Qilin-Ransomware im Detail: Rust-Loader, Kernel-EDR-Killer und vier Jahre Leak-Site-Daten
Qilin, die Ransomware-as-a-Service-Marke, die 2022 unter dem Namen Agenda entstand, gehört seit drei Jahren zur Spitze der Leak-Site-Rankings. Der Tracker ransomware.live schreibt der Marke 2.398 veröffentlichte Opfer in 104 Ländern zu, mit neuen Einträgen zuletzt am 19. Oktober 2026. In eben jenem Monat stand die Marke auch aus einem anderen Grund wieder in den Schlagzeilen: Ein mutmaßliches Kernmitglied sitzt nun in deutscher Haft, und die Akte umfasst den Angriff von 2024 auf die Londoner Pathologie-Dienste.
Qilin ist ein anderes Tier als die Medusa-Operation, die wir in unserem früheren Beitrag zur Mechanik von Leak-Sites behandelt haben: Die Gruppe besitzt eine eigene Toolchain, vermietet ein ausgereiftes Affiliate-Panel und jagt Organisationen, bei denen Ausfallzeiten wehtun — Krankenhäuser, Zeitungen knapp vor der Deadline, Hersteller mitten in der Lieferkette.Go-und-Rust-Codebasis, Werkzeugkasten auf Kernel-Ebene
Qilins Verschlüsseler sind in Go und Rust geschrieben, mit Builds für Windows, Linux und VMware ESXi; ein von SOCRadar zitiertes Rekrutierungsposting nennt ChaCha20, AES und RSA-4096 als Primitive, und die Builds werden an die Umgebung jedes Opfers angepasst. Neuer ist die Auslieferungsebene: Flashpoints Analyse vom Juli 2026 dokumentiert einen eigenen Rust-Loader, der die Verschlüsselungssoftware im selben Prozess entpackt und seit Mai 2024 im Umlauf ist. Daneben läuft ein Kernel-EDR-Killer, auf illegalen Märkten für rund 2.000 US-Dollar gehandelt, der den legitimen ThrottleStop-Treiber für Kernelzugriff missbraucht und EDR-Prozesse beendet, nachdem er ihre Zugriffssteuerung so umgeschrieben hat, dass ein Neustart unmöglich ist. Wie die meisten russischsprachigen Operationen verweigert das Tooling Maschinen mit CIS-Locale wie Russland oder Belarus — und Flashpoint stuft Anti-EDR-Werkzeug inzwischen als Standardvoraussetzung für wirkungsvolle Ransomware ein.Synnovis: als die Verschlüsselung den Operationstisch erreichte
Am 3. Juni 2024 traf Qilin Synnovis, die Pathologie-Partnerschaft, die King's College Hospital und Guy's and St Thomas' in London beliefert. NHS-England-Zahlen, von der BBC berichtet, zeigten in der ersten Woche über 800 verschobene Operationen, hunderte verlegte ambulante Termine und 18 umgeleitete Organe; in den folgenden Wochen wurden mehr als 10.000 Termine beeinträchtigt."Wir glauben, dass es eine russische Gruppe von Cyberkriminellen ist, die sich Qilin nennt." — Ciaran Martin, ehemaliger NCSC-Chef, zitiert vom Guardian, Juni 2024Nach SOCRadar-Angaben wurde ein Lösegeld von 50 Millionen US-Dollar gefordert; nach Ablauf der Frist am 20. Juni wurden rund 400 GB Patientendaten veröffentlicht, ein Großteil über den Telegram-Kanal der Gruppe. Die Bande erzählte der BBC, der Angriff sei ein Protest gegen die britische Ukraine-Unterstützung gewesen — eine mit Skepsis aufgenommene Behauptung. Ein Jahr später bestätigte King's College Hospital, dass ein Patient nach langer Wartezeit auf ein Bluttestergebnis gestorben war; wie die BBC berichtet, prüft die Polizei ein Verfahren wegen rechtswidriger Tötung — ein mögliches Novum der Cyberkriminalität. Im Mai 2026 nahm die japanische Polizei bei einer Urlaubsreise einen 28-jährigen Russen fest, den deutsche Medien als Wladimir K. identifizierten; nach Frankfurt überstellt, wird ihm vorgeworfen, im September 2024 rund 160.000 US-Dollar von einem Logistikunternehmen erpresst zu haben — und deutsche Ermittler haben zwischenzeitlich auch den Synnovis-Angriff in den Fall aufgenommen, wie die BBC im Oktober 2026 berichtete.
