Qilin a fundo: loaders em Rust, EDR killers de kernel e quatro anos de dados de sites de vazamento
Qilin, a marca de ransomware como serviço que surgiu em 2022 com o nome de Agenda, passa há três anos no topo dos rankings de sites de vazamento. O monitor ransomware.live atribui à marca 2.398 vítimas publicadas em 104 países, com registros tão recentes quanto 19 de outubro de 2026. Naquele mês, a marca também voltou às manchetes por outro motivo: um suposto membro do núcleo está detido na Alemanha, e o caso inclui o ataque de 2024 aos serviços de patologia de Londres.
Qilin é um animal diferente da operação Medusa que cobrimos em nossa matéria anterior sobre a mecânica dos sites de vazamento: o grupo mantém sua própria cadeia de ferramentas, aluga um painel de afiliados maduro e caça organizações onde a parada dói — hospitais, jornais contra o deadline, indústrias dentro de uma cadeia de suprimentos.Código em Go e Rust, caixa de ferramentas a nível de kernel
Os criptografadores do Qilin são escritos em Go e Rust, com builds para Windows, Linux e VMware ESXi; um anúncio de recrutamento citado pela SOCRadar lista ChaCha20, AES e RSA-4096 como primitivas, e os builds são ajustados ao ambiente de cada vítima. A camada de entrega é mais recente: a análise de julho de 2026 da Flashpoint documentou um loader em Rust próprio que descompacta o criptografador no mesmo processo, em circulação desde maio de 2024. Ao lado dele roda um EDR killer a nível de kernel, vendido por cerca de US$ 2.000 em mercados ilícitos, que abusa do driver legítimo ThrottleStop para obter acesso ao kernel e mata processos de EDR depois de reescrever seus controles de acesso para que não possam reiniciar. Como a maioria das operações em língua russa, a ferramenta recusa máquinas com localidade de países da CEI, como Rússia e Belarus — e a Flashpoint encara o arsenal anti-EDR como pré-requisito padrão do ransomware de alto impacto.Synnovis: quando a criptografia chegou à mesa de cirurgia
Em 3 de junho de 2024, o Qilin atingiu a Synnovis, a parceria de patologia que atende os hospitais King's College e Guy's and St Thomas' em Londres. Números do NHS England, divulgados pela BBC, mostraram mais de 800 operações adiadas na primeira semana, centenas de consultas remarcadas e 18 órgãos redirecionados; mais de 10.000 consultas foram prejudicadas nas semanas seguintes."Acreditamos que é um grupo de criminosos cibernéticos russos que se autodenomina Qilin." — Ciaran Martin, ex-chefe do NCSC, citado pelo The Guardian, junho de 2024A SOCRadar registra um resgate exigido de US$ 50 milhões; após o prazo de 20 de junho passar, cerca de 400 GB de dados de pacientes foram publicados, boa parte pelo canal de Telegram do grupo. O grupo disse à BBC que o ataque protestava contra o apoio britânico à Ucrânia — declaração recebida com ceticismo. Um ano depois, o King's College Hospital confirmou que um paciente morreu após longa espera pelo resultado de um exame de sangue; segundo a BBC, a polícia estuda um caso de homicídio, uma possível primeira para o cibercrime. Em maio de 2026, a polícia japonesa prendeu um russo de 28 anos, identificado na imprensa alemã como Vladimir K., durante uma viagem de férias; extraditado para Frankfurt, ele é acusado de extorquir cerca de US$ 160 mil de uma empresa de logística em setembro de 2024 — e os investigadores alemães incluíram desde então o ataque à Synnovis no caso, informou a BBC em outubro de 2026.
Vítimas de grande porte como padrão
A Synnovis não foi exceção. Em fevereiro de 2025, o Qilin criptografou aplicações críticas da Lee Enterprises, editora americana por trás do St. Louis Post-Dispatch, do Buffalo News e de cerca de 350 outros títulos, parando as impressões. O grupo reivindicou 120.000 arquivos e 350 GB de dados; a Lee revelou depois que 39.779 pessoas, incluindo números de Seguro Social, foram afetadas, e estimou os custos de recuperação em cerca de US$ 2 milhões. Outras vítimas reivindicadas incluem Yanfeng, Court Services Victoria na Austrália e, em outubro de 2025, a cervejaria japonesa Asahi. A Microsoft já ligou membros do Scattered Spider a ataques usando a marca do Qilin, como noticiou o BleepingComputer.O que os contadores mostram
As contagens variam conforme o monitor, mas a tendência coincide. A página do Qilin no ransomware.live lista 2.398 vítimas desde 2022, lideradas por manufatura (502), serviços profissionais (398), tecnologia (272), saúde (200) e varejo (169), com os Estados Unidos em primeiro, com 1.005 registros. A CybelAngel contou mais de 2.100 organizações no site de vazamento desde 2022 — 55 delas só nas duas primeiras semanas de janeiro de 2026. A atualização de novembro de 2025 da SOCRadar chamou o Qilin de grupo de ransomware mais ativo de 2025, com cerca de 800 vítimas em mais de 50 países desde janeiro daquele ano. As táticas de pressão evoluem com os rankings. A SOCRadar documenta um recurso "Call lawyer" adicionado ao painel de afiliados em junho de 2025, permitindo que afiliados levem advogados às negociações. Em setembro de 2025, a DragonForce anunciou uma coalizão com Qilin e LockBit para compartilhar técnicas e infraestrutura. A pressão também é regulatória: a notificação da Lee Enterprises ao regulador do Maine e os alertas do NHS England sobre dados de pacientes mostram o rastro de conformidade de um vazamento.O que torna o Qilin distinto
Sem a marca, alguns hábitos operacionais diferenciam o Qilin:- Extorsão dupla é padrão: os dados são exfiltrados antes da criptografia, e a publicação vem quando o prazo vence — Synnovis e Lee Enterprises ambas terminaram em vazamentos.
- As metas pendem para organizações sensíveis ao tempo — indústrias, logística, hospitais, jornais — onde uma hora de parada tem preço.
- Rotas de acesso incluem phishing, exploração de aplicações expostas e de serviços remotos como RDP, segundo relatórios do MS-ISAC; via provedores de serviços gerenciados, ataques de cadeia de suprimentos atingiram dezenas de empresas de uma vez — a operação "Korean Leaks" de setembro de 2025 alcançou ao menos 25 financeiras sul-coreanas.
- Evasão é recurso: o ataque de kernel BYOVD e o loader em Rust documentados pela Flashpoint, além de criptografadores Linux rodando dentro do Windows Subsystem for Linux para escapar de EDRs focados em Windows, segundo a SOCRadar.