Qilin勒索软件深度解析：Rust加载器、内核级EDR查杀工具与四年泄露网站数据
Qilin是2022年以Agenda之名出现的勒索软件即服务（RaaS）品牌，三年来一直位居各泄露网站排名前列。追踪站点ransomware.live将其在104个国家的2398名已公布受害者归于此品牌，最新条目截至2026年10月19日。就在那个月，该品牌还因另一原因重回头条：一名疑似核心成员如今被德国羁押，案卷中包含2024年针对伦敦病理检测服务的攻击。
Qilin与我们在此前关于泄露网站机制的文章中讨论的Medusa运作截然不同：它拥有自己的工具链，出租成熟的加盟面板，专挑宕机最痛的组织下手——医院、赶印期的报业、供应链中的制造商。Go与Rust代码库，内核级工具箱
Qilin的加密器以Go和Rust编写，有面向Windows、Linux和VMware ESXi的构建版本；SOCRadar引用的一份招募帖列出了ChaCha20、AES和RSA-4096等加密原语，且每个构建版本都会针对受害者的环境定制。 交付层更新：Flashpoint 2026年7月的分析记录了一个自研Rust加载器，它在同一进程内解包加密器，自2024年5月起已在野外出现。与之相伴的是一个内核级EDR查杀工具，在非法市场上售价约2000美元：它滥用合法的ThrottleStop驱动获取内核访问权，改写EDR进程的访问控制后将其终止，使其无法重启。与多数俄语系运作一样，该工具会拒绝在区域设置属于独联体国家（如俄罗斯、白俄罗斯）的机器上运行——而Flashpoint如今将反EDR工具视为高影响勒索软件的标准前提。Synnovis：当加密蔓延到手术台
2024年6月3日，Qilin攻击了为伦敦国王学院医院（King's College Hospital）与盖伊和圣托马斯（Guy's and St Thomas'）医院集团提供服务的病理合作机构Synnovis。BBC报道的NHS England数据显示，第一周有超过800台手术被推迟、数百个门诊预约被改期、18个器官被转往他院；随后数周内共有一万多个预约受到影响。"我们认为这是一个自称为Qilin的俄罗斯网络犯罪团伙。"——前NCSC负责人Ciaran Martin，《卫报》引述，2024年6月据SOCRadar，对方索要5000万美元赎金；6月20日最后期限过后，约400GB患者数据被公开，其中大部分经由该组织的Telegram频道发布。该团伙告诉BBC，此次攻击是对英国支持乌克兰的抗议——这一说法遭到质疑。一年后，国王学院医院证实一名患者因长时间等待血液检测结果而死亡；据BBC报道，警方正在研究此案是否可按非法致人死亡立案——这将是网络犯罪的潜在首例。 2026年5月，日本警方在一名28岁俄罗斯男子度假入境时将其拘捕，德国媒体称其为弗拉基米尔·K.（Vladimir K.）；被引渡至法兰克福后，他被控于2024年9月从一家物流公司勒索约16万美元——德国调查人员其后已将Synnovis攻击并入本案，BBC于2026年10月报道。
大牌受害者成为一种模式
Synnovis并非孤例。2025年2月，Qilin加密了Lee Enterprises的关键应用——这家美国出版集团旗下拥有《圣路易斯邮报》（St. Louis Post-Dispatch）、《布法罗新闻》（Buffalo News）等约350份刊物——令印刷停摆。该团伙声称窃取了12万个文件、350GB数据；Lee其后披露，39779人受影响，其中包括社会安全号码，恢复成本约为200万美元。其他被声称为受害者的还有Yanfeng（延锋）、澳大利亚的Court Services Victoria，以及2025年10月的日本啤酒巨头朝日（Asahi）。微软曾将Scattered Spider成员与使用Qilin品牌的攻击联系起来，BleepingComputer如此报道。计数器显示了什么
各追踪器统计口径不同，但趋势一致。ransomware.live的Qilin页面列出自2022年以来的2398名受害者，以制造业（502）、专业服务（398）、科技（272）、医疗（200）和零售（169）居首，美国以1005条记录排第一。CybelAngel统计自2022年以来泄露网站上有超过2100个组织——仅2026年1月前两周就有55个。SOCRadar 2025年11月的更新称Qilin为2025年最活跃的勒索软件组织，自当年1月起在50多个国家约有800名受害者。 施压手段随排名一同进化。SOCRadar记录了2025年6月加入加盟面板的"Call lawyer"功能，让加盟者可在谈判中引入律师。2025年9月，DragonForce宣布与Qilin、LockBit结成联盟，共享技术与基础设施。压力也来自监管：Lee Enterprises向缅因州监管机构的通知，以及NHS England对患者数据的警告，都显示出泄露事件的合规余波。Qilin的独特之处
剥去品牌外衣，几个操作习惯令Qilin与众不同：- 双重勒索是标配：数据在加密前被窃取，期限一过即发布——Synnovis和Lee Enterprises最终都以数据公开收场。
- 目标偏向时间敏感的组织——制造商、物流企业、医院、报社——对它们而言，停机一小时都有代价。
- 入侵途径包括钓鱼、利用暴露的应用和RDP等远程服务，据MS-ISAC的报告；通过托管服务提供商，供应链攻击曾一次波及数十家企业——2025年9月的"Korean Leaks"行动触及至少25家韩国金融企业。
- 逃避检测本身就是一项功能：Flashpoint记录的BYOVD内核攻击和Rust加载器，以及据SOCRadar在Windows Subsystem for Linux内运行Linux加密器以绕过面向Windows的EDR。