2026.11.07 セキュリティ

Qilinランサムウェアとは：Talosが確認した侵入から暗号化までの手口と痕跡を調べるコマンド

Qilin（キリン）は、2022年に「Agenda」の名で報告されたRaaS型のランサムウェアです。2025年にアサヒグループホールディングスへの犯行声明が報じられ、2026年10月8日には警察庁が、Qilinを主導していたとみられるロシア国籍の被疑者をドイツへ引き渡したと公表しました。この記事では、Trend Micro・Cisco Talos・MITRE ATT&CKの一次情報からQilinの手口を整理し、その痕跡をWindows端末とvCenter・ESXiで確かめるコマンドと、先に着手すべき対策の順番を示します。

まとめ：Qilinランサムウェアの手口と自社で先に確かめる4つの点検項目

Qilinは、運営者が暗号化プログラムとリークサイトを用意し、アフィリエイトと呼ばれる実行役が企業に侵入する分業型の犯罪グループです。中心人物とみられる被疑者が拘束されても、実行役が残る限り攻撃は止まりません。手口は、多要素認証の無いVPNへ盗んだ認証情報でログインし、管理者権限を奪ってデータを持ち出したうえで、PsExecとグループポリシーで社内に暗号化プログラムを配るという流れです。vCenterとESXiも狙われ、仮想マシンがまとめて止まります。

自社で先に確かめるのは次の4点です。

VPNとリモートアクセスの全アカウントに多要素認証が掛かっているか
Windows端末に、Qilin.Bが残すタスク名・ログフォルダ・レジストリ変更が無いか
ESXiで未署名バイナリの実行を拒否する設定が有効か、SSHが開いていないか
バックアップが、ドメイン管理者の権限では消せない場所にあるか

1と4は痕跡の有無に関係なく今週中に着手し、2と3はこの記事のコマンドで確かめます。

Qilinランサムウェアとは｜Agendaから続くRaaSの成り立ちと活動規模

QilinはMITRE ATT&CKにソフトウェアS1242として登録されています。ATT&CKのQilinの項目は別名をAgenda、対象をESXi・Windows・Linuxとし、2026年4月23日更新のv2.0で50を超える攻撃技術を対応づけています。

2022年にTrend Microが報告したGo製Agendaと被害者ごとの設定

最初の公開分析は、Trend Microが2022年8月25日に出したAgendaランサムウェアの調査です。Go言語で書かれた64ビットのWindows実行ファイルで、ダークウェブ上の「Qilin」という利用者の投稿と身代金要求文から結びつけられました。標的はインドネシア・サウジアラビア・南アフリカ・タイの医療機関と教育機関で、要求額は5万〜80万米ドルでした。

特徴は、被害企業ごとに作り分ける点にあります。暗号化したファイルの拡張子になる会社ID、RSA公開鍵、停止させるプロセスとサービス、事前に盗んだアカウント情報までがサンプルごとに埋め込まれていました。ある事例では公開されたCitrixサーバーから侵入され、侵入から感染まで2日未満です。

アフィリエイトが攻撃を実行するRaaSの分業と二重恐喝の流れ

RaaS（Ransomware as a Service）では、運営者が暗号化プログラムと交渉用のサイトを提供し、侵入と展開はアフィリエイトが担います。MITRE ATT&CKは、Qilinを展開したMoonstone Sleet（G1036）と、運営者のWater Galura（G1050）を挙げています。侵入の手順は実行役ごとに異なるのが実態です。

暗号化の前にデータを盗み、支払わなければリークサイトで公開すると脅す二重恐喝をとるため、暗号化から復旧できても漏えいの問題は残ります。

2025年6月に掲載約100件、製造業が約23%を占めたTalosの集計

Cisco Talosが2025年10月26日に公開したQilinの攻撃手法の調査によると、リークサイトへの掲載は2025年6月の約100件が最多で、1月を除き毎月40件を超えました。国別では米国が最も多く、カナダ・英国・フランス・ドイツが続きます。

業種の内訳は製造業が約23%で最多、専門・科学技術サービスが約18%、卸売業が約10%でした。出荷を止められると損失が日単位で膨らむ業種が上位に並びます。

2026年10月の警察庁広報と拘束後も続く国内企業への犯行主張

警察庁は2026年10月8日の報道発表で、ドイツがQilinを主導していたとみられるロシア国籍の被疑者を逮捕したと広報したことを明らかにしました。ドイツが逮捕状を取っていた被疑者が来日したため、法務省・東京高等検察庁・ドイツと連携し、逃亡犯罪人引渡法に基づく仮拘禁許可状で身柄を拘束して引き渡しています。拘束は5月、引き渡しは10月2日と報じられていますが、この2つの日付は警察庁の資料にはありません。

