Qilin 勒索病毒解密与数据恢复

Qilin 勒索病毒最初于 2022 年 7 月以 Agenda 之名出现，用 Go 语言编写；2022 年 9 月改名 Qilin（麒麟）并用 Rust 完全重写，换取跨平台能力、更高加密速度与更强的静态检测规避。Trend Micro 将其运营方追踪为 Water Galura。2024 年 10 月，Halcyon 披露了升级变种 Qilin.B：采用 AES-256-CTR（硬件加速）+ ChaCha20 回退 + RSA-4096/OAEP，并新增删除备份服务、清空卷影副本、清理 Windows 事件日志与加密完成后自删除等反取证动作。

规模与活跃度是 Qilin 当前最突出的特征。2025 年 4 月 RansomHub 基础设施下线后，大量附属成员迁入 Qilin，其泄露站点公布量迅速翻倍；多家机构的季度统计显示，Qilin 从 2025 年起连续多个季度是全球受害组织数量最多的勒索团伙，2026 年上半年更被 Cyble、The Cyber Express 等列为全球攻击量第一，年度同比涨幅超过 400%，单季度泄露站点受害者接近 280 家。MOXFIVE 追踪称其自成立以来累计声称受害者约 1500 家。

与中国的相关性明确存在。Qilin 在亚太地区的活动量虽低于北美与西欧，但 2025—2026 年已有台湾电子制造与连接器企业（含代工/互联产品厂商）以及香港上市制造企业被挂上其泄露站点。这类企业的共同点正是 Qilin 最擅长打击的结构：大量 ESXi 虚拟化承载 MES/ERP、跨厂区专线互联、VPN 账号众多而 MFA 覆盖不全。对国内制造业而言，Qilin 勒索病毒是当前必须重点评估的威胁之一。

行业上，Qilin 广泛覆盖制造、医疗、物流运输、专业服务与公共部门，对中小企业与大型集团都下手；2025 年其对日本大型饮料企业的攻击曾导致数十家工厂停产，是「一次加密打停整条生产链」的典型案例。

后缀特征：Qilin 不使用固定后缀。绝大多数样本按每个受害者生成的 company ID / 随机字符串作为后缀，加到原文件名之后；部分样本使用 .qilin。因此仅凭后缀无法确认家族，必须结合勒索信与文件尾部结构。

勒索信：文件名形如 README-RECOVER-[随机字符串].txt，其中的随机串与文件后缀一致——这是识别 Qilin 最可靠的特征之一。勒索信内容由附属成员按受害者定制，常包含受害组织名称、泄露威胁与 Tor 协商入口。

主机侧痕迹：

• 安全服务、数据库、Veeam/备份代理被批量停止；Windows 事件日志被清空。
• Qilin.B 会删除与备份相关的服务，加密后自删除，现场痕迹比同类家族更少。
• 观测到 BYOVD（携带易受攻击驱动）手法用于关闭 EDR。
• 浏览器凭据窃取：从 Chrome 等浏览器批量导出保存的账号密码，用于后续横向移动。
• 部分案例中修改注册表实现安全模式自动登录后重启，以绕过运行中的防护软件。

虚拟化侧痕迹：ESXi/vCenter 上虚拟机集体关机、快照被删除、/vmfs/volumes 下出现勒索信；加密目标集中在 vmdk、vmem、vswp 等文件。同一加密器亦可在 Linux 与 FreeBSD 上运行。

Qilin 的附属成员规模大、来源杂（大量来自 RansomHub 与其他解散团伙），因此入侵手法覆盖面很广，但主线仍然清晰。

1. 边界设备与远程访问漏洞。对外暴露的 VPN、防火墙、文件传输与远程支持产品是首要入口，尤其是未修补的 Fortinet、Citrix、SonicWall 类设备，以及没有 MFA 的 SSL VPN 账号。

2. 钓鱼与凭据。带附件或链接的定向钓鱼邮件用于投递初始载荷；同时大量使用暴力破解、凭据填充与从初始访问经纪人购买的现成账号。

3. 浏览器与凭据仓库收割。进入内网后，Qilin 明显偏好从浏览器保存的密码中提取运维凭据，直接拿到 vCenter、备份控制台与网管系统。

4. 向虚拟化层纵深。取得域管或 vCenter 权限后，通过 vCenter 下发或直接 SSH 登录 ESXi，批量关机、删快照、加密 vmdk——一次动作即可让所有业务系统同时离线。

5. 双重勒索前的外传。加密前用 Rclone、云存储客户端与 SFTP 把数据打包外传，再在泄露站点施压。Qilin 还为附属成员提供谈判支持与媒体施压服务，压力手段较其他家族更系统。

投毒常安排在节假日或深夜，通过 GPO、PsExec 或计划任务在数百台主机上同时启动，压缩防守方的反应窗口。

算法：Qilin.B 使用 AES-256-CTR（在支持 AES-NI 的 CPU 上硬件加速），若目标不支持 AES-NI 则回退 ChaCha20；会话密钥用 RSA-4096（OAEP 填充） 封装后附加到加密文件尾部。整体为标准混合加密，密文侧无可利用弱点。

加密模式（关键）：Qilin 的配置支持多种模式，公开分析中出现的包括 skip-step（跳跃式）、percent（按比例） 与 fast（快速）。也就是说，同一家族在不同案例中的加密覆盖率可能相差极大：

• fast / skip-step 模式下，大文件只有开头若干块与间隔块被加密，vmdk、数据库文件中保留大量原始数据；
• percent 模式按百分比覆盖；
• 小文件与配置文件通常被全量加密。

因此「能恢复多少」在 Qilin 案例里高度个案化，必须对实际文件做加密图谱测绘后才能评估，不能按其他案例的经验套用。

破坏与反取证：

• 删除卷影副本、删除备份相关服务、清空 Windows 事件日志、加密后自删除；
• 停止数据库与安全服务，必要时借助易受攻击驱动关闭 EDR；
• 在 ESXi/vCenter 上删除虚拟机快照后再加密，这直接切断了最便捷的回滚路径；
• 支持对网络共享与 NAS 目录加密。

双重勒索：先外传后加密，泄露站点分批公布数据，并辅以媒体与客户/监管施压。