Qilin ist eine Ransomware-as-a-Service-Gruppe sowie die gleichnamige Schadsoftware, die mithilfe unabhängiger Affiliates gezielte Erpressungsangriffe gegen Unternehmen und Organisationen durchführt und dabei auf das Double-Extortion-Modell mit in der Regel vorangehendem Datendiebstahl setzt.
Auf einen Blick
Der Name Qilin bezeichnet ein chinesisches Fabelwesen.
2024 wurde Qilin mit einem Angriff auf einen britischen Pathologiedienstleister in Verbindung gebracht, der den Klinikbetrieb des Londoner NHS störte.
Bereits die Drohung mit einer Veröffentlichung gestohlener Daten kann zur Zahlung bewegen, auch wenn die Verschlüsselung selbst misslingt.
Was ist Qilin?
Qilin ist eine Ransomware-as-a-Service-Gruppe sowie die gleichnamige Schadsoftware, die auf gezielte Erpressungsangriffe gegen Unternehmen und Organisationen spezialisiert ist. Die Gruppe setzt auf das Double-Extortion-Modell: Angreifer exfiltrieren in der Regel Daten vor der Verschlüsselung und setzen Betroffene zusätzlich mit der drohenden Veröffentlichung sensibler Informationen unter Druck. Qilin operiert als kriminelles Ökosystem, in dem die Kerngruppe die Infrastruktur bereitstellt und unabhängige Affiliates die Angriffe ausführen. Diese Arbeitsteilung erlaubt es der Gruppe, parallel mehrere Ziele in unterschiedlichen Branchen anzugreifen. Laut SecurityWeek ist Qilin auch unter dem Namen Agenda bekannt, wirbt in Darknet-Foren und vermietet die Schadsoftware an Affiliates, die damit gegen einen Anteil an den Lösegeldzahlungen Angriffe ausführen.
Exfiltrieren Affiliates vor der Verschlüsselung Daten aus einem Maklerportal, können sie zusätzlich mit deren Veröffentlichung drohen, um den Erpressungsdruck auf den Versicherer zu erhöhen. Eine Zahlung stellt dabei nicht sicher, dass die Veröffentlichung tatsächlich unterbleibt. Betroffen sein können damit nicht nur die eigenen Vertragsdaten, sondern auch personenbezogene Informationen von Kunden, deren Verträge über das kompromittierte Portal verwaltet wurden, was zusätzliche Meldepflichten auslösen kann.
Wie funktioniert Qilin?
Qilin-Affiliates verschaffen sich zunächst Zugriff auf ein Unternehmensnetzwerk und exfiltrieren in der Regel Daten, bevor die eigentliche Verschlüsselung beginnt. Als Zugangswege sind etwa ausgenutzte, öffentlich erreichbare Anwendungen und Schnittstellen wie Citrix und RDP sowie Spearphishing-E-Mails dokumentiert. Der Datendiebstahl sichert den Angreifern einen Druckhebel, selbst wenn die spätere Verschlüsselung durch Sicherheitsmaßnahmen teilweise vereitelt wird oder Systeme aus Backups wiederhergestellt werden können. Die Schadsoftware selbst kann zudem Prozesse und Dienste von Antivirenprogrammen beenden und Volumenschattenkopien löschen; Varianten gibt es für Windows, Linux und VMware ESXi.
Anschließend verschlüsseln die Affiliates erreichbare Systeme und können bei ausbleibender Zahlung gestohlene Daten auf einer Leak-Site veröffentlichen. Für Betroffene bedeutet das, dass ein Vorfall selbst nach erfolgreicher Wiederherstellung der Systeme aus Backups nicht automatisch abgeschlossen ist, solange gestohlene Daten weiterhin drohen, veröffentlicht zu werden. Die Kommunikation über die Leak-Site dient dabei zugleich als Beleg für die Ernsthaftigkeit der Drohung gegenüber Betroffenen.
Woran erkenne ich Qilin?
| Signal | Woran erkennbar |
|---|---|
| Datenabfluss vor Verschlüsselung | Ungewöhnlicher ausgehender Datenverkehr geht der eigentlichen Verschlüsselung in der Regel zeitlich voraus |
| Drohung mit Veröffentlichung | Die Erpressungsnachricht droht mit der Veröffentlichung gestohlener Daten |
| Lösegeldnachricht als Desktop-Hintergrund | Auf kompromittierten Rechnern kann der Desktop-Hintergrund durch eine Lösegeldnachricht ersetzt werden |
Schutz im Ernstfall
Vorbeugen
- Ausgehenden Datenverkehr auf ungewöhnliche Volumen überwachen
- Zugriffsrechte auf sensible Kundendatenbanken nach dem Prinzip der geringsten Rechte begrenzen
- Backups getrennt vom Produktivnetzwerk und offline vorhalten
Was tun im Ernstfall
- Betroffene Systeme umgehend isolieren und Umfang der Exfiltration forensisch prüfen
- Betroffene Kunden und Aufsichtsbehörden gemäß den geltenden Meldepflichten informieren
- Von einer Lösegeldzahlung absehen, da sie nicht sicherstellt, dass gestohlene Daten nicht veröffentlicht werden
Beispiele aus der Praxis
- 2024 wurde Qilin mit einem Angriff auf einen britischen Pathologiedienstleister in Verbindung gebracht, der zu erheblichen Störungen im Krankenhausbetrieb des Londoner NHS führte.
- Qilin-Affiliates kompromittieren Unternehmensnetzwerke, exfiltrieren Daten und können diese auf einer Leak-Site veröffentlichen, wenn das Lösegeld nicht gezahlt wird.
- Exfiltrieren Affiliates vor der Verschlüsselung Daten aus dem Maklerportal, drohen sie zusätzlich mit deren Veröffentlichung, um den Erpressungsdruck auf den Versicherer zu erhöhen.
Die Varianten im Detail (1)
Qilin-Ransomware Qilin-Ransomware bezeichnet die Schadsoftware der Qilin-Familie mit Verschlüsselung und Datendiebstahl.
Der Zusatz Ransomware stellt klar, dass die Schadsoftware gemeint ist und nicht das Fabelwesen gleichen Namens. Die Gruppe, die diese Software betreibt, ist vom Schadprogramm selbst zu unterscheiden.
Häufiger Irrtum
Mythos „Wird das Lösegeld bezahlt, löscht die Gruppe die gestohlenen Daten zuverlässig.“
Richtig Eine Zahlung stellt nicht sicher, dass die von Qilin gestohlenen Daten nicht doch veröffentlicht werden.