拘束の後も、京王電鉄のグループ会社を狙った2026年9月の攻撃でQilinが犯行を主張したと報じられています。経緯と公式発表の範囲は京王電鉄のランサムウェア被害とQilinの犯行主張に、2025年の事案と拘束の詳細はアサヒサイバー攻撃の時系列まとめにまとめています。

Qilinの侵入から暗号化までの手口｜TalosとATT&CKが示す実行手順

Talosが複数の事案から復元したQilin.Bの手順を、攻撃の段階ごとに並べます。

多要素認証の無いVPNと流出した管理者認証情報から始まる侵入

Talosが追った事案では、管理者の認証情報がダークウェブに出回ってから約2週間後に、VPNへのNTLM認証が大量に試され、侵入に成功しました。そのVPNには多要素認証が設定されていません。攻撃者はVPN経由でドメインコントローラーへRDPで接続しています。ATT&CKは初期侵入として、CitrixやRDPなど公開サービスの脆弱性の悪用、添付ファイルやリンクつきの標的型メールも挙げています。

VPNから入りActive Directoryの管理者権限を奪う流れは、両毛システムズのランサムウェア被害でも公表されており、入口にQilin特有の手口はありません。

MimikatzとWDigest設定の変更で進める認証情報の窃取と横展開

侵入後は、パスワードつき圧縮ファイルで持ち込んだMimikatz、NirSoftのパスワード回収ツール、SharpDecryptPwdで認証情報を集めます。SharpDecryptPwdの対象はWinSCP・TeamViewer・FileZilla・Google Chrome・RDCManなど、管理者の端末に入っていることが多い道具です。さらにレジストリのWDigestのUseLogonCredentialを1にして、メモリ上に平文のパスワードが残るようにします。

横展開では、レジストリのfDenyTSConnectionsを0にしてRDPを開け、net share c=c:\ /grant:everyone,fullでCドライブ全体を共有します。AnyDesk・ScreenConnect・QuickAssistなど6種の遠隔操作ツールも確認されました。

WinRARでの圧縮とCyberduckによるクラウドへの持ち出し

持ち出しには、正規のソフトがそのまま使われます。WinRARで対象のフォルダを圧縮し、ファイル転送ソフトのCyberduckでクラウドストレージのBackblazeへ分割アップロードしていました。どちらも業務で入っていて不自然ではないため、ウイルス対策ソフトの検知だけでは見逃しやすくなります。手がかりは、普段その端末から出ない宛先への大量の送信です。

PsExecとグループポリシーで社内端末へ配る暗号化プログラム

Qilin.Bは2種類の暗号化プログラムを使い分けます。encryptor_1.exeはPsExecで各端末へ配られ、パスワードと--spreadの指定つきで実行されます。encryptor_2.exeは、1台から複数のネットワーク共有をまとめて暗号化するプログラムです。起動時の引数のパスワードが合わないと動きません。

ATT&CKは、グループポリシーでスケジュールタスクを配る手口と、TeamViewerを装ったタスク名「TVInstallRestore」を記録しています。Talosの事案では、このタスクがログオン時にSYSTEM権限で実行されるよう登録されていました。

シャドウコピー削除・ログ消去・EDR停止で復旧と調査を妨げる処理

暗号化の前に、復旧と調査の手段をつぶします。VSSサービスを起動してvssadmin.exe Delete Shadows /all /quietでシャドウコピーを消し、その後に行うのが、VSSサービスの無効化です。全イベントログを一覧して消去し、EDRはアンインストーラの実行やカーネルドライバの悪用で止めます。2022年のAgendaの時点から、端末をセーフモードで再起動して検知を避ける動きも報告されています。

vCenterに届くと、HAとDRSを止め、ESXiのrootパスワードを変えてSSHを開けてから暗号化プログラムを送り込みます。

段階	Qilinの主な動き	ATT&CK	この記事の点検
初期侵入	MFAの無いVPN・公開サービス	T1078・T1190	VPNのMFA棚卸し
認証情報	Mimikatz・WDigest変更	T1003	WDigestの値
横展開	RDP有効化・C全体の共有	T1021	RDPと共有の一覧
実行・永続化	GPO配布・偽装タスク	T1484.001・T1053.005	タスク名とRunキー
復旧妨害	VSS削除・ログ消去	T1490・T1070.001	イベント1102とVSS
仮想基盤	HA・DRS停止とSSH有効化	T1490・T1021.004	esxcliとPowerCLI

