Los atacantes aprovechan una vulnerabilidad en el software PAN-OS de Palo Alto Networks, identificada como CVE-2026-0257, para establecer sesiones de SSL VPN sin autenticación. Con este acceso no autorizado, ingresan a la red interna y realizan movimientos laterales mediante PsExec a través de recursos compartidos administrativos. Colocan los archivos de ransomware en la carpeta C:\PerfLogs\ y distribuyen cargas cifradas.
Los atacantes desactivan la protección en tiempo real de Microsoft Defender y limpian los registros de eventos para eliminar rastros. Algunos ataques se centran únicamente en el cifrado de archivos, mientras que en otros se roban datos y se transfieren a servicios como MEGA, Proton Drive o FileZilla. Estas diferencias indican que Qilin opera bajo un modelo de ransomware-as-a-service (RaaS).
Los atacantes utilizan herramientas de acceso remoto como AnyDesk, Ngrok y LogMeIn para investigar los objetivos. Además, establecen acceso persistente en el Registro de Windows mediante un patrón específico (asterisco + 6 letras aleatorias). Estas técnicas sugieren que distintos grupos comparten la misma infraestructura.