Qilin-ransomware in diepte: Rust-loaders, kernel-EDR-killers en vier jaar leaksite-data
Qilin, het ransomware-as-a-service-merk dat in 2022 ontstond als Agenda, staat drie jaar lang bovenaan de leaksite-ranglijsten. De tracker ransomware.live schrijft het merk 2.398 gepubliceerde slachtoffers toe in 104 landen, met nieuwe vermeldingen tot 19 oktober 2026. Die maand kwam het merk ook om een andere reden terug in het nieuws: een vermoedelijk kernlid zit in Duitse detentie, en het dossier omvat de aanval uit 2024 op de Londense pathologiediensten.
Qilin is een ander beest dan de Medusa-operatie die we behandelden in ons eerdere stuk over de werking van leaksites: de groep heeft een eigen toolchain, verhuurt een volwassen affiliatepaneel en jaagt op organisaties waar stilstand pijn doet — ziekenhuizen, kranten tegen de deadline, fabrikanten middenin een toeleveringsketen.Een codebasis in Go en Rust, een gereedschapskist op kernelniveau
Qilins versleutelaars zijn geschreven in Go en Rust, met builds voor Windows, Linux en VMware ESXi; een wervingspost geciteerd door SOCRadar noemt ChaCha20, AES en RSA-4096 als primitieven, en elke build wordt aangepast aan de omgeving van het slachtoffer. Nieuwer is de bezorglaag: Flashpoints analyse van juli 2026 documenteert een eigen Rust-loader die de versleutelaar in hetzelfde proces uitpakt, in omloop sinds mei 2024. Daarnaast draait een kernel-EDR-killer, op illegale markten verkocht voor zo'n 2.000 dollar, die de legitieme ThrottleStop-driver misbruikt voor kerneltoegang en EDR-processen doodt nadat hun toegangsrechten zijn herschreven zodat herstart onmogelijk is. Zoals de meeste Russischtalige operaties weigert de tooling machines met een CIS-landinstelling zoals Rusland of Belarus — en Flashpoint ziet anti-EDR-gereedschap inmiddels als standaardvoorwaarde voor ransomware met grote impact.Synnovis: toen de versleuteling de operatiekamer bereikte
Op 3 juni 2024 trof Qilin Synnovis, de pathologiepartner van King's College Hospital en Guy's and St Thomas' in Londen. Cijfers van NHS England, gemeld door de BBC, lieten in de eerste week ruim 800 uitgestelde operaties zien, honderden verplaatste poliklinische afspraken en 18 omgeleide organen; in de weken erna raakten meer dan 10.000 afspraken verstoord."Wij denken dat het een Russische groep cybercriminelen is die zichzelf Qilin noemt." — Ciaran Martin, voormalig NCSC-topman, geciteerd door The Guardian, juni 2024SOCRadar meldt een losgeldeis van 50 miljoen dollar; nadat de deadline van 20 juni verstreek, werden zo'n 400 GB aan patiëntgegevens gepubliceerd, grotendeels via het Telegram-kanaal van de groep. De bende vertelde de BBC dat de aanval protesteerde tegen de Britse steun aan Oekraïne — een claim die met scepsis werd ontvangen. Een jaar later bevestigde King's College Hospital dat een patiënt was overleden na lang wachten op een bloeduitslag; de BBC bericht dat de politie een doodslagzaak onderzoekt, een mogelijke primeur in de cybercrime. In mei 2026 arresteerde de Japanse politie een 28-jarige Rus, in Duitse pers geïdentificeerd als Vladimir K., tijdens een vakantiereis; na uitlevering aan Frankfurt wordt hij ervan beschuldigd zo'n 160.000 dollar af te persen van een logistiek bedrijf in september 2024 — en Duitse rechercheurs hebben inmiddels ook de Synnovis-aanval aan de zaak toegevoegd, meldde de BBC in oktober 2026.
Bekende slachtoffers als patroon
Synnovis was geen uitzondering. In februari 2025 versleutelde Qilin kritieke applicaties bij Lee Enterprises, de Amerikaanse uitgever achter de St. Louis Post-Dispatch, de Buffalo News en zo'n 350 andere titels, en legde de drukpersen stil. De bende claimde 120.000 bestanden en 350 GB aan data; Lee meldde later dat 39.779 mensen, inclusief Amerikaanse social-securitynummers, waren geraakt, en zette de herstelkosten op zo'n 2 miljoen dollar. Andere geclaimde slachtoffers zijn Yanfeng, Court Services Victoria in Australië en, in oktober 2025, de Japanse brouwer Asahi. Microsoft bracht Scattered Spider-leden in verband met aanvallen onder de merknaam Qilin, zo meldde BleepingComputer.Wat de tellers laten zien
De tellingen verschillen per tracker, maar de trend loopt gelijk. De Qilin-pagina van ransomware.live noemt 2.398 slachtoffers sinds 2022, aangevoerd door industrie (502), zakelijke dienstverlening (398), technologie (272), zorg (200) en retail (169), met de Verenigde Staten op één met 1.005 vermeldingen. CybelAngel telde sinds 2022 meer dan 2.100 organisaties op de leaksite — 55 daarvan alleen in de eerste twee weken van januari 2026. SOCRadars update van november 2025 noemde Qilin de actiefste ransomwaregroep van 2025, met zo'n 800 slachtoffers in meer dan 50 landen sinds die januari. De drukmiddelen evolueren met de ranglijsten mee. SOCRadar documenteert een "Call lawyer"-functie die in juni 2025 aan het affiliatepaneel werd toegevoegd en affiliates toestaat juristen bij de onderhandelingen te halen. In september 2025 kondigde DragonForce een coalitie met Qilin en LockBit aan om technieken en infrastructuur te delen. De druk is ook regelgevend: Lees melding bij de toezichthouder van Maine en NHS Englands waarschuwingen over patiëntgegevens laten de compliancestaart van een lek zien.Wat Qilin onderscheidt
Zonder de branding vallen een paar operationele gewoontes op:- Dubbele afpersing is standaard: data wordt geëxfiltreerd vóór de versleuteling, en publicatie volgt als de deadline verstrijkt — Synnovis en Lee Enterprises eindigden allebei in een dump.
- De doelkeuring leunt naar tijdsgevoelige organisaties — fabrikanten, logistiek, ziekenhuizen, kranten — waar een uur stilstand een prijs heeft.
- Toegangsroutes zijn phishing, misbruik van publieke applicaties en van externe diensten zoals RDP, volgens MS-ISAC-rapporten; via managed service providers troffen supply-chainaanvallen tientallen bedrijven tegelijk — de "Korean Leaks"-operatie van september 2025 bereikte ten minste 25 Zuid-Koreaanse financiële instellingen.
- Evade is een feature: de door Flashpoint gedocumenteerde BYOVD-kernelaanval en Rust-loader, plus Linux-versleutelaars die binnen Windows Subsystem for Linux draaien om Windows-gerichte EDR te omzeilen, volgens SOCRadar.