Шифровальщик Qilin: Rust-лоадеры, EDR-киллеры уровня ядра и четыре года данных сайтов утечек
Qilin — марка Ransomware-as-a-Service, появившаяся в 2022 году под именем Agenda, — уже три года держится на вершине рейтингов сайтов утечек. Трекер ransomware.live приписывает ей 2398 опубликованных жертв в 104 странах; свежайшие записи датированы 19 октября 2026 года. В том же месяце марка вернулась в заголовки и по другой причине: предполагаемый член ядра группы находится под стражей в Германии, и в деле фигурирует атака 2024 года на службы лабораторной диагностики Лондона.
Qilin — не то же самое, что операция Medusa, о которой мы писали в материале о механике сайтов утечек: у группы собственная цепочка инструментов, аренда зрелой партнерской панели и охота на организации, где простой бьет больнее всего, — больницы, газеты в дедлайн, производителей внутри цепочек поставок.Кодовая база на Go и Rust, инструментарий уровня ядра
Шифровальщики Qilin написаны на Go и Rust — есть сборки для Windows, Linux и VMware ESXi; в рекрутинговом посте, процитированном SOCRadar, перечислены примитивы ChaCha20, AES и RSA-4096, а сборки подстраиваются под окружение каждой жертвы. Новее — слой доставки: анализ Flashpoint от июля 2026 года описывает собственный Rust-лоадер, распаковывающий шифровальщик в том же процессе; в обороте он с мая 2024 года. Рядом работает EDR-киллер уровня ядра, продаваемый на нелегальных рынках примерно за 2000 долларов: он злоупотребляет легитимным драйвером ThrottleStop для доступа к ядру и завершает процессы EDR, переписав их списки контроля доступа так, что перезапуск невозможен. Как и большинство русскоязычных операций, инструментарий отказывается работать на машинах с локалью стран СНГ — России или Белоруссии; Flashpoint считает anti-EDR-инструментарий уже стандартным требованием для высокоэффективного шифровальщика.Synnovis: когда шифрование дошло до операционного стола
3 июня 2024 года Qilin ударил по Synnovis — партнерству лабораторной диагностики, обслуживающему больницы King's College Hospital и Guy's and St Thomas' в Лондоне. По данным NHS England, которые приводит BBC, только за первую неделю было перенесено более 800 операций, сотни амбулаторных приемов, а 18 органов перенаправили в другие клиники; за последующие недели было сорвано более 10 000 приемов."Мы считаем, что это русскоязычная группа киберпреступников, называющая себя Qilin". — Киаран Мартин, экс-глава NCSC, цитата из The Guardian, июнь 2024 годаПо данным SOCRadar, требовался выкуп в 50 миллионов долларов; после истечения срока 20 июня были опубликованы около 400 ГБ данных пациентов, большей частью через Telegram-канал группы. Банда заявила BBC, что атака была протестом против британской поддержки Украины, — заявление, встреченное скептически. Год спустя больница King's College подтвердила, что пациент скончался после долгого ожидания результата анализа крови; по данным BBC, полиция рассматривает дело о непредумышленном убийстве — потенциальный первый такой случай в истории киберпреступности. В мае 2026 года японская полиция задержала 28-летнего россиянина, которого немецкая пресса называет Владимиром К., во время туристической поездки; после экстрадиции во Франкфурт его обвиняют в вымогательстве около 160 000 долларов у логистической компании в сентябре 2024 года — а немецкие следователи добавили к делу и атаку на Synnovis, сообщила BBC в октябре 2026 года.
Громкие жертвы как закономерность
Synnovis не исключение. В феврале 2025 года Qilin зашифровал критические приложения у Lee Enterprises — американского издателя St. Louis Post-Dispatch, Buffalo News и еще примерно 350 изданий, остановив печать. Группа заявила о 120 000 файлах и 350 ГБ данных; как позже раскрыла Lee, затронуты были 39 779 человек, включая номера социального страхования, а расходы на восстановление составили около 2 миллионов долларов. Среди других заявленных жертв — Yanfeng, Court Services Victoria в Австралии и, в октябре 2025 года, японский пивоваренный гигант Asahi. Microsoft связывала участников Scattered Spider с атаками под маркой Qilin, как писала BleepingComputer.Что показывают счетчики
Счетчики у трекеров разные, но тренд совпадает. Страница Qilin на ransomware.live насчитывает 2398 жертв с 2022 года: лидируют производство (502), профессиональные услуги (398), технологии (272), здравоохранение (200) и ритейл (169); на первом месте США со 1005 записями. CybelAngel насчитал более 2100 организаций на сайте утечек с 2022 года — 55 только за первые две недели января 2026-го. Обновление SOCRadar от ноября 2025 года называло Qilin самой активной группой-вымогателем 2025 года — около 800 жертв более чем в 50 странах с января того года. Методы давления эволюционируют вместе с рейтингами. SOCRadar описывает функцию "Call lawyer", добавленную в партнерскую панель в июне 2025 года: аффилиаты могут подключать юристов к переговорам. В сентябре 2025 года DragonForce объявила коалицию с Qilin и LockBit для обмена техниками и инфраструктурой. Давление и регуляторное: уведомление Lee Enterprises регулятору штата Мэн и предупреждения NHS England о пациентских данных показывают "комплаенс-хвост" любой утечки.Что отличает Qilin
Без брендинга группу выделяют несколько операционных привычек:- Двойное вымогательство — стандарт: данные утекают до шифрования, публикация следует после дедлайна — и Synnovis, и Lee Enterprises закончились сливами.
- Выбор целей смещен к чувствительным ко времени организациям — производствам, логистике, больницам, газетам, — где час простоя имеет цену.
- Пути доступа — фишинг, эксплуатация общедоступных приложений и удаленных сервисов вроде RDP, по отчетам MS-ISAC; через провайдеров управляемых услуг атаки на цепочки поставок разом задевали десятки компаний — операция "Korean Leaks" в сентябре 2025 года достигла минимум 25 южнокорейских финансовых фирм.
- Уклонение — это фича: описанные Flashpoint BYOVD-атака уровня ядра и Rust-лоадер, а также Linux-шифровальщики внутри Windows Subsystem for Linux в обход Windows-ориентированных EDR — по данным SOCRadar.