Програма-вимагач Qilin: Rust-лоадери, EDR-кілери рівня ядра та чотири роки даних сайтів витоків
Qilin — марка Ransomware-as-a-Service, що з'явилася 2022 року під ім'ям Agenda, — уже три роки тримається на вершині рейтингів сайтів витоків. Трекер ransomware.live приписує йому 2398 опублікованих жертв у 104 країнах; найсвіжіші записи датовані 19 жовтня 2026 року. Того ж місяця марка повернулася в заголовки й з іншої причини: передбачуваний член ядра групи перебуває під вартою в Німеччині, а в справі фігурує атака 2024 року на лондонські патолого-діагностичні служби.
Qilin — не те саме, що операція Medusa, яку ми описували в нашому попередньому матеріалі про механіку сайтів витоків: група має власний ланцюжок інструментів, орендує зрілу партнерську панель і полює на організації, де простою найболючіше, — лікарні, газети в дедлайн, виробників усередині ланцюгів постачання.Кодова база на Go та Rust, інструментарій рівня ядра
Шифрувальники Qilin написані на Go та Rust — зі збірками для Windows, Linux та VMware ESXi; у рекрутинговому пості, процитованому SOCRadar, перелічено примітиви ChaCha20, AES та RSA-4096, а збірки підлаштовуються під середовище кожної жертви. Новіший — доставковий шар: аналіз Flashpoint за липень 2026 року описує власний Rust-лоадер, що розпаковує шифрувальник у тому самому процесі; в обігу він із травня 2024 року. Поруч працює EDR-кілер рівня ядра, який продають на нелегальних ринках приблизно за 2000 доларів: він зловживає легітимним драйвером ThrottleStop для доступу до ядра і завершує процеси EDR, переписавши їхні списки контролю доступу так, що перезапуск неможливий. Як і більшість російськомовних операцій, інструментарій відмовляє машинам із локаллю країн СНД — Росії чи Білорусі; а Flashpoint вважає anti-EDR-інструментарій уже стандартною вимогою для потужного шифрувальника.Synnovis: коли шифрування дійшло до операційного столу
3 червня 2024 року Qilin ударив по Synnovis — партнерству лабораторної діагностики, що обслуговує лікарні King's College Hospital та Guy's and St Thomas' у Лондоні. За даними NHS England, які наводить BBC, лише за перший тиждень перенесли понад 800 операцій, сотні амбулаторних прийомів, а 18 органів скерували до інших клінік; у наступні тижні зірвали понад 10 000 прийомів."Ми вважаємо, що це російська група кіберзлочинців, яка називає себе Qilin". — Кіаран Мартін, екс-голова NCSC, цитата з The Guardian, червень 2024 рокуЗа даними SOCRadar, вимагали викуп у 50 мільйонів доларів; після спливу строку 20 червня оприлюднили близько 400 ГБ даних пацієнтів, здебільшого через Telegram-канал групи. Учасники заявили BBC, що атака була протестом проти британської підтримки України, — теза, зустрінута скептично. Рік потому лікарня King's College підтвердила, що пацієнт помер після тривалого очікування результату аналізу крові; як повідомляє BBC, поліція вивчає можливість справи про неправомірне заподіяння смерті — потенційний перший такий випадок у кіберзлочинності. У травні 2026 року японська поліція затримала 28-річного росіянина, якого німецька преса називає Володимиром К., під час туристичної поїздки; після екстрадиції до Франкфурта його звинувачують у вимаганні близько 160 000 доларів у логістичної компанії у вересні 2024 року — а німецькі слідчі додали до справи й атаку на Synnovis, повідомила BBC в жовтні 2026 року.
Гучні жертви як закономірність
Synnovis — не виняток. У лютому 2025 року Qilin зашифрував критичні застосунки в Lee Enterprises — американського видавця St. Louis Post-Dispatch, Buffalo News та ще приблизно 350 видань — зупинивши друк. Група заявила про 120 000 файлів і 350 ГБ даних; як пізніше розкрила Lee, постраждало 39 779 осіб, включно з номерами соціального страхування, а витрати на відновлення оцінили приблизно у 2 мільйони доларів. Серед інших заявлених жертв — Yanfeng, Court Services Victoria в Австралії та, у жовтні 2025 року, японський пивоварний гігант Asahi. Microsoft пов'язувала учасників Scattered Spider з атаками під маркою Qilin, як писала BleepingComputer.Що показують лічильники
Лічильники в трекерів різні, але тренди збігаються. Сторінка Qilin на ransomware.live налічує 2398 жертв із 2022 року: попереду виробництво (502), професійні послуги (398), технології (272), охорона здоров'я (200) та роздріб (169); на першому місці США зі 1005 записами. CybelAngel нарахував понад 2100 організацій на сайті витоків із 2022 року — 55 лише за перші два тижні січня 2026-го. Оновлення SOCRadar за листопад 2025 року називало Qilin найактивнішою групою-вимагачем 2025 року — близько 800 жертв у понад 50 країнах із січня того року. Методи тиску еволюціонують разом із рейтингами. SOCRadar описує функцію "Call lawyer", додану до партнерської панелі в червні 2025 року: афілійовані можуть підключати юристів до переговорів. У вересні 2025 року DragonForce оголосила коаліцію з Qilin та LockBit для обміну техніками та інфраструктурою. Тиск і регуляторний: повідомлення Lee Enterprises регулятору штату Мен і попередження NHS England щодо даних пацієнтів показують "комплайенс-хвіст" будь-якого витоку.Що відрізняє Qilin
Без брендингу групу вирізняють кілька операційних звичок:- Подвійне вимагання — стандарт: дані витікають до шифрування, публікація слідує після дедлайну — і Synnovis, і Lee Enterprises завершилися зливами.
- Вибір цілей зміщений до чутливих до часу організацій — виробництв, логістики, лікарень, газет, — де година простою має ціну.
- Шляхи доступу — фішинг, експлуатація загальнодоступних застосунків і віддалених сервісів на кшталт RDP, за звітами MS-ISAC; через провайдерів керованих послуг атаки на ланцюги постачання зачепили десятки компаній одночасно — операція "Korean Leaks" у вересні 2025 року сягнула щонайменше 25 південнокорейських фінансових фірм.
- Ухилення — це фіча: описані Flashpoint BYOVD-атака рівня ядра та Rust-лоадер, а також Linux-шифрувальники всередині Windows Subsystem for Linux в обхід Windows-орієнтованих EDR — за даними SOCRadar.