Программа-вымогатель Qilin (известная также под названиями Agenda, Water Galura, Phantom Mantis и Gold Feather) остаётся самой активной операцией такого рода в мире на протяжении трёх последовательных кварталов вплоть до первого квартала 2026 года включительно. Согласно предоставленному [анализу], совокупное число жертв превысило 1800 организаций к концу мая 2026 года, а за один квартал на сайт утечек попало более 330 записей - больше, чем суммарный показатель пятидесяти наименее активных группировок. Qilin нацелена на системы Windows, Linux и VMware ESXi, поражая практически все отрасли: от бизнес-услуг и производства до здравоохранения, финансов, образования и государственного сектора. Исключение составляют страны СНГ.
Описание
Активность Qilin демонстрирует консолидацию рынка программ-вымогателей: сейчас на десять крупнейших групп приходится около 71% всех жертв. Это резкий контраст с фрагментированным ландшафтом 2025 года. Qilin стала главным бенефициаром такой консолидации, поглотив аффилированных участников после прекращения работы BlackSuit и 8Base, а также ослабших операторов среднего звена. Группировка сохраняет устойчивость благодаря последовательной тактике переговоров и процедурам расшифровки данных, что поддерживает её репутацию в аффилированной экосистеме.
Модель вымогательства Qilin переросла из двойной в полноценную тройную. Помимо шифрования файлов и угрозы утечки данных, аффилиаты теперь регулярно применяют DDoS-атаки на оставшуюся инфраструктуру жертвы для поддержания давления во время переговоров. Панель управления переговорами дополнена функцией "Вызвать адвоката": она соединяет пострадавшую сторону с юридическими консультантами, которые стремятся добиться быстрой выплаты, используя регуляторные требования раскрытия инцидента и риск судебной ответственности. Это свидетельствует о переходе к профессиональному многовекторному вымогательству.
Значительным структурным событием стал уход в июле 2025 года самого результативного аффилиата Qilin, известного под псевдонимом Hastalamuerte. Причиной послужил публичный спор о выплатах на подпольном форуме RAMP. Hastalamuerte, ранее связанный с группировками Embargo, LockBit и Medusa, запустил собственную марку программ-вымогателей The Gentlemen, забрав с собой около 14 700 предварительно скомпрометированных устройств FortiGate и примерно 20 опытных операторов. Несмотря на эту потерю, Qilin сохранила рыночные позиции за счёт привлечения аффилиатов из прекративших существование программ и доработки собственного средства шифрования.
Деятельность аффилиатов также осложнилась из-за действий правоохранительных органов. В январе 2026 года ФБР захватило форум RAMP - основную площадку для рекрутинга и координации Qilin. После этого аффилиаты перешли на платформу ReHub и другие преемники. Эти меры создали определённые неудобства, но приток новых участников продолжился практически без перебоев через альтернативные форумы и частные каналы.
Операторы Qilin усовершенствовали технику уклонения от обнаружения. Они всё чаще используют подсистему Windows для Linux (WSL), запуская вредоносные компоненты из контекста Linux на хостах Windows. Такой подход позволяет обходить средства защиты конечных точек, не имеющие видимости WSL. Первоначальный доступ расширился за счёт эксплуатации как известных, так и нулевых уязвимостей в публичных приложениях. В частности, Qilin использовала уязвимость CVE-2025-31324 в компоненте SAP NetWeaver Visual Composer примерно за три недели до публичного раскрытия, то есть фактически применила эксплойт нулевого дня. Кроме того, группировка активно использует CVE-2024-21762 и CVE-2024-55591 в Fortinet FortiOS, а также CVE-2023-27532 в Veeam Backup & Replication. Аффилиаты расширили возможности кражи учётных данных - особенно из браузера Chrome, извлекая пароли к SaaS-платформам, Outlook Web Access и Microsoft 365. Это позволяет быстро переходить от локальной компрометации к облачным и почтовым средам.
Перемещение внутри сети было упрощено за счёт встроенного в сам шифровальщик Qilin подписанного двоичного файла Sysinternals PsExec. Сначала через PowerShell выполняется разведка Active Directory (команды Get-ADComputer, Test-Connection) для выявления компьютеров, входящих в домен. Затем встроенный PsExec сбрасывается на диск и используется для доставки полезной нагрузки Qilin на каждую доступную систему с применением похищенных учётных данных. Такой подход снижает зависимость от внешних инструментов, сокращает время между проникновением и шифрованием и затрудняет обнаружение, основанное на отслеживании загрузок административных утилит.
Учитывая устойчивое доминирование Qilin, профессиональное управление аффилиатами, тройную модель вымогательства и постоянное развитие тактик, организации должны рассматривать эту группировку как угрозу высшего приоритета на весь 2026 год. Ключевые меры защиты включают расширение покрытия средств обнаружения конечных точек на среду WSL, мониторинг аномального выполнения встроенного PsExec из процессов, не являющихся административными, и использование поведенческого анализа вместо сигнатурного. Особое внимание следует уделить сегментации Active Directory и сетей управления VMware ESXi, а также адаптации планов реагирования на инциденты к сценариям DDoS-атак и юридического давления в ходе переговоров.
Индикаторы компрометации
IPv4
- 104.21.63.167
- 176.113.115.209
- 176.113.115.97
- 177.54.223.24
- 180.131.145.73
- 184.174.96.67
- 184.174.96.74
- 188.119.66.189
- 31.41.244.100
- 68.65.122.246
- 85.209.11.49
- 88.119.174.107
Domain
- cloudflariz.com
URL
- cloudflariz.com/auload.php
- cloudflariz.com/comm.php
- http://184.174.96.74/rs64c.exe
- https://88.119.174.107:22443/file.ext
MD5
- 08a2405cd32f044a69737e77454ee2da
- 0d68a310f4265821900249bec89364c2
- 11d795baafa44b73766e850d13b8e254
- 1410b418a078559581725d14fa389cdd
- 144183a4217ae0914ba0c865858d07cd
- 14dec91fdcaab96f51382a43adb84016
- 19ff6488a259d750ec18902fe75a713b
- 1bde76f3197123dcc2ecd0bfef567484
- 1c4bea81c0da22badd9b7eab574c51cd
- 2020979e080d7ac9c0403172573c7de8
- 24a8fcd08d9e40d32929b57de9b15385
- 2bb209ccfc5103eccab523c875050cfa
- 2f76a29d4e4292d7f29a29345717812c
- 3158a3849ea2695d6ec5aea6512fd030
- 31edb01d243e8d989eb7e5aeeeef54dc
- 348b0ce6af4698061678c8e92b4b2675
- 37155f0bca29ccd6b6d4f5b2bc42eb4d
- 3b10127e65fa3e215d21e0a2e7fd32be
- 417ad60624345ef85e648038e18902ab
- 420a2c53386678396f972f09cc7f3a5c
- 440810b008eed766f085b69b1723f54b
- 470d0261d18ed69990ce94f05d940de1
- 4a3f22021e4415e8211633fb3735a046
- 4ea8adecc5bd45a76cc61430c560924f
- 53c8a4f0497929de4a5039b2c14bf426
- 575b26c1cc06609722f98e2beaed6a8a
- 5862f9fc9c9a0d766eba29eb4945f619
- 59d756280b06cf113ca43abc0050edd5
- 5cffa3126b9effc279d32b2cf4ef2278
- 63b89a42c39b2b56aae433712f96f619
- 64a590760fdbb84356544cc90ac3d50f
- 64ca549e78ad1bd3a4bd2834b0f81080
- 670fe8faaede4e2e033311fb662d2a4a
- 6b7eeb860917aa44982d8bd2d971aff1
- 6f893b1cc5cf534c59eabe932c1bf21e
- 6fc6164b3a08669992acad3764fb1922
- 826a8e8c05983aa3a884d7abcfa473ac
- 88630916b0c6633ca28c8896416a93ee
- 88bb86494cb9411a9692f9c8e67ed32c
- 8ca5c9745e8a0e18167a9b932821645a
- 923c5af6fd29158b757fb876979d250b
- 964c13b68dc6b6b918b66a9a10469d2a
- 996c394d0f6d6967df9542c52f6f4661
- 9befad1d56d2bd8195813aea1f37f921
- 9ea321b6a0f069caab7092cfe1cbbde0
- 9f510626c7327a7c2328bc5131726638
- a42d36f1af2c396e645ffa356fa47a1e
- a6302fdb63e2244c1246a73a7d65d09e
- a7ab0969bf6641cd0c7228ae95f6d217
- a7e7d00d531cb7ca27d0f3bee448573f
- ab05a1925fee8334a2114811d5283364
- b04e8ee43aba85fa5c585b9335c953c2
