Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Qilin

Qilin (auch „Agenda“) zählt seit der Zerschlagung von LockBit zu den aktivsten Ransomware-as-a-Service-Gruppen weltweit – mit Fokus auf Mittelstand, Produktion und Gesundheitswesen.

Vorfall melden
Kurz erklärt

Qilin ist eine Ransomware-as-a-Service-Operation, die seit 2022 aktiv ist und deren Affiliates Unternehmen per Double Extortion erpressen: Daten werden gestohlen, Systeme verschlüsselt, und mit Veröffentlichung gedroht. Nach dem Wegfall von LockBit und ALPHV gehört Qilin 2025/2026 laut Threat-Reports konstant zu den Gruppen mit den meisten gelisteten Opfern.

Aktiv

Modell

RaaS

Auch bekannt als

Agenda

Gegründet

2022 (als Agenda), 2023 (öffentlich als Qilin)

Entstanden aus

Eigenentwicklung in Go, später Rust

Herkunft

China oder Russland (unklar; Codebasis-Analyse deutet teils auf chinesische Akteure)

Zielsektoren

Gesundheitswesen, Bildung, kritische Infrastruktur, Fertigung, Finanzwesen

Zielregionen

Global; UK, USA, DACH, Australien, Asien-Pazifik

Typisches Lösegeld

50.000 – 3 Mio. USD

Opferzahl

Aktivste Ransomware-Gruppe weltweit (Q3 2025 – Q1 2026)

File Extensions

zufällige Endung je Kampagne (Agenda/Qilin)

Ransom Note

README-RECOVER-[Kennung].txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten. Virtualisierung (ESXi/vCenter) besonders prüfen.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Synnovis (NHS-Blutversorgung UK, Juni 2024 – tausende Operationen verschoben)
  • Lee Enterprises Medienkonzern (Jan. 2025)
  • Wesfarmers, Australien

Angriffstechniken (TTPs)

  • Initial Access: Gestohlene Zugänge, Phishing und RDP; Exploits gegen Randsysteme.
    • FortiGate (CVE-2024-21762, CVE-2024-55591), SAP NetWeaver (CVE-2025-31324), Citrix; missbrauchte RMM-Tools (ScreenConnect, AnyDesk)
    • MSP-/Lieferketten-Kompromittierung („Korean Leaks“, Sept. 2025: 1 MSP → 28 Folgeopfer)
    • MITRE: T1078, T1566, T1190, T1021.001
  • Execution/Persistence: PowerShell-Verteilung via GPO (T1059.001, T1484.001), geplante Tasks.
  • Besonderheit: stiehlt VPN-Zugangsdaten aus Browsern; Vollangriff auf Virtualisierung.

Technologie & Malware

Sprachen: ursprünglich Go („Agenda“), neu geschrieben in Rust; C-basierte ELF-Varianten für Linux/ESXi.

Verschlüsselung: Windows AES-256-CTR + RSA-2048/4096 (auch ChaCha20); Linux/ESXi ELF verschlüsselt Dateien im Triple-Pass, RSA-4096 schützt den Schlüssel. Starker Fokus auf VMware ESXi.

Indicators of Compromise (IOCs)

  • Ransom Note: README-RECOVER-[Kennung].txt
  • Ausgenutzte CVEs: CVE-2024-21762, CVE-2024-55591 (FortiGate), CVE-2025-31324 (SAP NetWeaver)
  • Missbrauchte Tools: ScreenConnect, AnyDesk, PowerShell/GPO
  • Aliase/Bezug: Agenda; Zulauf ehemaliger RansomHub-Affiliates

Was Unternehmen jetzt prüfen sollten

  • Externe Angriffsfläche: ungepatchte VPNs, Firewalls und exponierte Dienste
  • MFA flächendeckend – besonders für Remote-Zugänge und Admin-Konten
  • Offline- bzw. unveränderliche Backups inklusive getestetem Wiederanlauf
  • 24/7-Erkennung am Endpoint (EDR/MDR) – Qilin-Affiliates arbeiten oft nachts

Wie Argos unterstützt

24/7-Erkennung und Reaktion über das Cyber Defense Center, Incident Response mit ≤ 30 Minuten Reaktionszeit remote – und mit dem IR-Retainer priorisierter Zugang im Ernstfall.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →