Вторжение с участием шифровальщика Qilin не ограничилось запуском самого шифровальщика, и этот факт меняет картину инцидента для тех, кто разбирает его последствия. Внутри атаки обнаружили S5PIVOT - прокси для обратного подключения, написанный на Python и встроенный в чужое вторжение как отдельный инструмент доступа к заражённым системам. Утилита даёт тому, кто ведёт атаку, постоянный канал связи с заражённой машиной, поэтому для попавшей в эпизод организации угроза не заканчивается одним лишь шифрованием файлов.
Описание
По данным Hexastrike Cybersecurity, речь идёт о разборе конкретного инцидента с шифровальщиком, а не об обзоре семейства вредоносного ПО или целой кампании. Прокси скрывался внутри вторжения с Qilin, и, судя по описанию, его код не связан с кодом самого шифровальщика и не повторяет его логику. Публикацию о находке подготовил Maurice Fielenbach; материал датирован 7 ноября 2026 года и посвящён одному разобранному случаю, а не серии атак.
Такой прокси устроен не так, как обычный посредник, через который трафик проходит в обе стороны. Соединение инициирует заражённая сторона, поэтому канал открывается изнутри и не требует постоянного доступа к периметру организации извне. Для наблюдателя эта активность сливается с исходящими запросами к внешним сервисам, и одна лишь проверка входящих подключений её не выявляет.
Язык реализации в этом случае значит больше, чем конкретный набор возможностей утилиты, и объясняет, почему её так легко переносить. Python работает на разных платформах, поэтому одна и та же программа запускается на нескольких хостах без отдельной сборки под каждый из них. Для того, кто ведёт атаку, это упрощает поддержку канала сразу на нескольких машинах и сокращает время на подготовку новой версии инструмента.
Qilin относится к шифровальщикам, и его прямое действие состоит в том, чтобы сделать данные недоступными и потребовать выплату за возврат доступа. Прокси в такой схеме решает другую задачу и обеспечивает связь с сетью, где уже есть заражённые системы и рабочие сегменты. Оба элемента в одном эпизоде, предположительно, говорят о разделении ролей между инструментами и о том, что доступ поддерживали отдельно от шифрования данных.
На стороне сети такой канал проявляется слабо и внешне не выглядит как вторжение в инфраструктуру организации. Обычно он виден по исходящим соединениям к внешнему узлу, который не относится к привычным для организации сервисам. Отличить его от рабочего трафика по одному признаку нельзя, а сам внешний узел может меняться от эпизода к эпизоду, если его перестраивают.
Не установлено, как именно S5PIVOT оказался в сети, кто поместил его на заражённый хост и какой доступ он в итоге получил. Детали доставки, срок работы прокси до обнаружения и состав остальных инструментов в том же эпизоде не раскрыты. Неясен и масштаб: один эпизод не показывает, применяли ли утилиту в других вторжениях, а связь прокси с конкретными операторами Qilin не подтверждена. После удаления шифровальщика доступ в сеть может сохраниться, и на этом разбирательство не заканчивается.
Отдельного YARA-правила в публикации нет; полный список индикаторов приведён ниже.
Индикаторы компрометации
