Le groupe de ransomware Qilin, aussi connu sous le nom Agenda, continue sa montée en puissance avec une nouvelle méthode d’attaque particulièrement sophistiquée. Des chercheurs ont observé des campagnes où le malware combine un payload Linux exécuté sur des systèmes Windows avec la technique BYOVD (Bring Your Own Vulnerable Driver) afin de neutraliser les solutions de sécurité.
Cette approche montre l’évolution rapide des groupes ransomware modernes, qui ne cherchent plus seulement à chiffrer des fichiers, mais à désactiver les défenses avant l’attaque.
Une charge Linux lancée sur Windows
L’un des aspects les plus marquants de cette campagne est l’utilisation d’un binaire Linux déployé dans des environnements Windows.
Les attaquants exploitent plusieurs outils légitimes de télémaintenance et de transfert de fichiers pour livrer ce payload hybride, ce qui permet :
- de contourner certaines protections centrées sur Windows
- de compliquer l’analyse des EDR classiques
- d’augmenter la furtivité de l’attaque
- d’exécuter le chiffrement plus discrètement
Cette technique cross-platform représente une nouvelle difficulté pour les équipes SOC.
BYOVD : désactiver les protections avant le chiffrement
Qilin utilise également la méthode BYOVD, qui consiste à charger un pilote légitime mais vulnérable afin d’obtenir des privilèges élevés au niveau noyau du système.
Cela permet ensuite de :
- désactiver antivirus et EDR
- stopper des services critiques
- contourner certaines protections Windows
- masquer des activités malveillantes
Les cybercriminels transforment ainsi des composants légitimes en armes offensives.
Une menace mondiale en forte croissance
Qilin est devenu l’un des groupes ransomware les plus actifs de 2025. Selon les données relayées, il a revendiqué 84 victimes en août et septembre 2025, avec un pic de 100 cas en juin.
Les secteurs les plus visés incluent :
- industrie manufacturière
- services professionnels
- santé
- finance
- secteur public
Le groupe opère selon un modèle Ransomware-as-a-Service (RaaS), permettant à des affiliés de lancer les attaques.
Chaîne d’attaque observée
Les campagnes Qilin reposent souvent sur plusieurs étapes :
- vol ou achat d’identifiants
- accès initial via VPN ou outils distants
- élévation de privilèges
- déploiement d’outils RMM comme AnyDesk ou ScreenConnect
- suppression des sauvegardes et journaux
- chiffrement final et extorsion
Cette approche méthodique maximise l’impact financier sur les victimes.
Comment se protéger
Les experts recommandent :
- restreindre l’usage des pilotes tiers non validés
- surveiller les chargements de drivers suspects
- limiter les outils de télémaintenance non autorisés
- protéger les accès VPN avec MFA
- segmenter les réseaux critiques
- tester régulièrement les sauvegardes hors ligne
Une nouvelle génération de ransomwares
Qilin illustre une tendance claire : les ransomwares deviennent des opérations offensives complètes, capables d’utiliser des techniques autrefois réservées aux groupes étatiques ou APT.
Source : The Hacker News
