1. TOP
  2. ニュース&トピックス
  3. ランサムウェア「Qilin」の脅威分析：2026年最も活発なRaaS集団の攻撃手口
Technical Term

ランサムウェア「Qilin」の脅威分析：2026年最も活発なRaaS集団の攻撃手口

トピックス

概要

セキュリティ企業Zensec（旧Solace Cyber）が、ランサムウェア集団「Qilin（キリン）」の攻撃手口に関する分析を公開した。同集団はリークサイトで公開した被害組織が累計1,900件を超え、2026年第1四半期時点でも月100件以上のペースで被害を出し続けており、あらゆる公開ランサムウェア追跡サイトで首位級となっている。RansomHub、LockBit、ALPHV/BlackCatといった摘発・崩壊した集団のアフィリエイトを吸収し、2026年に入って最も活発なRaaS（Ransomware-as-a-Service）オペレーションと評価されている。

本分析は、Zensecのデジタルフォレンジック・インシデント対応（DFIR）チームが2022年半ば〜2026年にかけて実際に対応した複数の事案に基づく観測結果である。

Qilinの背景

Qilinは2022年に「Agenda」という名称で初登場し、その後リブランドと再ツール化を経て現在に至る。攻撃モデルは**二重恐喝（ダブルエクストーション）**で、まずデータを窃取し、次にシステムを暗号化する。RaaSプラットフォームを運営し、アフィリエイトは身代金の80〜85%を受け取り、残りをペイロード・インフラ・リークサイト・交渉ポータルを提供する運営者が取得する構造となっている。

概要

セキュリティ企業Zensec（旧Solace Cyber）が、ランサムウェア集団「Qilin（キリン）」の攻撃手口に関する分析を公開した。同集団はリークサイトで公開した被害組織が累計1,900件を超え、2026年第1四半期時点でも月100件以上のペースで被害を出し続けており、あらゆる公開ランサムウェア追跡サイトで首位級となっている。RansomHub、LockBit、ALPHV/BlackCatといった摘発・崩壊した集団のアフィリエイトを吸収し、2026年に入って最も活発なRaaS（Ransomware-as-a-Service）オペレーションと評価されている。

本分析は、Zensecのデジタルフォレンジック・インシデント対応（DFIR）チームが2022年半ば〜2026年にかけて実際に対応した複数の事案に基づく観測結果である。

Qilinの背景

Qilinは2022年に「Agenda」という名称で初登場し、その後リブランドと再ツール化を経て現在に至る。攻撃モデルは**二重恐喝（ダブルエクストーション）**で、まずデータを窃取し、次にシステムを暗号化する。RaaSプラットフォームを運営し、アフィリエイトは身代金の80〜85%を受け取り、残りをペイロード・インフラ・リークサイト・交渉ポータルを提供する運営者が取得する構造となっている。

 

攻撃チェーン（主な観測結果）

初期侵入

主要な侵入経路は境界のVPN機器。Fortinet SSL VPN、SonicWall SSL VPN、Cisco AnyConnect、および外部公開されたRDPが悪用されていた。共通する要因はMFAの欠如、脆弱・使い回しのパスワード、アカウントロックアウト未設定、未パッチのファイアウォールである。特にCisco ASAの脆弱性CVE-2025-20362およびCVE-2025-20333が挙げられている。

探索（Discovery） 

Advanced IP ScannerとAdvanced Port Scannerがほぼ全事案で使用。NetScan、PowerShellによるAD列挙（Get-ADComputer）、pingスイープなども補助的に用いられた。防御側が滅多にブロックしない市販ツールで構成されている点が特徴。

権限昇格・認証情報アクセス 

LSASSメモリダンプ（タスクマネージャーのGUI機能を悪用）、Mimikatz（半数以上の事案で確認）、DCSync攻撃、SYSVOL内のGPOパスワード探索、NTDS.ditの窃取などが観測された。

