Qilin (она же Agenda) известна с 2022 года, но в 2026-м сменила характер. Раньше это была работа оператора: разведка, ручной выбор целей, переговоры. Сейчас Seqrite описывает её как автоматизированный, кроссплатформенный конвейер, который сам проходит по сети и сам находит, что шифровать.
Фаз восемь. Начинается всё с проверки аутентификации и привилегий, затем идёт профилирование гипервизоров, «переговоры» о криптографии и заканчивается массовым шифрованием с антифорензикой. Ключевой шаг — сканирование Active Directory: так вредонос строит карту домена и выбирает, куда двигаться дальше. Отдельная цель — VMware ESXi: шифрование на уровне гипервизора выключает сразу много виртуальных машин, а не по одной.
Для шифрования используются AES-256-CTR или ChaCha20. Для больниц, производств и технологических компаний результат предсказуем: простой, недоступность бизнес-критичных систем и долгое восстановление, потому что резервные копии часто лежат в том же домене.
Что с этим делать
Рецепты не новые, но в свете автоматизации меняется приоритет. Во-первых, сегментация: если из рабочей сети хоста нельзя достучаться до ESXi и vCenter, автоматический конвейер спотыкается. Во-вторых, журналирование — необычные запросы к AD и обращения к гипервизорным интерфейсам видно заранее, если их кто-то смотрит. В-третьих, резервные копии: они должны быть вне домена, с отдельными учётными данными, и хотя бы часть — офлайн.
Главное изменение в том, что скорость выросла: там, где раньше у защитников были сутки, теперь может быть час. Это аргумент за то, чтобы детекты на разведку AD и на массовые обращения к ESXi были настроены заранее, а не после инцидента.
Qilin (also known as Agenda) has been around since 2022, but in 2026 its character changed. It used to be an operator’s job: reconnaissance, manual target selection, negotiation. Seqrite now describes it as an automated, cross-platform pipeline that walks the network by itself and finds what to encrypt.
There are eight phases. It starts with authentication and privilege checks, moves through hypervisor profiling and “negotiating” cryptography, and ends with mass encryption plus anti-forensics. The key step is scanning Active Directory: that is how the malware maps the domain and decides where to go next. VMware ESXi is a separate target, because encrypting at the hypervisor level takes out many virtual machines at once.
Encryption uses AES-256-CTR or ChaCha20. For hospitals, manufacturers and technology companies the outcome is predictable: downtime, unavailable business-critical systems and a long recovery, often because backups sit in the same domain.
What to do
The remedies are not new, but automation changes their priority. First, segmentation: if a host on the workstation network cannot reach ESXi and vCenter, the automated pipeline stumbles. Second, logging: unusual AD queries and hypervisor API access are visible in advance, if anyone is watching. Third, backups: they belong outside the domain, with separate credentials, and at least some of them offline.
The real change is speed: where defenders used to have a day, they may now have an hour. That argues for having detections for AD reconnaissance and bulk ESXi access in place beforehand, not after an incident.