Qilin ransomware derin incelemesi: Rust loader'lar, kernel seviyeli EDR killer'lar ve dört yıllık sızıntı sitesi verisi
2022'de Agenda adıyla ortaya çıkan Ransomware-as-a-Service markası Qilin, üç yıldır sızıntı sitesi sıralamalarının tepesinde. Takip sitesi ransomware.live, markaya 104 ülkede yayımlanmış 2.398 kurban atfediyor; en yeni kayıtlar 19 Ekim 2026 tarihli. O ay marka başka bir nedenle de manşetlere döndü: çekirdek üyeden şüphelenilen biri şu anda Almanya'da gözaltında ve dosyada 2024'teki Londra patoloji hizmetleri saldırısı da var.
Qilin, sızıntı sitesi mekaniği yazımızda ele aldığımız Medusa operasyonundan farklı bir canlı: kendi araç zincirini işletiyor, olgun bir ortak panelini kiralıyor ve kesintinin en çok acıttığı kurumları avlıyor — hastaneler, deadline'daki gazeteler, tedarik zincirinin içindeki üreticiler.Go ve Rust kod tabanı, kernel seviyesinde alet çantası
Qilin'in şifreleyicileri Go ve Rust ile yazıldı; Windows, Linux ve VMware ESXi için derlemeleri var. SOCRadar'ın aktardığı bir işe alım iletisi ChaCha20, AES ve RSA-4096'yı ilkel olarak listeliyor ve derlemeler her kurbanın ortamına uyarlanıyor. Teslim katmanı daha yeni: Flashpoint'in Temmuz 2026 analizı, şifreleyiciyi aynı süreç içinde açan özel bir Rust loader belgeledi; Mayıs 2024'ten beri dolaşımda. Yanında, yasadışı pazarlarda yaklaşık 2.000 dolara satılan kernel seviyeli bir EDR killer çalışıyor: meşru ThrottleStop sürücüsünü kernel erişimi için kötüye kullanıyor, erişim denetimlerini yeniden yazarak EDR süreçlerini yeniden başlatılamayacak biçimde öldürüyor. Çoğu Rusça operasyon gibi araç seti, Rusya veya Belarus gibi BDT yerel ayarlı makineleri reddediyor — ve Flashpoint anti-EDR araçlarını artık yüksek etkili ransomware'nin standart ön koşulu sayıyor.Synnovis: şifreleme ameliyat masasına ulaştığında
3 Haziran 2024'te Qilin, Londra'da King's College Hospital ve Guy's and St Thomas' hastanelerine hizmet veren patoloji ortaklığı Synnovis'e saldırdı. NHS England verileri, BBC'nin aktardığı şekilde ilk hafta 800'den fazla ameliyatın ertelendiğini, yüzlerce poliklinik randevusunun ötelendiğini ve 18 organın başka merkezlere yönlendirildiğini gösterdi; sonraki haftalarda 10.000'den fazla randevu aksadı."Bunun kendine Qilin adını veren Rus bir siber suçlu grubu olduğuna inanıyoruz." — Eski NCSC başkanı Ciaran Martin, The Guardian'dan aktarıldı, Haziran 2024SOCRadar'a göre 50 milyon dolarlık fidye istendi; 20 Haziran son tarihi geçtikten sonra yaklaşık 400 GB hasta verisi yayımlandı, büyük kısmı grubun Telegram kanalıyla. Çete BBC'ye saldırının İngiltere'nin Ukrayna'ya verdiği desteğe karşı bir protesto olduğunu söyledi — şüpheyle karşılanan bir iddia. Bir yıl sonra King's College Hospital, bir hastanın kan testi sonucunu uzun süre bekledikten sonra öldüğünü doğruladı; BBC'nin aktardığına göre polis olası bir ölüm davasını araştırıyor — siber suç için potansiyel bir ilk. Mayıs 2026'da Japon polisi, Alman basınında Vladimir K. olarak tanıtılan 28 yaşındaki bir Rus'u tatil gezisi sırasında gözaltına aldı; Frankfurt'a iade edilen şüpheli, Eylül 2024'te bir lojistik şirketinden yaklaşık 160.000 dolar şantajla almakla suçlanıyor — ve Alman soruşturmacıları bu arada Synnovis saldırısını da dosyaya ekledi; BBC Ekim 2026'da bildirdi.
Büyük adlı kurbanlar bir kalıp olarak
Synnovis bir istisna değildi. Şubat 2025'te Qilin, St. Louis Post-Dispatch, Buffalo News ve kabaca 350 başka yayını kapsayan Lee Enterprises'ın kritik uygulamalarını şifreledi, baskıyı durdurdu. Çete 120.000 dosya ve 350 GB veri çaldığını iddia etti; Lee daha sonra Sosyal Güvenlik numaraları dahil 39.779 kişinin etkilendiğini açıkladı ve kurtarma maliyetini yaklaşık 2 milyon dolara koydu. İddia edilen diğer kurbanlar arasında Yanfeng, Avustralya'da Court Services Victoria ve Ekim 2025'te Japonya'nın bira devi Asahi var. Microsoft, Scattered Spider üyelerini Qilin markasıyla gerçekleştirilen saldırılara bağladı, BleepingComputer'in aktardığı gibi.Sayaçların gösterdiği
Sayaçlar takipçiye göre değişiyor ama eğilim örtüşüyor. ransomware.live'ın Qilin sayfası 2022'den beri 2.398 kurban listeliyor: imalat (502), profesyonel hizmetler (398), teknoloji (272), sağlık (200) ve perakende (169) önde; 1.005 kayıtla Birleşik Devletler başı çekiyor. CybelAngel 2022'den bu yana sızıntı sitesinde 2.100'den fazla kuruluş saydı — bunlardan 55'i yalnızca Ocak 2026'nın ilk iki haftasında. SOCRadar'ın Kasım 2025 güncellemesi Qilin'i, o Ocak'tan beri 50'den fazla ülkede kabaca 800 kurbanla 2025'in en aktif ransomware grubu olarak adlandı. Baskı taktikleri sıralamalarla birlikte evriliyor. SOCRadar, Haziran 2025'te ortak paneline eklenen ve ortakların pazarlıklara avukat sokmasını sağlayan "Call lawyer" özelliğini belgeliyor. Eylül 2025'te DragonForce, teknik ve altyapı paylaşmak için Qilin ve LockBit'le bir koalisyon duyurdu. Baskı aynı zamanda düzenleyici: Lee Enterprises'ın Maine düzenleyicisine bildirimi ve NHS England'ın hasta verileri uyarıları bir sızıntının uyum kuyruğunu gösteriyor.Qilin'i ayrıştıran ne
Markalaşma soyulduğunda Qilin'i ayıran birkaç operasyonel alışkanlık kalıyor:- Çifte şantaj standart: veriler şifrelemeden önce dışarı sızdırılıyor ve yayın son tarih geçince geliyor — Synnovis de Lee Enterprises de dökümlerle sonuçlandı.
- Hedef seçimi zamana duyarlı kurumlara yatıyor — üreticiler, lojistik, hastaneler, gazeteler — ki bir saatlik kesintinin fiyatı var.
- Erişim yolları arasında phishing, açıkta olan uygulamaların ve RDP gibi uzak hizmetlerin sömürülmesi var, MS-ISAC raporlarına göre; yönetilen hizmet sağlayıcıları üzerinden tedarik zinciri saldırıları aynı anda düzinelerce firmaya ulaştı — Eylül 2025 "Korean Leaks" operasyonu en az 25 Güney Koreli finans firmasına değdi.
- Kaçınma bir özellik: Flashpoint'in belgelediği BYOVD kernel saldırısı ve Rust loader, ayrıca Windows odaklı EDR'leri atlatmak için Windows Subsystem for Linux içinde çalışan Linux şifreleyiciler — SOCRadar'a göre.