Qilin a fondo: loader Rust, EDR killer a livello di kernel e quattro anni di dati dai siti di leak
Qilin, il marchio ransomware-as-a-service nato nel 2022 come Agenda, è da tre anni ai vertici delle classifiche dei siti di leak. Il tracker ransomware.live gli attribuisce 2.398 vittime pubblicate in 104 paesi, con inserzioni nuove fino al 19 ottobre 2026. In quel mese il marchio è tornato ai titoli anche per un altro motivo: un presunto membro del nucleo è ora in custodia in Germania, e il fascicolo comprende l'attacco del 2024 ai servizi di patologia di Londra.
Qilin è un animale diverso dall'operazione Medusa di cui abbiamo parlato in il nostro precedente pezzo sulla meccanica dei siti di leak: il gruppo ha una propria toolchain, affitta un pannello di affiliati maturo e caccia organizzazioni dove il fermo fa male — ospedali, giornali a ridosso della scadenza, manifatturi dentro una filiera.Una base di codice in Go e Rust, un arsenale a livello di kernel
I cifratori di Qilin sono scritti in Go e Rust, con build per Windows, Linux e VMware ESXi; un post di reclutamento citato da SOCRadar elenca ChaCha20, AES e RSA-4096 come primitive, e le build sono calibrate sull'ambiente di ogni vittima. Più recente è lo strato di consegna: l'analisi di luglio 2026 di Flashpoint documenta un loader Rust custom che spacchetta il cifratore nello stesso processo, in circolazione da maggio 2024. Accanto gira un EDR killer a livello di kernel, venduto per circa 2.000 dollari nei mercati illeciti, che abusa del driver legittimo ThrottleStop per l'accesso al kernel e uccide i processi EDR dopo averne riscritto i controlli di accesso, così che non possano ripartire. Come la maggior parte delle operazioni russophone, il tooling rifiuta le macchine con localizzazione dei paesi CIS come Russia o Bielorussia — e Flashpoint considera gli strumenti anti-EDR ormai un prerequisito standard del ransomware ad alto impatto.Synnovis: quando il cifrario è arrivato al tavolo operatorio
Il 3 giugno 2024 Qilin ha colpito Synnovis, la partnership di patologia che serve King's College Hospital e Guy's and St Thomas' a Londra. I numeri del NHS England, riportati dalla BBC, mostrano oltre 800 operazioni rinviate nella prima settimana, centinaia di appuntamenti ambulatoriali rimandati e 18 organi dirottati; nelle settimane seguenti oltre 10.000 appuntamenti sono risultati compromessi."Riteniamo si tratti di un gruppo di cybercriminali russi che si fa chiamare Qilin." — Ciaran Martin, ex capo del NCSC, citato da The Guardian, giugno 2024SOCRadar riporta una richiesta di riscatto di 50 milioni di dollari; scaduto il termine il 20 giugno, sono stati pubblicati circa 400 GB di dati di pazienti, gran parte via canale Telegram del gruppo. La banda ha detto alla BBC che l'attacco era una protesta contro il sostegno britannico all'Ucraina — affermazione accolta con scetticismo. Un anno dopo, il King's College Hospital ha confermato che un paziente è morto dopo una lunga attesa dell'esito di un esame del sangue; secondo la BBC, la polizia valuta un caso di omicidio, una possibile prima per il cybercrimine. A maggio 2026 la polizia giapponese ha fermato un russo di 28 anni, identificato nella stampa tedesca come Vladimir K., durante un viaggio di vacanza; estradato a Francoforte, è accusato di aver estorto circa 160.000 dollari a un'azienda di logistica a settembre 2024 — e gli investigatori tedeschi hanno aggiunto al fascicolo anche l'attacco a Synnovis, ha riferito la BBC a ottobre 2026.
Vittime di alto profilo come schema
Synnovis non è stata un'eccezione. A febbraio 2025 Qilin ha cifrato applicazioni critiche di Lee Enterprises, l'editore americano dietro lo St. Louis Post-Dispatch, i Buffalo News e circa altre 350 testate, bloccando la stampa. La banda ha rivendicato 120.000 file e 350 GB di dati; Lee ha poi reso noto che 39.779 persone, numeri di Social Security compresi, sono state coinvolte, e ha quantificato i costi di ripristino in circa 2 milioni di dollari. Tra le altre vittime rivendicate: Yanfeng, Court Services Victoria in Australia e, a ottobre 2025, il birrario giapponese Asahi. Microsoft ha collegato membri degli Scattered Spider ad attacchi condotti con il marchio Qilin, come riferito da BleepingComputer.Cosa mostrano i contatori
I conteggi variano da tracker a tracker ma il trend coincide. La pagina Qilin di ransomware.live elenca 2.398 vittime dal 2022, guidate da manifattura (502), servizi professionali (398), tecnologia (272), sanità (200) e retail (169), con gli Stati Uniti primi a 1.005. CybelAngel ha contato oltre 2.100 organizzazioni sul sito di leak dal 2022 — 55 solo nelle prime due settimane di gennaio 2026. L'aggiornamento di novembre 2025 di SOCRadar definiva Qilin il gruppo ransomware più attivo del 2025, con circa 800 vittime in oltre 50 paesi da quel gennaio. Le tattiche di pressione evolvono con le classifiche. SOCRadar documenta una funzione "Call lawyer" aggiunta al pannello affiliati a giugno 2025, che consente agli affiliati di portare legali nei negoziati. A settembre 2025 DragonForce ha annunciato una coalizione con Qilin e LockBit per condividere tecniche e infrastrutture. La pressione è anche normativa: la notifica di Lee Enterprises al regolatore del Maine e gli allarmi del NHS England sui dati dei pazienti mostrano la coda di conformità di un leak.Cosa rende distintivo Qilin
Tolta la brandizzazione, poche abitudini operative distinguono Qilin:- La doppia estorsione è standard: i dati vengono esfiltrati prima della cifratura e la pubblicazione segue la scadenza — Synnovis e Lee Enterprises sono finite entrambe in dump.
- Il bersaglio pende verso organizzazioni sensibili al tempo — manifattura, logistica, ospedali, giornali — dove un'ora di fermo ha un prezzo.
- Le vie di accesso includono phishing, sfruttamento di applicazioni esposte e di servizi remoti come RDP, secondo i report dell'MS-ISAC; tramite managed service provider, attacchi alla supply chain hanno colpito decine di aziende in una volta — l'operazione "Korean Leaks" di settembre 2025 ha raggiunto almeno 25 finanziarie sudcoreane.
- L'evasione è una feature: l'attacco kernel BYOVD e il loader Rust documentati da Flashpoint, più cifratori Linux eseguiti dentro Windows Subsystem for Linux per bypassare EDR orientati a Windows, secondo SOCRadar.