Qilin pod mikroskopem: loadery w Ruście, kernelowe EDR killery i cztery lata danych z witryn wycieków
Qilin, marka ransomware-as-a-service, która powstała w 2022 roku jako Agenda, od trzech lat jest na czele rankingów witryn wycieków. Tracker ransomware.live przypisuje mu 2 398 opublikowanych ofiar w 104 krajach, z nowymi wpisami tak świeżymi jak 19 października 2026 r. W tym samym miesiącu marka wróciła też do nagłówków z innego powodu: domniemany członek trzonu trafił do aresztu w Niemczech, a akta obejmują atak z 2024 r. na londyńskie usługi patologii.
Qilin to inny zwierz niż operacja Medusa, o której pisaliśmy w naszym wcześniejszym tekście o mechanice witryn wycieków: grupa ma własny łańcuch narzędzi, wynajmuje dojrzały panel afiliantów i poluje na organizacje, gdzie przestój boli — szpitale, gazety na metę, producentów w środku łańcucha dostaw.Kod w Go i Ruście, warsztat na poziomie jądra
Szyfratory Qilina są pisane w Go i Ruście, z buildami dla Windows, Linux i VMware ESXi; post rekrutacyjny cytowany przez SOCRadar wymienia ChaCha20, AES i RSA-4096 jako prymitywy, a buildy są dopasowywane do środowiska każdej ofiary. Nowsza jest warstwa dostarczania: analiza Flashpointa z lipca 2026 r. opisuje własny loader w Ruście, rozpakowujący szyfrator w tym samym procesie, w użyciu od maja 2024 r. Obok pracuje EDR killer na poziomie jądra, sprzedawany na nielegalnych rynkach za około 2 000 dolarów, który nadużywa legalnego sterownika ThrottleStop do dostępu do jądra i ubija procesy EDR po przepisaniu ich list kontroli dostępu tak, by nie dało się ich uruchomić ponownie. Jak większość rosyjskojęzycznych operacji, narzędzia odmawiają pracy na maszynach z ustawieniami regionalnymi krajów WNP, jak Rosja czy Białoruś — a Flashpoint uważa narzędzia anti-EDR już za standardowy wymóg ransomware o dużym znaczeniu.Synnovis: gdy szyfrowanie dotarło na salę operacyjną
3 czerwca 2024 r. Qilin uderzył w Synnovis, partnerstwo patologii obsługujące szpitale King's College i Guy's and St Thomas' w Londynie. Dane NHS England, przytaczane przez BBC, pokazały ponad 800 przesuniętych operacji w pierwszym tygodniu, setki przekładanych wizyt ambulatoryjnych i 18 przekierowanych organów; w kolejnych tygodniach poszkodowało ponad 10 000 wizyt."Uważamy, że to rosyjska grupa cyberprzestępców, która nazywa się Qilin". — Ciaran Martin, były szef NCSC, cytat za Guardianem, czerwiec 2024 r.Według SOCRadar żądano okupu w wysokości 50 milionów dolarów; po upływie terminu 20 czerwca opublikowano około 400 GB danych pacjentów, w dużej mierze przez kanał Telegram grupy. Gang powiedział BBC, że atak był protestem przeciw brytyjskiemu wsparciu dla Ukrainy — teza przyjęta z nieufnością. Rok później King's College Hospital potwierdziło, że pacjent zmarł po długim oczekiwaniu na wynik badania krwi; jak informuje BBC, policja bada sprawę o nieumyślne spowodowanie śmierci — potencjalny precedens w cyberprzestępczości. W maju 2026 r. japońska policja zatrzymała w trakcie podróży wakacyjnej 28-letniego Rosjanina, identyfikowanego w prasie niemieckiej jako Władimir K.; po ekstradycji do Frankfurtu zarzuca mu się wymuszenie około 160 000 dolarów od firmy logistycznej we wrześniu 2024 r. — a niemieccy śledczy dodali do sprawy także atak na Synnovis, podała BBC w październiku 2026 r.
Głośne ofiary jako schemat
Synnovis nie była wyjątkiem. W lutym 2025 r. Qilin zaszyfrował krytyczne aplikacje w Lee Enterprises — amerykańskim wydawcy stojącym za St. Louis Post-Dispatch, Buffalo News i około 350 innymi tytułami — zatrzymując druk. Grupa zgłosiła kradzież 120 000 plików i 350 GB danych; Lee ujawniła później, że dotknęło to 39 779 osób, w tym numery ubezpieczenia społecznego, a koszty naprawy oszacowała na około 2 miliony dolarów. Wśród innych zgłaszanych ofiar są Yanfeng, Court Services Victoria w Australii i, w październiku 2025 r., japoński browar Asahi. Microsoft łączył członków Scattered Spider z atakami pod marką Qilin, jak pisał BleepingComputer.Co pokazują liczniki
Liczniki się różnią, ale trend się zgadza. Strona Qilina na ransomware.live wymienia 2 398 ofiar od 2022 r.: przoduje produkcja (502), usługi profesjonalne (398), technologia (272), ochrona zdrowia (200) i handel detaliczny (169), a na czele są Stany Zjednoczone z 1 005 wpisami. CybelAngel policzył ponad 2 100 organizacji na witrynie wycieków od 2022 r. — 55 z nich tylko w pierwszych dwóch tygodniach stycznia 2026 r. Aktualizacja SOCRadar z listopada 2025 r. nazywała Qilina najaktywniejszą grupą ransomware 2025 r., z około 800 ofiarami w ponad 50 krajach od stycznia tamtego roku. Taktyki presji ewoluują wraz z rankingami. SOCRadar dokumentuje funkcję "Call lawyer", dodaną do panelu afiliantów w czerwcu 2025 r., pozwalającą afiliantom wprowadzać prawników do negocjacji. We wrześniu 2025 r. DragonForce ogłosił koalicję z Qilinem i LockBitem w celu wymiany technik i infrastruktury. Presja jest też regulacyjna: zgłoszenie Lee Enterprises do regulatora w Maine i ostrzeżenia NHS England o danych pacjentów pokazują compliance'owy ogon wycieku.Co wyróżnia Qilina
Bez brandingu kilka nawyków operacyjnych wyróżnia Qilina:- Podwójne wymuszanie to standard: dane są eksfiltrowane przed szyfrowaniem, a publikacja nadchodzi po upływie terminu — Synnovis i Lee Enterprises obie skończyły jako dumpy.
- Wybór celów pochyla się ku organizacjom wrażliwym na czas — producentom, logistyce, szpitalom, gazetom — gdzie godzina przestoju ma swoją cenę.
- Drogi dostępu to phishing, eksploitacja publicznych aplikacji i zdalnych usług typu RDP, według raportów MS-ISAC; przez dostawców usług zarządzanych ataki na łańcuch dostaw trafiały w dziesiątki firm naraz — operacja "Korean Leaks" z września 2025 r. dosięgła co najmniej 25 południowokoreańskich firm finansowych.
- Unikanie wykrycia to funkcja: opisane przez Flashpoint ataki BYOVD na poziomie jądra i loader w Ruście, a także szyfratory Linuksowe uruchamiane w Windows Subsystem for Linux, by omijać EDR nastawione na Windows — według SOCRadar.