Qilin
Qilin, 8 Eki 2022 tarihinden bu yana sızıntı sitesinde 2.690 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 2.690
- İlk ilan
- 8 Eki 2022
- Son ilan
- 7 Kas 2026
- MITRE ATT&CK tekniği
- 55
Qilin fidye yazılımı ilk olarak 2022 yılının Temmuz ayında tespit edildi. Qilin fidye yazılımı Golang dilinde yazılmıştır ve birden fazla şifreleme modunu desteklemektedir; bunların tümü operatör tarafından kontrol edilmektedir. Qilin saldırganları çift şantaj uygulamaktadır – hem şifre çözücü için ödeme talep etmekte, hem de çalınan verilerin yayınlanmaması karşılığında ödeme talep etmektedir.
Son 12 ayda 1.573 ilan verdi; en yoğun ay Ekim 2026 oldu (335 ilan).
En çok hedeflenen ülke Amerika Birleşik Devletleri: 1.096 ilan, toplamın %41 kadarı.
En çok hedeflenen sektör İmalat: 546 ilan, toplamın %20 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
2.690 sonucun 10 tanesi gösteriliyor
Grubun saldırılarında 14 aşamaya yayılan 55 MITRE ATT&CK tekniği belgelendi.
- 1
Keşif
Saldırı öncesinde hedef kurum hakkında bilgi toplanır.
T1590.004Gather Victim Network Information: Network Topology - 2
Kaynak hazırlığı
Saldırıda kullanılacak altyapı, hesap ve araçlar hazırlanır.
T1587.001Develop Capabilities: Malware - 3
İlk erişim
Kurum ağına ilk giriş yapılır.
T1078Valid AccountsT1190Exploit Public-Facing ApplicationT1566PhishingT1566.003Phishing: Spearphishing via Service - 4
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1059.001Command and Scripting Interpreter: PowerShellT1059.004Command and Scripting Interpreter: Unix ShellT1569System ServicesT1569.002System Services: Service Execution - 5
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1037Boot or Logon Initialization ScriptsT1053Scheduled Task/JobT1053.005Scheduled Task/Job: Scheduled TaskT1098.004Account Manipulation: SSH Authorized KeysT1136Create AccountT1547Boot or Logon Autostart Execution - 6
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1068Exploitation for Privilege Escalation - 7
Savunmadan kaçınma
Güvenlik yazılımları ve kayıtlar atlatılır.
T1027Obfuscated Files or InformationT1036.001Masquerading: Invalid Code SignatureT1134.004Access Token Manipulation: Parent PID SpoofingT1211Exploitation for Defense EvasionT1480Execution GuardrailsT1497.001Virtualization/Sandbox Evasion: System ChecksT1553.002Subvert Trust Controls: Code SigningT1562.001Disable or Modify ToolsT1562.004Impair Defenses: Disable or Modify System FirewallT1564Hidden ArtifactsT1564.003Hidden Artifacts: Hidden Window - 8
Kimlik bilgisi erişimi
Parola, jeton ve oturum bilgileri ele geçirilir.
T1003.001OS Credential Dumping: LSASS MemoryT1040Network SniffingT1110.002Brute Force: Password CrackingT1555.003Credentials from Web Browsers - 9
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1012Query RegistryT1046Network Service DiscoveryT1082System Information DiscoveryT1614System Location Discovery - 10
Yanal hareket
Ağ içinde başka sistemlere geçilir.
T1021Remote ServicesT1021.001Remote Services: Remote Desktop ProtocolT1021.002Remote Services: SMB/Windows Admin SharesT1021.004Remote Services: SSHT1570Lateral Tool Transfer - 11
Veri toplama
Sızdırılacak veriler seçilir ve bir araya getirilir.
T1560.001Archive Collected Data: Archive via UtilityT1602.002Network Device Configuration Dump - 12
Komuta ve kontrol
Ele geçirilen sistemlerle uzaktan iletişim kurulur.
T1001Data ObfuscationT1001.001Data Obfuscation: Junk DataT1071.001Application Layer Protocol: Web ProtocolsT1572Protocol Tunneling - 13
Veri sızdırma
Veriler kurum dışına çıkarılır; ilandaki yayımlama tehdidi bu veriye dayanır.
T1011Exfiltration Over Other Network MediumT1011.001Exfiltration Over Other Network Medium: Exfiltration Over BluetoothT1048.003Exfiltration Over Alternative Protocol: Unencrypted Non-C2 ProtocolT1567.002Exfiltration Over Web Service: Exfiltration to Cloud Storage - 14
Etki
Sistemler şifrelenir ya da hizmet durdurulur.
T1486Data Encrypted for ImpactT1490Inhibit System RecoveryT1561Disk WipeT1561.001Disk Wipe: Disk Content Wipe
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
Qilin kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1078 · Valid Accounts
- T1190 · Exploit Public-Facing Application
- T1566 · Phishing
- T1566.003 · Phishing: Spearphishing via Service
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Güvenlik yazılımının kapatılmasını ve kayıtların silinmesini alarm olarak tanımlayın.
- Çalışan parolalarının ve oturum çerezlerinin infostealer kayıtlarında görünüp görünmediğini düzenli kontrol edin.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
- Ağı bölümlere ayırın; yönetim protokollerini yalnız yönetim ağından erişilebilir tutun.
- Büyük hacimli dosya arşivleme işlemlerini izleyin.
- Uzaktan yönetim araçlarının onaysız kullanımını engelleyin.
- Bulut depolama ve dosya aktarım hizmetlerine giden olağandışı veri hacmini izleyin.
- Ağdan ayrılmış, değiştirilemez yedek tutun ve geri yüklemeyi düzenli olarak deneyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.