技術IDはTalosとATT&CKのS1242の記載です。

Windowsで侵入の痕跡を探す｜Qilin.Bの痕跡を調べるPowerShellの手順

管理者権限のPowerShellで1台ずつ実行できる、読み取りだけの確認手順です。結果は端末名つきのCSVに保存し、後から比べます。

TVInstallRestoreタスク・QLOGフォルダ・設定変更の有無を一括で確認

Talosが記録したQilin.Bの痕跡のうち、端末に残りやすいものをまとめて確かめます。タスクの照会はGet-ScheduledTask、シンボリックリンク評価の照会はfsutil behaviorの仕様に沿っています。

# Qilin.B（Cisco Talos 2025-10-26）が残す痕跡を確認する。読み取りのみ
$r = [ordered]@{}
$r.Host = $env:COMPUTERNAME
# 1. TeamViewerを装うタスク名
$r.TVInstallRestore = [bool](Get-ScheduledTask -TaskName 'TVInstallRestore' -ErrorAction SilentlyContinue)
# 2. 暗号化プログラムの実行ログ（%TEMP%\QLOG）
$r.QLOG = (@($env:TEMP, 'C:\Windows\Temp') | Where-Object { Test-Path (Join-Path $_ 'QLOG') }) -join ','
# 3. 平文パスワードをメモリに残すWDigest設定（1なら要調査）
$r.WDigest = (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest' -ErrorAction SilentlyContinue).UseLogonCredential
# 4. RDPの許可（0なら許可）
$r.fDenyTSConnections = (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server').fDenyTSConnections
# 5. 管理共有（末尾$）以外でCドライブ全体を出している共有
$r.CShare = (Get-SmbShare | Where-Object { $_.Path -eq 'C:\' -and $_.Name -notlike '*$' }).Name -join ','
# 6. Runキーの一覧（ランダムな小文字の名前に注意）
$r.RunKeys = (Get-Item 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run').Property -join ','
# 7. リモート側のシンボリックリンク評価（R2R・R2L）
$r.Symlink = (fsutil behavior query SymlinkEvaluation) -join ' '
[pscustomobject]$r | Export-Csv -Path ".\qilin_check_$env:COMPUTERNAME.csv" -NoTypeInformation -Encoding UTF8
[pscustomobject]$r

TVInstallRestoreがTrue、QLOGに値がある、Cドライブ全体の共有がある場合は、侵入を強く疑います。WDigestが1、RDPが許可、見覚えのないRunキー、Remote to remote・Remote to localのリンク評価が有効といった結果は単独では断定できないため、変更日時と他の痕跡を合わせて見ます。

イベントログの消去とVSSサービス無効化の記録を探す調査クエリ

ログを消されても、「消した」という記録は残ります。セキュリティログの消去はイベントID 1102として記録されるとMicrosoftの説明にあり、Systemログの消去で残るのは、イベントID 104の記録です。照会にはGet-WinEventを使います。

# 過去30日のログ消去と、VSSサービスの起動種別を確認する
$since = (Get-Date).AddDays(-30)
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 1102; StartTime = $since } -ErrorAction SilentlyContinue |
  Select-Object TimeCreated, Id, MachineName
Get-WinEvent -FilterHashtable @{ LogName = 'System'; Id = 104; StartTime = $since } -ErrorAction SilentlyContinue |
  Select-Object TimeCreated, Id, Message
# Qilin.BはVSSの起動種別をManualからDisabledへ変える
Get-CimInstance Win32_Service -Filter "Name='VSS'" | Select-Object Name, StartMode, State