Große Namen als Muster
Synnovis war kein Einzelfall. Im Februar 2025 verschlüsselte Qilin kritische Anwendungen bei Lee Enterprises, dem US-Verlag hinter der St. Louis Post-Dispatch, den Buffalo News und rund 350 weiteren Titeln, und legte den Druck lahm. Die Gruppe beanspruchte 120.000 Dateien und 350 GB Daten; Lee teilte später mit, dass 39.779 Personen betroffen seien, darunter Social-Security-Nummern, und bezifferte die Wiederherstellungskosten auf etwa 2 Millionen US-Dollar. Weitere beanspruchte Opfer sind Yanfeng, Court Services Victoria in Australien und, im Oktober 2025, Japans Brauerei Asahi. Microsoft brachte Scattered-Spider-Mitglieder mit Angriffen unter Qilins Marke in Verbindung, wie BleepingComputer berichtete.Was die Zähler zeigen
Die Zählweisen der Tracker unterscheiden sich, der Trend stimmt überein. Die Qilin-Seite von ransomware.live listet seit 2022 2.398 Opfer, angeführt vom produzierenden Gewerbe (502), Berufsdienstleistungen (398), Technologie (272), Gesundheitswesen (200) und Einzelhandel (169); die USA führen mit 1.005 Einträgen. CybelAngel zählte seit 2022 mehr als 2.100 Organisationen auf der Leak-Site — allein 55 davon in den ersten zwei Wochen des Januar 2026. SOCRadars Update vom November 2025 nannte Qilin die aktivste Ransomware-Gruppe 2025, mit rund 800 Opfern in über 50 Ländern seit jenem Januar. Die Druckmittel entwickeln sich mit den Rankings weiter. SOCRadar dokumentiert eine Funktion namens "Call lawyer", die im Juni 2025 ins Affiliate-Panel kam und es Affiliates erlaubt, Anwälte in die Verhandlungen einzubinden. Im September 2025 kündigte DragonForce eine Koalition mit Qilin und LockBit an, um Techniken und Infrastruktur zu teilen. Der Druck ist auch regulatorisch: Lees Meldung an die Aufsicht in Maine und NHS Englands Warnungen zu Patientendaten zeigen den Compliance-Schatten eines Leaks.Was Qilin besonders macht
Ohne Branding bleiben einige operative Gewohnheiten, die Qilin auszeichnen:- Doppelte Erpressung ist Standard: Daten werden vor der Verschlüsselung abgezogen, die Veröffentlichung folgt, wenn die Frist verstreicht — Synnovis und Lee Enterprises endeten beide als Dump.
- Die Zielauswahl richtet sich auf zeitsensible Organisationen — Hersteller, Logistiker, Krankenhäuser, Zeitungen — bei denen eine Ausfallstunde ihren Preis hat.
- Zugangswege sind Phishing, die Ausnutzung öffentlich erreichbarer Anwendungen und entfernter Dienste wie RDP, laut MS-ISAC-Berichten; über Managed Service Providers trafen Supply-Chain-Angriffe Dutzende Firmen auf einmal — die Operation "Korean Leaks" im September 2025 erreichte mindestens 25 südkoreanische Finanzunternehmen.
- Evasion ist ein Feature: der von Flashpoint dokumentierte BYOVD-Kernel-Angriff und Rust-Loader, dazu Linux-Verschlüsseler, die laut SOCRadar innerhalb von Windows Subsystem for Linux laufen, um Windows-zentrierte EDR zu umgehen.