永続化・C2 

RMMツールの悪用が中心。MeshCentral/MeshAgent、Splashtop、RustDesk、AnyDesk、Ateraなど。加えてRDPトンネリング用にOpenSSHを利用するケースも。

横展開 

SSL VPN帯域からのRDPが全事案で確認。Impacketのpsexec.py、PsExec、ESXi/NAS向けのSSHが使われた。

収集・持ち出し 

WinRARや7-Zipで.rar形式に圧縮後、Rclone（SFTP）、Cyberduck（Backblaze B2）、MEGAcmd（MEGA）、FileZilla（攻撃者管理のFTP）で持ち出し。検知回避のため帯域制限（例：500Mbps上限）も施されていた。

防御回避 

コントロールパネルからのアンチウイルス手動アンインストール、GMER、HideUL.exe、Windows Defenderの無効化、イベントログの消去など。ただしハイパーバイザー上で直接暗号化する場合は、そもそも回避が不要となるケースも多い。

暗号化・影響 

Hyper-Vホスト、ESXiデータストア、バックアップサーバー、NASを標的とする。デスクトップとログオン画面の壁紙を「Your system has been blocked by Qilin Ransomware」に変更し、ネットワークプリンターから身代金要求文書を印刷させる事例も現地で確認された。再起動後も暗号化を継続するレジストリキー（自動起動）を作成する点も特徴。身代金要求文書は各フォルダにREADME-RECOVER-[10文字].txtとして設置される。

暗号化後の恐喝 

被害組織の経営幹部宛に一斉メールが送られることがあり、送信元ドメインはbizalerts[.]de、件名は「Final reminder: Data publication planned in X days」など。データはTor上のリークサイト（DLS）に段階的に公開されるが、「公開済み」と表示されても実際にはデータが掲載されないケースもあり、一貫性は乏しい。

 

主な対策（推奨事項）

Zensecは全組織向けに以下を推奨している。

  • 外部公開のファイアウォール・SSL VPN機器を最新ファームウェアに保ち、CVE-2025-20362/20333など実際に悪用されている脆弱性を優先対応する
  • 全SSL VPN・リモートアクセスアカウントに例外なくMFAを強制する
  • インターネットへの直接RDP公開を排除し、VPNや堅牢化した踏み台の背後に配置する
  • ファイアウォール/SSL VPNとADの両方でアカウントロックアウトとブルートフォース対策を適用する
  • ドメイン管理者権限アカウントがSSL VPNに認証できないようにする
  • EDRを全資産（サーバー・ハイパーバイザー管理ホストを含む）に展開し、改ざん防止（テンパープロテクション）を有効化して特権ユーザーによる無効化を防ぐ
  • Credential Guard / LSA保護（RunAsPPL）でLSASSを保護する
  • SYSVOLから平文・GPPパスワードを削除する
  • 承認済みRMMツールの許可リストを整備し、それ以外を検知・ブロックする
  • ESXi/Hyper-Vを堅牢化（不要時はSSH無効化、ロックダウンモード有効化、管理を専用セグメントに制限）
  • バックアップはドメイン外に保管し、少なくとも1つはイミュータブルなオフサイトコピーを保持する（3-2-1ルール）
  • MEGA、Backblaze B2、任意のSFTP/FTPなど、持ち出しに使われるクラウドストレージへの外部通信を監視・制限する

なお、元記事にはASN、ファイルハッシュ（SHA-256）などの詳細なIOC（侵害指標）一覧やMITRE ATT&CKフローマップも掲載されている。Advanced IP/Port Scanner、Rclone、WinRARなど正規ツールも含まれるため、自環境で照合する際は誤検知に注意が必要とされている。

出典

Zensec「Unmasking Qilin: The Ransomware tactics you can't afford to ignore」（2026年7月7日） https://zensec.co.uk/blog/unmasking-qilin-the-ransomware-tactics-you-cant-afford-to-ignore/

 

記載者：片山　昌樹（セキュリティ＆マネージド事業部 アイズオンフォレンジックチーム）

一覧に戻る