保守作業の記録が無いのにログ消去が出た場合や、VSSのStartModeがDisabledになっている場合は、侵入の一部として扱います。ログ全般の読み方は不正アクセスの調べ方とログの確認方法で確認できる内容です。痕跡が見つかった端末は電源を切らずにネットワークから外し、ランサムウェアの初動対応の手順に沿って隔離と証拠保全を進めます。

vCenterとESXiの守り方｜HA・DRS停止とroot変更に備える設定確認

ESXiが暗号化されると、その上の仮想マシンが一度に止まります。ATT&CKは、QilinがESXiのVMkernelやNutanix AHV、Linuxを見分けて動作を変えると記録しています。

execInstalledOnlyとSecure Bootをesxcliで確認する手順

ESXiには、署名つきVIBで入れたもの以外の実行ファイルを拒否するexecInstalledOnlyという設定があります。BroadcomのKB 373898に記載されているのは、確認方法と設定を強制する手順です。ESXiのシェルで次を実行します。

# ConfiguredとRuntimeがともにTRUEか
esxcli system settings kernel list -o execinstalledonly
# Require Executables Only From Installed VIBs と Require Secure Boot が true か
esxcli system settings encryption get

Talosの事案では、攻撃者がこの制限を外してから暗号化プログラムを送り込んでいました。KBは、設定の有効化に加えてesxcli system settings encryption set --require-exec-installed-only=TRUEで強制する手順まで示しています。有効化には再起動が必要です。連携製品の部品（VIB）の導入に失敗した例もBroadcomのKBに載っています。本番の前に、検証用のホストで連携製品の動作を確かめます。

インタプリタ経由のスクリプトは止まらないというBroadcomの注記

同じKBは、この設定を有効にしてもPythonなどのインタプリタ経由で動く未署名のスクリプトは止められないと明記しています（ESXi 8.x まで）。rootを取られた後の操作をすべて防ぐ設定ではありません。

守りの中心は、root権限を取らせないことです。ESXiの管理用ネットワークを業務ネットワークから分け、vCenterへのログインはドメイン管理者と別の専用アカウントにします。Active Directoryを奪われてもvCenterまで届かない分け方が、Qilinの手順に効きます。

PowerCLIでHA・DRSとSSHサービスの状態を一覧する確認

HAやDRSが予定なく無効になっている、SSHが動いているホストがあるという状態は、攻撃の途中を示す手がかりです。VCF PowerCLIで一覧にできます。

# vCenterに接続し、クラスタの保護機能とESXiのSSHの状態を一覧する
Connect-VIServer -Server vcenter.example.local
Get-Cluster | Select-Object Name, HAEnabled, DrsEnabled
Get-VMHost | ForEach-Object {
  $h = $_
  Get-VMHostService -VMHost $h | Where-Object { $_.Key -eq 'TSM-SSH' } |
    Select-Object @{ N = 'Host'; E = { $h.Name } }, Running, Policy
}

保守の予定が無いのにSSHのRunningがTrueのホストは、rootパスワードの変更履歴とあわせて確認します。結果を週1回保存して比べれば、設定の変化に気づけます。

Qilin対策で先に手を付ける順番｜VPNのMFAとバックアップ分離を優先する理由

EDRの入れ替えや監視体制の構築には時間がかかります。先に効くのは、入口と最後の砦の2か所です。

最初の1週間はVPNのMFAと管理者アカウントの棚卸しに絞る判断

Talosの事案の入口は、多要素認証の無いVPNと流出した管理者の認証情報でした。CISAの#StopRansomware Guideも、メールとVPNを中心に、すべてのサービスへ耐フィッシング性のある多要素認証を入れるよう求めています。最初の1週間は、VPN・リモートデスクトップ・クラウド管理画面の全アカウントについて、多要素認証の有無と最終ログイン日を一覧にし、使っていないアカウントを止めることに絞ります。

方式の選び方は多要素認証（MFA）の実装方式と耐フィッシングMFAで比べています。

IoCの照合だけで安心できない理由とTalos公開IoCの使い方

Talosは調査で得たIoCをGitHubのJSONファイルで公開しています。プロキシやEDRのログとの照合に使える情報です。ただし、Qilinは被害企業ごとに暗号化プログラムを作り分け、実行役ごとに使う道具も違います。ハッシュ値やIPアドレスが一致しないことは、侵入されていない証拠になりません。

IoCは「一致したら即調査」の材料にとどめ、不一致のときは前の章の振る舞いの痕跡で判断します。正規ソフトでの持ち出しを捉えるのは、振る舞いを見るEDRの検知の仕組みです。

ドメイン管理者でも消せない場所に置くバックアップの分離設計と保持方法

Qilin.Bはシャドウコピーを消し、バックアップ関連のサービスを止め、vCenterまで手を伸ばします。社内のバックアップサーバーがドメインに参加し、ドメイン管理者で操作できる状態なら、身代金を払わずに戻る道は残りません。CISAのガイドも、重要データのバックアップをオフラインかつ暗号化した状態で保つよう求めています。

