (tout en excluant strictement les pays de la CEI). À la mi-2025, Qilin a dominé le paysage des ransomwares grâce à ses tactiques agressives de multi-extorsion (chiffrement, menaces de fuite de données et attaques DDoS) et à la supériorité technique de sa plateforme de génération de malwares, permettant aux affiliés d’adapter précisément le flux d’exécution à l’environnement de la victime.

Analyse Technique et Arsenal

La Transition vers Rust

Initialement développée en Go (Golang), l’équipe Qilin a stratégiquement migré le cœur de son ransomware vers Rust. Cette transition offre deux avantages critiques :

1. Performances : Rust permet une exécution hautement concurrente et sécurisée en mémoire, réduisant drastiquement le temps de chiffrement sur de vastes réseaux d’entreprise.
2. Évasion : les binaires compilés en Rust sont notoirement difficiles à rétro-ingénierer et à signer pour les outils d’analyse statique et les moteurs antivirus traditionnels, réduisant efficacement le taux de détection initial.

Spécialisation VMware ESXi

Conscient de la centralisation des données d’entreprise, Qilin fournit à ses affiliés une variante Linux spécialement conçue pour compromettre les hyperviseurs VMware ESXi. Cela permet aux opérateurs de paralyser des dizaines de machines virtuelles en une seule exécution, impactant sévèrement les procédures de reprise d’activité (PRA).

Flux d’Exploitation et TTPs

Les analystes DFIR suivant les intrusions Qilin observent une chaîne d’exécution systématique reposant fortement sur l’exploitation de services périmétriques exposés et sur l’utilisation de techniques Living off the Land (LOLBAS).

1. Accès Initial : les affiliés pénètrent principalement via des campagnes de spear-phishing ciblées ou en exploitant des services vulnérables exposés sur Internet. Les passerelles Citrix non mises à jour et les accès RDP (Remote Desktop Protocol) mal sécurisés sont les vecteurs les plus fréquents.
2. Vol d’Identifiants : une fois le point d’ancrage établi, les opérateurs extraient la mémoire du processus LSASS à l’aide d’outils comme Mimikatz pour récupérer des mots de passe en clair et des tickets Kerberos.
3. Mouvement Latéral : le groupe utilise massivement des outils d’administration standards tels que PsExec et SecureShell (SSH) pour se propager sur le réseau sans déployer de portes dérobées personnalisées.
4. Évasion de Défense (BYOVD) : c’est la signature technique de Qilin. Avant de déployer le chiffreur, le groupe exécute une attaque Bring Your Own Vulnerable Driver (BYOVD). Ils déposent un pilote (driver) légitimement signé mais vulnérable (ex: ProcPrv.sys de l’outil Process Prowler) pour obtenir des privilèges au niveau du noyau (kernel). Depuis le noyau, ils terminent les processus de l’EDR et de l’antivirus, rendant le système totalement aveugle.
5. Exécution et Impact : la charge utile hautement personnalisée est déployée, terminant des services spécifiques (bases de données, agents de sauvegarde), excluant les chemins système critiques définis, et ajoutant une extension personnalisée aux fichiers chiffrés.

Investigation Forensique (Traces et Logs)

En raison de la forte dépendance de Qilin aux outils légitimes et à l’évasion avancée, la détection par signature est souvent inefficace. Les équipes de réponse à incident doivent se référer au Playbook d’Investigation de Ransomware et se concentrer sur la télémétrie comportementale.

Artefacts Forensiques Clés

Source de Log / Artefact	Indicateur de Compromission (IOC) et Focus de Chasse
Journaux d’Événements Système	Événement 7045 (Création de Service) : Recherchez l’installation de pilotes noyau suspects ou vulnérables (ex: ProcPrv.sys). C’est un indicateur de très haute fidélité d’une attaque BYOVD.
Journaux d’Authentification	Authentifications anormales sur les passerelles Citrix ou VPN, particulièrement si elles sont suivies de connexions RDP (Logon Type 10) provenant de serveurs de rebond compromis.
Artefacts d’Exécution	Analysez l’Amcache et les Fichiers Prefetch (.pf) pour détecter des traces de enc.exe, decryptor_[...].exe, ou l’exécution inattendue de PsExec.exe.
Hashes Connus (SHA256)	93c16c11ffca4ede29338eac53ca9f7c4fbcf68b8ea85ea5ae91a9e00dc77f01 54ff98956c3a0a3bc03a5f43d2c801ebcc1255bed644c78bad55d7f7beebd294

Stratégie de Détection et d’Atténuation

Détection (Sigma/Sysmon)

Détecter la technique BYOVD nécessite une visibilité au niveau du noyau. Les équipes DFIR doivent exploiter l’Événement Sysmon 6 (Driver Loaded) pour surveiller le chargement de pilotes vulnérables associés à Qilin.

sigma_qilin_byovd.yml

title: Detection of Vulnerable Driver Load (Qilin BYOVD)
logsource:
    product: windows
    service: sysmon
detection:
    selection:
        EventID: 6
        ImageLoaded|endswith: '\ProcPrv.sys'
    condition: selection
level: high

Atténuation

• Durcissement du Périmètre : appliquer une authentification multifacteur (MFA) stricte sur tous les points d’accès Citrix, VPN et RDP.
• Bloquer les Pilotes Vulnérables : implémenter la liste de blocage des pilotes vulnérables de Microsoft (Vulnerable Driver Blocklist) via Windows Defender Application Control (WDAC) pour neutraliser nativement le vecteur BYOVD.

Sources et Références

• HHS Cybersecurity Program : Threat Profile - Qilin, aka Agenda Ransomware
• Qualys Threat Research (2025) : Qilin Ransomware Explained: Threats, Risks, Defenses
• Check Point Cyber Hub : Qilin Ransomware
• SANS Institute : The Evolution of Qilin RaaS
• Cybersecurity News (2025) : Qilin Ransomware Leads the Attack Landscape