100'den Fazla Vakadan Qilin Ransomware'ın Operasyon Modeli
Arete'nin Qilin araştırması 100'den fazla incident-response vakasından elde edilen operasyonel veriyi malware analiziyle birleştiriyor. Bulgular edge-device exploitation, legitimate credential abuse, remote-management araçları ve recovery sistemlerinin hedeflenmesini öne çıkarıyor.
Yayın Tarihi: 08 Eylül 2026 · Son Güncelleme: 08 Eylül 2026 · 3 dk okuma · Hazırlanma yöntemi: AI destekli + editör kontrolü
Incident-response şirketi Arete, Qilin ransomware hakkında gerçek IR vakalarına ve malware analizine dayanan kapsamlı bir araştırma yayımladı.
Araştırmanın önemli farkı yalnızca tek bir encryptor sample'ına dayanmaması.
Arete 2023'ten bu yana Qilin ile ilişkilendirilen 100'den fazla olaya müdahale ettiğini belirtiyor.
Ne Oldu?
Gerçek IR verilerine göre Qilin-affiliated saldırganlar initial access için özellikle:
- internet-facing edge cihazlarındaki açıkları,
- legitimate credential'ları
kullanabiliyor.
Bu durum ransomware'ın ilk detection noktasının her zaman malware olmayacağını gösteriyor.
Saldırgan normal VPN veya remote-access login'iyle başladığında klasik IOC'ler ortaya çıkmadan uzun süre ilerleyebilir.
Kullanılan Araçlar
Arete vakalarında gözlemlenen araçlar arasında:
- Mimikatz
- LaZagne
- FGDump
- PsExec
- Splashtop
- Mesh Agent
- Atera
- ScreenConnect
- AnyDesk
- network scanner'lar
- WinRAR
- WinSCP
- FileZilla
- Rclone
- MEGAsync
bulunuyor.
Listenin önemli bölümü meşru yönetim veya file-transfer utility'lerinden oluşuyor.
Encryptor Capability'leri
Analiz edilen Windows encryptor çok sayıda command-line seçeneği destekliyor.
Bunlar Windows sistemlerine yayılma, vCenter/ESXi host'larına payload dağıtma, belirli IP/path hedefleme, cluster ortamlarını etkisiz hale getirme ve Safe Mode ile encryption başlatma gibi seçenekleri içeriyor.
Bu capability'ler Qilin affiliate'lerinin payload davranışını kurban ortamına göre uyarlayabildiğini gösteriyor.
Recovery ve Loglar
Qilin örneği:
- Volume Shadow Copy'leri silebiliyor,
- VSS servisini durdurabiliyor,
- Windows event loglarını temizleyebiliyor,
- backup ve security servislerini hedefleyebiliyor.
Bu nedenle backup ve logging sistemlerini normal production domain'in bir uzantısı olarak tasarlamak ransomware blast radius'ını büyütebilir.
BT Ekipleri Neyi Kontrol Etmeli?
- İnternet-facing edge appliance envanterini yönetin.
- Administrative remote access'te MFA zorunlu olsun.
- RMM araçlarının allowlist'ini oluşturun.
- Yeni AnyDesk, ScreenConnect, Atera veya benzeri installation'ları izleyin.
- PsExec ve credential-dumping davranışlarını privileged sistemlerde izleyin.
- Rclone/MEGAsync/WinSCP ile olağandışı outbound transferleri kontrol edin.
- VSS deletion ve backup-service stop olaylarını yüksek öncelikli hale getirin.
- ESXi/vCenter yönetim düzlemini Active Directory compromise'dan mümkün olduğunca ayırın.
Kaynaklar
- Arete — “Malware Spotlight: Qilin Ransomware”
İlgili İçerikler
Yedekleriniz Gerçekten Ransomware'e Dayanıklı mı?
Active Directory Ransomware Saldırılarında Neden Kritik?
MFA Varken Ransomware Nasıl Gerçekleşebilir?
Qilin
Kurumunuz bu senaryoya hazır mı?
Ücretsiz ön değerlendirme ile kimlik, yedekleme, segmentasyon, EDR, görünürlük ve kurtarma hazırlığınızı ölçün.
Değerlendirme hizmeti Sparta Siber Güvenlik tarafından sunulmaktadır.
Diğer Gelişmeler
INC Ransom Vakasında İki Aşamalı Saldırı ve İkinci Baskı Notu
Huntress'ın incelediği INC Ransom vakası; random isimli scheduled task'lar, RDP ile yanal hareket, AnyDesk, vulnerable-driver kullanımı ve 17 günlük sessiz dönem üzerinden saldırının iki aşamalı yapısını gösteriyor. İkinci ransom note ise baskının artık yalnızca şifreleme üzerinden kurulmadığını ortaya koyuyor.
Cl0p'un Leak Sitesi Ele Geçirildi: Önceki Kurbanlar İçin İkincil Şantaj Riski
ShinyHunters, Cl0p'un leak sitesini ele geçirip deface etti. Olay yalnızca iki suç grubu arasındaki çatışma değil; geçmiş kurban verilerinin yeniden kullanılması, sahte gönderiler ve ikincil şantaj açısından ayrıca değerlendirilmesi gereken bir risk.
Cisco FMC Açıkları Gerçek Saldırılarda Kullanılıyor: Qilin ile Uyumlu Ransomware Operasyonu Gözlemlendi
Cisco Talos, Cisco Secure Firewall Management Center üzerindeki CVE-2026-20079 ve CVE-2026-20316 zafiyetlerinin gerçek saldırılarda kullanıldığını açıkladı. İncelenen saldırı kümelerinden birinde saldırganın iç ortam keşfi, credential toplama, tünelleme ve şifrelenecek sistemleri belirleme faaliyetlerinin Qilin ransomware affiliate'larının davranışlarıyla uyumlu olduğu değerlendirildi.