具体的には、保持期間中は誰も削除できないオブジェクトロックつきのストレージに世代を置くか、ネットワークから切り離した媒体に定期的に退避します。クラウドで組む手順はイミュータブルバックアップの実装手順、ファイルサーバーの共有を守る設定はNASのランサムウェア対策にあります。

外部の脆弱性診断を入れる条件と社内の点検で足りる範囲の判断基準

痕跡が出ず、VPNの多要素認証とバックアップの分離が済んでいれば、社内の点検で足ります。外部の診断を入れるべきなのは、VPN装置など外部公開機器の版を誰も把握していない、Active Directoryの管理者アカウントの数を答えられない、委託先がVPNで入る経路の認証方式を確かめていない、のいずれかに当てはまる場合です。

外部公開機器と社内の権限設計をまとめて点検する場合は、一創の脆弱性診断・セキュリティ診断で対象と手順を相談できます。診断の種類と費用の目安は脆弱性診断の進め方と外注時の判断基準で比べられます。

リークサイトに社名が載ったときの報告義務と公表に向けた初動の判断

Qilinのリークサイトに社名が載った時点で、暗号化の有無にかかわらず、個人データ漏えいのおそれを前提に動きます。不正アクセスによる漏えいのおそれは件数にかかわらず個人情報保護委員会への報告の対象で、速報は把握からおおむね3〜5日以内が目安です。対象の類型と書き方は個人情報保護委員会への報告義務の実務を確認してください。

リークサイトを社員が自分で閲覧しに行くのは避け、掲載の確認はセキュリティ会社や警察への相談を通して行います。相談先はIPAのランサムウェア対策特設ページで探せます。

よくある質問

Qilinランサムウェアについて、情報システム部門や開発の担当者から寄せられやすい質問をまとめました。

Qilinは何と読みますか？どこの国の集団ですか？

Qilinは「キリン」と読み、中国の伝説の霊獣の名に由来します。ただし名前と拠点は関係しません。Talosは、窃取した情報をまとめるスクリプトの文字コードがキリル文字のwindows-1251だった点から、ロシア語圏の関与の可能性を挙げつつ、偽装の可能性もあるとしています。2026年10月に警察庁が公表した被疑者はロシア国籍でした。グループ全体の国籍や拠点を断定できる公式発表は、2026年11月7日時点でありません。

QilinとAgendaは同じランサムウェアですか？

同じ系統です。2022年にTrend Microが「Agenda」の名で報告したGo製のランサムウェアが後にQilinと呼ばれるようになり、MITRE ATT&CKもAgendaを別名に挙げています。その後Rust製の版や、2024年10月にHalcyonが分析したQilin.Bが現れ、Talosが2025年に調べた事案でもQilin.Bが使われていました。古いAgendaの解析情報だけで現在の検体を判断しないでください。

中心人物とみられる被疑者が拘束されたのに、なぜ被害が続くのですか？

QilinがRaaSという分業の仕組みをとっているためです。運営の中心人物が抜けても、侵入と暗号化を担うアフィリエイトは別にいて、攻撃を続けられます。拘束が5月と報じられた後の9月にも、京王電鉄のグループ会社への攻撃でQilinが犯行を主張したと報じられました。拘束は対策を緩める理由になりません。

Qilinに暗号化されたファイルは身代金を払わずに戻せますか？

暗号化されたファイルそのものを戻せる前提では計画しないでください。MITRE ATT&CKによると、QilinはファイルをAES-256またはChaCha20で暗号化し、その鍵をRSAで保護します。さらに被害企業ごとに鍵を作り分けています。現実に戻せるのは、攻撃者が触れられない場所に置いたバックアップからです。支払いの判断は、警察と専門家に相談してから行います。

自社がQilinの標的になっているかを事前に知る方法はありますか？

事前に名指しで知る方法はほぼありません。Talosの集計でも被害は多くの国と業種に広がっており、侵入しやすい入口があるかで標的が決まると考えるほうが実態に合います。確かめられるのは自社の入口と痕跡です。外部から見えるVPNの一覧、多要素認証の有無、この記事のPowerShellとesxcliの結果を揃えれば、持ちこたえられるかを判断できます。