Qilin-Ransomware-Gruppe nimmt Unternehmens-VPN-Infrastruktur in koordinierten Angriffen auf große Netzwerkanbieter ins Visier
TL;DR
Qilin-Ransomware-Gruppe nimmt Unternehmens-VPN-Infrastruktur in koordinierten Angriffen auf große Netzwerkanbieter ins Visier
Das Qilin-Ransomware-Syndikat ist längst nicht mehr nur ein weiterer Akteur im Cybercrime-Untergrund – sie haben sich zum Hauptarchitekten des Chaos entwickelt. Seit Beginn des Jahres 2025 haben sie rund 700 Angriffe orchestriert, eine erschreckende Zahl, die eine kalkulierte Verschiebung ihrer globalen Operationen unterstreicht. Nachdem das RansomHub-Syndikat effektiv von der Bildfläche verschwunden ist, hat Qilin diese Lücke gefüllt und richtet den Fokus auf das schwächste Glied der modernen Unternehmenssicherheit: die VPN-Infrastruktur. Sie brechen nicht nur ein; sie nisten sich dauerhaft ein.
Die Gruppe, die erstmals im August 2022 unter dem Namen „Agenda“ auftauchte, hat eine radikale Transformation durchlaufen. Sie operieren nach einem Ransomware-as-a-Service (RaaS)-Modell und wissen genau, wie sie ihre Talente bei Laune halten. Mit einer Gewinnbeteiligung von bis zu 85 % an jeder Lösegeldzahlung haben sie einen stetigen Strom kampferprobter Krimineller angezogen. Dies ist keine Ansammlung von Skript-Kiddies – es ist ein Unternehmen, und das Geschäft boomt in den Bereichen Gesundheitswesen, Energie und Bildung.
Von Go zu Rust: Der technologische Wandel
Anfangs verließ sich Qilin auf Go-basierte Malware, doch das war erst der Anfang. Ihr Wechsel zu einem Rust-basierten Toolkit ist ein Albtraum für Sicherheitsteams. Rust ermöglicht es ihnen, hochgradig anpassbare, plattformübergreifende Payloads zu erstellen, die mühelos zwischen Windows-, Linux- und ESXi-Umgebungen wechseln. Es ist eine vielseitige Waffe, mit der ihre Partner die Verschlüsselungsroutinen an jede Architektur anpassen können, die sie in einem Zielnetzwerk vorfinden.
Ihr aktuelles Playbook setzt stark auf die Ausnutzung von VPNs, um sich einen langfristigen Zugang zu sichern. Sobald sie drin sind, agieren sie chirurgisch präzise. Laut einer detaillierten Analyse der Qilin-Ransomware ist die Gruppe meisterhaft darin, Anmeldedaten direkt aus Google Chrome zu stehlen. Noch schlimmer: Sie haben das Windows Subsystem for Linux (WSL) als Waffe instrumentalisiert. Indem sie bösartige Befehle innerhalb einer Linux-Umgebung ausführen, die in einem Windows-Host verborgen ist, werden sie effektiv unsichtbar und schlüpfen an herkömmlichen EDR-Lösungen vorbei, die den Datenverkehr innerhalb dieses Subsystems schlicht nicht überwachen.
| Funktion | Anfangszustand (2022) | Aktueller Zustand (2025) |
|---|---|---|
| Primäre Sprache | Go | Rust / Go |
| Zielbereich | Allgemeine Unternehmen | Kritische Infrastruktur |
| Persistenzmethode | Standard-Registry-Keys | WSL-Missbrauch / VPN-Exploitation |
| Erpressungsmodell | Einfache Verschlüsselung | Doppelte Erpressung |
Die Geografie des Verbrechens
Die rasante Eskalation der Qilin-Ransomware ist kein Zufall. Es ist eine strategische Jagd auf hochwertige Ziele. Trotz ihrer Reichweite halten sie sich an eine spezifische Regel: Sie greifen die Gemeinschaft Unabhängiger Staaten (GUS) nicht an. Angesichts der russischsprachigen Wurzeln der Gruppe ist dies ein klassischer Schachzug, um die Art von inländischem Strafverfolgungsdruck zu vermeiden, der ihre Operation über Nacht zerschlagen könnte.
Zudem setzen sie verstärkt auf das Modell der „doppelten Erpressung“. Es reicht nicht mehr aus, Dateien zu verschlüsseln. Sie exfiltrieren sensible Daten und drohen damit, diese auf einer speziellen Leak-Seite zu veröffentlichen, falls das Lösegeld nicht gezahlt wird. Es ist eine brutale und effektive Drucktaktik. Zwischen Mitte 2022 und Mitte 2023 hatten sie bereits 12 große Opfer zu verzeichnen. Heute? Diese Zahl ist in die Höhe geschossen und zwingt Unternehmen in eine ausweglose Lage: Zahlen oder zusehen, wie proprietäre Daten öffentlich werden.
Wie man eine Verteidigung aufbaut
Wenn Sie einen Gegner stoppen wollen, der VPNs wie Vordertüren und WSL wie einen geheimen Tunnel behandelt, ist signaturbasierte Erkennung ein Relikt der Vergangenheit. Sie benötigen eine Defense-in-Depth-Strategie, die davon ausgeht, dass der Perimeter bereits kompromittiert ist.
- VPN-Härtung: Wenn Ihr VPN keine phishing-resistente MFA besitzt, ist es bereits kompromittiert. Verlassen Sie sich nicht mehr auf einfache Passwörter.
- WSL-Überwachung: Schränken Sie den Zugriff ein. Nur autorisierte Administratoren sollten in der Lage sein, WSL zu installieren oder auszuführen. Wenn ein normaler Benutzer es ausführt, ist das ein Warnsignal.
- Credential-Hygiene: Erlauben Sie Browsern nicht mehr, Ihre Unternehmenspasswörter zu speichern. Es ist eine Goldgrube für Angreifer, und Chrome ist ihr bevorzugtes Jagdrevier.
- Verhaltensanalyse: Achten Sie auf ungewöhnliche Aktivitäten. Wenn Sie plattformübergreifende Ausführungsmuster sehen, die nicht zu Ihren Standard-IT-Workflows passen, untersuchen Sie dies sofort.
Das Organisationsniveau hinter dieser Gruppe ist erschreckend. Im März 2023 gelang es dem Threat Intelligence-Team von Group-IB, einen Blick hinter die Kulissen zu werfen und das Partner-Panel der Gruppe zu infiltrieren. Was sie fanden, war keine lose Ansammlung von Hackern, sondern eine strukturierte Hierarchie mit dedizierten Rollen für Rekrutierung, Zahlungsverteilung und technischen Support.
Qilin wird nicht verschwinden. Sie haben bewiesen, dass sie sich an Maßnahmen der Strafverfolgungsbehörden anpassen und ihr technisches Toolkit weiterentwickeln können, um den „Guten“ immer einen Schritt voraus zu sein. Da sie weiterhin die komplexe Schnittstelle zwischen Fernzugriff und lokalen Systemschwachstellen ausnutzen, besteht die einzige Überlebenschance darin, nicht auf den Alarm zu warten, sondern aktiv nach verdächtigem Verhalten zu suchen. Sie spielen auf Sieg – es ist an der Zeit, dass die Branche dasselbe tut.