- b4a6152514919a637c22a58bea316fc7
- bed0f34673cc93560c17e3ab04ea5d19
- d0a711e4a51891ddf00f704d508b1ef2
- d1c331c17ddd4abe0d53755461c1ec9a
- d309e3d77ed6a336eb3ad263ddf9db90
- d67303ba66bcb4dd89de87c83f3f831f
- d6e7547ad7dfd1fbc62e8282aebcc391
- dd42c3e017889c107a81da78d87dc8af
- e01776ec67b9f1ae780c3e24ecc4bf06
- e1d41939dc4cc4116cc3439a01cfb666
- e4c1add9f7606e3fa57976b908b4b375
- ea1f8794c73b26724314e5356f1f4128
- eb6fff4ee0f03ae5191f11570ff221c5
- f588802958c35fe18eb87bc36651a3d1
- f982da00c547913fd0ae7d0da0fc77e7
- fdc6848dad660414bed9ad1b381cf6e3
SHA1
- 002971b6d178698bf7930b5b89c201750d80a07e
- 05f60fc706754b317ffc7839a2b0490f7cd6f71d
- 081cd6c242d472db9148fd0ce33346f7a3e87ac2
- 34bfe0c8aa61f90ca03b7e80271d5a8afae0be4b
- 3ef805009f8694e78699932563c09ac3b6bc08a5
- 493ff413528f752c5fce3ceabd89d2ab37397b86
- 50927809fa3f1ec408d7a1715a714831f41160db
- 5914e976598ece1a271a60615a17420319a77812
- 6b3e3ff0495d39c85eca41f336bfd5ff92c97412
- 6e35dfdf0d09a0313a33fcc6c77f4fe00a79b9dc
- 82f8060575de96dc4edc4f7b02ec31ba7637fa03
- 890581fca724935118606a4d92dbc206f9eff04c
- 9692644974071cd484455e355f8d79ce8c486e20
- a85d9d2a3913011cd282abc7d9711b2346c23899
- c2dfbf554e068195ecc40bebd0617ce09ad65784
- d4e3a066e1c1a21e3d44f2ef81a94aec42f5df11
- d9ea05933353d1f32b18696877a3396140022f03
- e18e6f975ef8fce97790fb8ae583caad1ec7d5b3
SHA256
- 0629cd5e187174cb69f3489675f8c84cc0236f11f200be384ed6c1a9aa1ce7a1
- 117fc30c25b1f28cd923b530ab9f91a0a818925b0b89b8bc9a7f820a9e630464
- 1306a6b3d73cd4dde97dc3d6407ae783a91c5f312ae77e5cf88674fc99c7caf0
- 37546b811e369547c8bd631fa4399730d3bdaff635e744d83632b74f44f56cf6
- 411b2ed12df1ace6559d3ea666c672617ce23e2ace06806bb53c55bcccb83303
- 54ff98956c3a0a3bc03a5f43d2c801ebcc1255bed644c78bad55d7f7beebd294
- 555964b2fed3cced4c75a383dd4b3cf02776dae224f4848dcc03510b1de4dbf4
- 5e9fc42cf65e1a87e953d00cb2755d3b5b00c1414259534c3a85742295bb6ff9
- 8e1eb0ad22236e325387fdb45aea63f318a672c5d035a21d7b3a64eeafb4c5a2
- 93c16c11ffca4ede29338eac53ca9f7c4fbcf68b8ea85ea5ae91a9e00dc77f01
- 9e1f8165ca3265ef0ff2d479370518a5f3f4467cd31a7b4b006011621a2dd752
- a25097d2ae808df410c2f35d725a500fb680f38605e62c9e3b619e389ef6733f
- a4e3f6633f3ececd39f0ba8c9644962bb0dd677ee0ecf22a99986d5c80e34bd7
- a51c8fcde0bcc9fe8273f99c8b23e63ca4cd0f66b22cadd0bcb0f3adb0fa05fa
- aa0772fc6784799d59649654879c2b4a23919cda410bede0162751e6d6d6b558
- bf9fc34ef4734520a1f65c1ec0a91b563bf002ac63982cbd2df10791493e9147
- c26ce932f3609ecd710a3a1ca7f7b96f1b103a11b49a86e9423e03664eaabd40
- cd27a31e618fe93df37603e5ece3352a91f27671ee73bdc8ce9ad793cad72a0f
- ceed9fdce420c0558e56bb705664d59f67d62c12d7356ca8643908261638b256
- d7e4bb95401a19f9bf7ca280a4e743229998494790ab129b31b2a6c1cebebec7
- e4882b8e8e414e983cf003a5c4038043002a004b63c4f0844a15268332597e80
- e90bdaaf5f9ca900133b699f18e4062562148169b29cb4eb3705773888c22527
- ebb2a1b46a13c308ffe62dda4d9da316d550433707b2c2a38ad710ea4456c608
