Die technische Analyse zeigt ein hochsophistiziertes Angriffsschema: Qilin setzt eine bösartige DLL namens “msimg32.dll” ein, die über DLL-Seitenladen (DLL Side-Loading) gestartet wird und eine mehrstufige Infektionskette auslöst. Der PE-Loader bereitet zunächst die Ausführungsumgebung vor, während die Hauptnutzlast – der EDR-Killer – verschlüsselt im Loader eingebettet ist.
“Die Malware implementiert ein ganzes Arsenal an Umgehungstechniken”, erklären die Talos-Forscher Takahiro Takeda und Holger Unterbrink. Sie neutralisiert User-Mode-Hooks, unterdrückt Event Tracing für Windows (ETW) und verbirgt Kontrollfluss sowie API-Aufrufe. Das ermöglicht es, die eigentliche EDR-Killer-Komponente vollständig im Speicher zu dekodieren und auszuführen – völlig unerkannt.
Besonders bemerkenswert ist die Vorgehensweise nach der Aktivierung: Bevor der zweite Treiber geladen wird, deregistriert die Malware sämtliche Monitoring-Callbacks, die von EDR-Systemen etabliert wurden. Dies verhindert, dass die Prozessbeendigung unterbrochen wird. Talos-Forscher betonen, dass dies die Raffinesse moderner Ransomware unterstreicht.
Die Statistiken sind alarmierend: Qilin ist derzeit die aktivste Ransomware-Gruppe. In Japan waren die Cyberkriminellen für 22 von 134 Ransomware-Vorfällen 2025 verantwortlich – das entspricht 16,4 Prozent aller Angriffe. Die Gruppe nutzt primär gestohlene Anmeldedaten für den initialen Zugang und konzentriert sich dann intensiv auf Post-Compromise-Aktivitäten, um ihre Kontrolle systematisch auszubauen. Durchschnittlich vergehen etwa sechs Tage zwischen dem ersten Eindringen und der Ransomware-Ausführung.
Auch die Warlock-Gruppe (alias Water Manual) zeigt keine Schwäche. Sie exploitet weiterhin ungepatchte Microsoft-SharePoint-Server und nutzt nun den legitimen, aber anfälligen NSec-Treiber (“NSecKrnl.sys”) für BYOVD-Attacken, um Sicherheitsprodukte auf Kernel-Level zu terminieren.
Zum Schutz gegen BYOVD-Bedrohungen empfehlen Sicherheitsexperten: Laden Sie nur Treiber von explizit vertrauenswürdigen Publishern, überwachen Sie Treiber-Installationsereignisse und halten Sie ein striktes Patch-Management ein. Trend Micro unterstreicht: “Organisationen müssen vom grundlegenden Endpoint-Schutz zu strikter Treiber-Governance und Echtzeit-Monitoring von Kernel-Aktivitäten übergehen.”