Qilin en profondeur : loaders Rust, killers d'EDR au niveau du noyau et quatre ans de données de sites de fuite
Qilin, la marque de ransomware-as-a-service apparue en 2022 sous le nom d'Agenda, occupe depuis trois ans le sommet des classements des sites de fuite. Le traqueur ransomware.live lui attribue 2 398 victimes publiées dans 104 pays, avec des inscriptions nouvelles à la date du 19 octobre 2026. Ce même mois, la marque est aussi revenue dans l'actualité pour une autre raison : un présumé membre du noyau est désormais détenu en Allemagne, et le dossier inclut l'attaque de 2024 contre les services de pathologie londoniens.
Qilin est une autre espèce que l'opération Medusa que nous avons décrite dans notre précédent article sur la mécanique des sites de fuite : elle possède sa propre chaîne d'outils, loue un panneau d'affiliés mature et traque les organisations où l'arrêt fait mal — hôpitaux, journaux au bord de l'échéance, industriels au cœur d'une chaîne d'approvisionnement.Une base de code en Go et Rust, une boîte à outils au niveau du noyau
Les chiffreurs de Qilin sont écrits en Go et Rust, avec des versions pour Windows, Linux et VMware ESXi ; un message de recrutement cité par SOCRadar liste ChaCha20, AES et RSA-4096 comme primitives, et chaque version est adaptée à l'environnement de la victime. La couche de livraison est plus récente : l'analyse de Flashpoint de juillet 2026 documente un loader Rust maison qui décompresse le chiffreur dans le même processus, en circulation depuis mai 2024. À ses côtés tourne un tueur d'EDR au niveau du noyau, vendu environ 2 000 dollars sur les marchés illicites, qui abuse du pilote légitime ThrottleStop pour accéder au noyau, puis supprime les processus EDR après avoir réécrit leurs contrôles d'accès pour empêcher tout redémarrage. Comme la plupart des opérations russophones, l'outil refuse les machines aux paramètres régionaux de pays de la CEI, comme la Russie ou la Biélorussie — et Flashpoint considère désormais les outils anti-EDR comme un prérequis standard du ransomware à fort impact.Synnovis : quand le chiffrement a atteint le bloc opératoire
Le 3 juin 2024, Qilin frappe Synnovis, le partenariat de pathologie qui dessert les hôpitaux King's College et Guy's and St Thomas' à Londres. Les chiffres de NHS England, rapportés par la BBC, montrent plus de 800 opérations reportées la première semaine, des centaines de rendez-vous externes déplacés et 18 organes réorientés ; plus de 10 000 rendez-vous ont été perturbés dans les semaines qui ont suivi."Nous pensons qu'il s'agit d'un groupe de cybercriminels russes qui se font appeler Qilin." — Ciaran Martin, ex-patron du NCSC, cité par The Guardian, juin 2024SOCRadar mentionne une demande de rançon de 50 millions de dollars ; après l'expiration du délai le 20 juin, environ 400 Go de données de patients ont été publiés, en grande partie via le canal Telegram du groupe. Le gang a déclaré à la BBC que l'attaque protestait contre le soutien britannique à l'Ukraine — une affirmation accueillie avec scepticisme. Un an plus tard, l'hôpital King's College a confirmé qu'un patient était mort après une longue attente du résultat d'une prise de sang ; selon la BBC, la police étudie un cas d'homicide, une première potentielle pour la cybercriminalité. En mai 2026, la police japonaise a interpellé un Russe de 28 ans, identifié dans la presse allemande comme Vladimir K., lors d'un voyage touristique ; transféré à Francfort, il est accusé d'avoir extorqué environ 160 000 dollars à une entreprise de logistique en septembre 2024 — et les enquêteurs allemands ont depuis ajouté l'attaque contre Synnovis au dossier, a rapporté la BBC en octobre 2026.
Des victimes de premier plan comme signature
Synnovis ne fut pas une exception. En février 2025, Qilin a chiffré des applications critiques de Lee Enterprises, l'éditeur américain derrière le St. Louis Post-Dispatch, les Buffalo News et quelque 350 autres titres, paralysant l'impression. Le gang a revendiqué 120 000 fichiers et 350 Go de données ; Lee a ensuite révélé que 39 779 personnes, numéros de Sécurité sociale compris, étaient concernées, et a chiffré les coûts de rétablissement à environ 2 millions de dollars. Parmi les autres victimes revendiquées : Yanfeng, Court Services Victoria en Australie et, en octobre 2025, le brasseur japonais Asahi. Microsoft a lié des membres de Scattered Spider à des attaques menées sous la marque Qilin, rapportait BleepingComputer.Ce que montrent les compteurs
Les décomptes varient selon les traqueurs, mais la tendance concorde. La page Qilin de ransomware.live recense 2 398 victimes depuis 2022, menées par l'industrie (502), les services professionnels (398), la technologie (272), la santé (200) et le commerce de détail (169), les États-Unis en tête avec 1 005 entrées. CybelAngel a compté plus de 2 100 organisations sur le site de fuite depuis 2022 — dont 55 dans les deux premières semaines de janvier 2026 seulement. La mise à jour de novembre 2025 de SOCRadar désignait Qilin comme le groupe de ransomware le plus actif de 2025, avec environ 800 victimes dans plus de 50 pays depuis ce janvier. Les tactiques de pression évoluent avec les classements. SOCRadar documente une fonction « Call lawyer » ajoutée au panneau d'affiliés en juin 2025, permettant aux affiliés d'associer des avocats aux négociations. En septembre 2025, DragonForce a annoncé une coalition avec Qilin et LockBit pour partager techniques et infrastructures. La pression est aussi réglementaire : la notification de Lee Enterprises aux régulateurs du Maine et les alertes de NHS England sur les données de patients montrent la traîne de conformité d'une fuite.Ce qui rend Qilin distinctif
Une fois la marque retirée, quelques habitudes opérationnelles distinguent Qilin :- La double extorsion est la norme : les données sont exfiltrées avant le chiffrement, et la publication suit l'échéance — Synnovis et Lee Enterprises se sont toutes deux soldées par une publication.
- Le ciblage penche vers les organisations sensibles au temps — industriels, logistique, hôpitaux, journaux — où chaque heure d'arrêt a un prix.
- Les voies d'accès incluent l'hameçonnage, l'exploitation d'applications exposées et de services distants comme RDP, selon les rapports du MS-ISAC ; via des prestataires de services managés, des attaques de chaîne d'approvisionnement ont touché des dizaines d'entreprises d'un coup — l'opération « Korean Leaks » de septembre 2025 a atteint au moins 25 financières sud-coréennes.
- L'évasion est une fonctionnalité : l'attaque noyau BYOVD et le loader Rust documentés par Flashpoint, plus des chiffreurs Linux exécutés dans Windows Subsystem for Linux pour contourner les EDR centrés Windows, selon SOCRadar.