Qilin ist eine Ransomware-as-a-Service-Gruppe sowie die gleichnamige Schadsoftware, die auf gezielte Erpressungsangriffe gegen Unternehmen und Organisationen spezialisiert ist. Die Gruppe setzt auf das Double-Extortion-Modell: Angreifer exfiltrieren Daten vor der Verschl\u00fcsselung und setzen Betroffene zus\u00e4tzlich mit der drohenden Ver\u00f6ffentlichung sensibler Informationen unter Druck. Qilin operiert als kriminelles \u00d6kosystem, in dem die Kerngruppe die Infrastruktur bereitstellt und unabh\u00e4ngige Affiliates die Angriffe ausf\u00fchren. Diese Arbeitsteilung erlaubt es der Gruppe, parallel mehrere Ziele in unterschiedlichen Branchen anzugreifen<\/strong>, ohne dass die Kerngruppe selbst operativ in Erscheinung tritt und damit direkt nachverfolgbar w\u00e4re.<\/p>\n Exfiltrieren Affiliates vor der Verschl\u00fcsselung Daten aus einem Maklerportal, k\u00f6nnen sie zus\u00e4tzlich mit deren Ver\u00f6ffentlichung drohen, um den Erpressungsdruck auf den Versicherer zu erh\u00f6hen. Eine Zahlung stellt dabei nicht sicher, dass die Ver\u00f6ffentlichung tats\u00e4chlich unterbleibt. Betroffen sein k\u00f6nnen damit nicht nur die eigenen Vertragsdaten, sondern auch personenbezogene Informationen von Kunden, deren Vertr\u00e4ge \u00fcber das kompromittierte Portal verwaltet wurden, was zus\u00e4tzliche Meldepflichten ausl\u00f6sen kann<\/strong>.<\/p>\n Qilin-Affiliates verschaffen sich zun\u00e4chst Zugriff auf ein Unternehmensnetzwerk und exfiltrieren dort gezielt Kundendaten, bevor die eigentliche Verschl\u00fcsselung beginnt. Diese Reihenfolge sichert den Angreifern einen Druckhebel<\/strong>, selbst wenn die sp\u00e4tere Verschl\u00fcsselung durch Backups oder Sicherheitsma\u00dfnahmen teilweise vereitelt wird. Die Wahl der Zielsysteme richtet sich dabei nach dem vermuteten Wert der dort gespeicherten Daten, etwa Vertrags- oder Gesundheitsinformationen, und weniger nach der Gr\u00f6\u00dfe des Unternehmens allein.<\/p>\n Nach Abschluss der Exfiltration verschl\u00fcsseln die Affiliates erreichbare Systeme und ver\u00f6ffentlichen bei ausbleibender Zahlung einen Teil der gestohlenen Daten auf einer Leak-Site. Dieser stufenweise Druckaufbau aus Ank\u00fcndigung und teilweiser Ver\u00f6ffentlichung soll die Zahlungsbereitschaft der Betroffenen erh\u00f6hen, bevor der vollst\u00e4ndige Datensatz offengelegt wird. F\u00fcr Betroffene bedeutet das, dass ein Vorfall selbst nach erfolgreicher Wiederherstellung der Systeme aus Backups<\/strong> nicht automatisch abgeschlossen ist, solange gestohlene Daten weiterhin drohen, ver\u00f6ffentlicht zu werden. Die Kommunikation \u00fcber die Leak-Site dient dabei zugleich als Beleg f\u00fcr die Ernsthaftigkeit der Drohung gegen\u00fcber Betroffenen.<\/p>\nWie funktioniert Qilin?<\/h2>\n
Woran erkenne ich Qilin?<\/h2>\n