Qilin 랜섬웨어 분석

개요

Qilin 랜섬웨어는 2022년 7월 Agenda라는 이름의 서비스형 랜섬웨어로 처음 발견되었으며, 2022년 9월 Qilin 이라는 이름으로 리브랜딩된 위협 그룹이다. 중국의 신화적 생물인 기린에서 이름을 따왔지만 러시아어를 사용한다는 점, 중국 국가를 공격 대상에서 제외하는 경향 등을 근거로 러시아 기반 위협 그룹으로 평가된다.
Qilin은 2025년 전 세계에서 가장 많은 피해 기업을 발생시킨 랜섬웨어 그룹으로 집계되었으며, 한국 내에서도 동일하게 가장 많은 피해를 야기한 그룹으로 확인되었다. 특히 2025년에는 한국 금융권도 공격 대상에 포함되었다. 9월 한 달 동안 국내 랜섬웨어 피해 건수가 평균 월 2건에서 25건으로 급증했는데, 이 25건 모두 Qilin의 소행이었으며, 24건은 금융부문이었다. 11월에는 관리 서비스 제공업체를 공격해 28개 한국 기업의 데이터 약 2TB를 탈취한 ‘코리안리스크’ 공급망 공격을 수행하였으며 최근 6월에도 IT 솔루션 및 유지보수를 제공하는 업체가 Qilin의 공격을 받아 대규모 데이터 유출 사태가 발생했다.
이처럼 Qilin은 한국 기업을 정조준하며 발전, 제조, 금융, IT 등 산업을 가리지 않고 피해를 확산시키고 있다. 

Qilin 랜섬웨어

Qilin Ransomware는 다음과 같은 흐름으로 진행된다. 

상세 분석

Qilin 랜섬웨어는 “—password” 인자를 통해 올바른 비밀번호가 입력된 경우에만 악성행위를 수행한다. 입력한 비밀번호는 sha256으로 암호화 되어 내부 해시값과 비교한다 

<그림 2> Qilin 랜섬웨어 실행 시 패스워드 미입력 했을 경우

<그림 3> 패스워드 검증 부분
 

그 외에도 Qilin은 실행 인자를 통해 암호화 대상 경로, 제외 디렉터리, 동작 모드 등을 제어할 수 있도록 설계되었다. 

<그림 4> 실행 인자 목록(일부)

<표1> 실행 인자 목록(일부)

<표2> 실행 인자 목록(일부) 

Temp 경로에 QLOG 폴더를 생성한 후 폴더에 ThreadId(1).LOG 라는 이름의 로그 파일을 생성한다. 악성행위를 수행할 때마다 해당 파일에 로깅한다. 

<그림 5> QLOG 폴더 생성

<그림 6> ThreadId(1).LOG 파일 생성
 

그런 다음 악성코드가 관리자 권한으로 실행되고 있는지 확인한다. 

<그림 7> 관리자 권한 확인 

SeDebugPrivilege, SelmpersonatePrivilege 및 SelncreaseBasePriorityPrivilege 를 이용해 권한을 상승시키는 기능도 수행한다. 

<그림 8> 권한 상승

<그림 9> 권한 상승 로깅 

악성행위를 원활히 수행하기 위해 가상환경 실행 유무를 확인한다. 확인하는 가상환경은 Microsoft Hv, Vmware, VBox, KVM, XenVM 등이 있다. 하이퍼바이저가 감지되면 레지스트리 키의 존재 유무도 확인한다. 

<그림 10> 가상환경 확인 

암호화 진행을 위해 제외 폴더, 제외 확장자, 각종 모드 설정 여부를 확인한다. 

<그림 11> 암호화 제외 확장자

<그림 12> 각종 설정 확인 

<표3> 암호화 제외 확장자

<표4> 암호화 제외 파일

<표5> 암호화 제외 폴더

<표6> 종료 대상 프로세스

<표7> 종료 대상 서비스 

악성코드가 자동실행될 수 있도록 레지스트리에 등록한다. 

<그림 13> 자동실행 등록 

또한 Qilin 랜섬웨어는 설정에 따라 사용자 계정 비밀번호를 변경하며, 변경된 비밀번호로 자동로그인을 설정한다. 

<그림 14> NetUserSetInfo를 이용한 사용자 비밀번호  변경

<그림 15> 변경된 비밀번호로 자동로그온 등록 

이벤트 로그와 백업 관련 데이터를 삭제해 시스템 복구를 어렵게 한다. 

<그림 16> 볼륨 섀도우 삭제 

Qilin 랜섬웨어는 ChaCha20 또는 AES-256 암호화 알고리즘을 사용한다. 기본적으로 AES 알고리즘으로 암호화가 되지만 피해 시스템이 AES-NI를 지원하지 않을 경우엔 ChaCha20 알고리즘을 이용해 암호화를 수행한다. 암호화가 완료되면 랜섬노트를 생성하고, 배경화면을 변경한다. 

<그림 17> 랜섬노트(일부)
 

결론

Qilin은 2022년 처음 발견됐을 당시에는 단순 파일 암호화 도구에 불과했으나, 현재는 훨씬 정교한 형태로 진화했다. 다양한 방어 회피 기법을 사용하며, 악성행위를 원활하게 수행하기 위해 시스템을 안전모드로 재부팅 시키기도 한다. 또한 관리자 비밀번호를 강제로 변경해 정상 사용자의 로그인을 차단하고, 파일 복구 기능을 모두 무력화한 뒤 데이터를 탈취하는 방식을 병행하고 있다.
앞서 언급했듯이 Qilin은 2025년 한국 기업을 가장 많이 공격한 랜섬웨어 조직이며, 올해 6월에도 국내 피해 사례가 확인됐다. 공격 대상 역시 금융권에서 제조업으로, 대기업에서 중소기업으로 점차 확대되는 추세다. 국내 기업을 대상으로 한 공격이 지속되고 있는 만큼 각별한 주의가 필요하며, 사전에 대응체계를 마련해두는 것이 중요하다.