Wie leidt de ransomwaregroep Qilin?

De cybercrimegroep Qilin is uitgegroeid tot het meest actieve ransomware-affiliateprogramma wereldwijd, met minstens 365 slachtoffers in de afgelopen drie maanden. Ondanks de expertise van Russische hackers zijn er operationele beveiligingsfouten gemaakt, die wijzen op een 36-jarige man uit Sint-Petersburg als beheerder van Qilin.

Qilin opereert sinds september 2022 vanuit Rusland en is volgens een rapport van NCC Group momenteel de meest productieve ransomware-as-a-service-groep. De beheerder, bekend onder de naam "Haise", adverteert zijn affiliateprogramma op het cybercrimeforum RAMP en biedt partners minstens 80 procent van de losgeldbetalingen. Qilin hanteert het "double extortion"-model, waarbij eerst gevoelige data wordt gestolen voordat systemen worden versleuteld en slachtoffers worden bedreigd met publicatie van de gegevens.

In tegenstelling tot veel andere Russische ransomwaregroepen werkt Qilin ook samen met Engelssprekende affiliates en heeft de leider via Telegram aangegeven te hebben samengewerkt met groepen als Scattered Spider en RansomHub. De alias "Haise" is niet altijd gebruikt; cybercriminelen wisselen regelmatig van gebruikersnaam om hun identiteit te beschermen. Uit berichten op het inmiddels door de FBI in beslag genomen forum RAMP blijkt dat Haise in juni 2022 lid werd van dit forum onder de Telegram-gebruikersnaam Alexbigboss44.

Onderzoek van de cyberintelligenceplatforms Intel 471 en Flashpoint toont aan dat deze Telegram-account al in 2020 werd gebruikt door een gebruiker genaamd Rjun, actief op Russische cybercrimeforums. Deze persoon was betrokken bij grootschalige handel in gestolen data, waaronder Facebook-logs en Google Ads-accounts, en fungeerde als tussenpersoon en organisator binnen criminele netwerken. De koppeling tussen Haise en de oudere accounts werd recent bevestigd door IntelHawk, een AI-platform dat bedreigingsactoren kan de-anonimiseren op basis van historische gebruikersnamen en stijlkenmerken.