Qilin

Operación de habla rusa; evidencia pública apunta a vínculos con el ecosistema cibercriminal ruso/CIS (política interna de no atacar objetivos en países CIS, foros en ruso RAMP y XSS, nacionalidad rusa del miembro detenido en 2026). No existe atribución formal de ningún gobierno al Estado ruso ni evidencia de patrocinio estatal; Barracuda señala explícitamente que no hay evidencia de vínculo con actores chinos o asiáticos a pesar del nombre.

Ransomware-as-a-Service (RaaS) con panel de afiliados. Según Group-IB (infiltración de chat de un reclutador), los afiliados reciben entre el 80-85% del pago del rescate; según reportes de 2025 sobre el panel actualizado, Qilin retiene aproximadamente 15-20%. Desde 2025 el panel ofrece servicios adicionales: función 'Call Lawyer' (asesoría legal para presionar a víctimas durante la negociación, lanzada ~junio 2025), herramienta de DDoS (añadida ~abril 2025), y generación de muestras para Windows, Linux y VMware ESXi. Doble extorsión estándar: robo de datos antes del cifrado, amenaza de filtración en su sitio de leaks aunque se pague el rescate.

Qilin operó originalmente bajo el nombre 'Agenda', documentado por primera vez por Trend Micro en agosto 2022 como ransomware escrito en Go. El rebrand a 'Qilin' llegó junto con una nueva variante en Rust hacia septiembre-diciembre de 2022, atribuida a un actor que usaba el alias 'Qilin' para promocionar Agenda en los foros RAMP y XSS. No hay evidencia confirmada de fusión o escisión formal con otros grupos de ransomware (p.ej. no hay vínculo verificado con LockBit o ALPHV/BlackCat más allá de operar en el mismo ecosistema RaaS ruso-hablante).

Malware disponible en variantes Go (original, 2022) y Rust (desde fines de 2022, más eficiente y evasivo), con build para Linux/VMware ESXi identificado en diciembre 2023. Acceso inicial vía phishing dirigido, explotación de aplicaciones expuestas (Citrix, RDP) y uso de herramientas RMM legítimas. Doble extorsión: exfiltración de datos previa al cifrado, publicación en sitio de leaks .onion, negociaciones con apoyo de 'Call Lawyer' y desde 2025 capacidades de DDoS como presión adicional. Ataques suelen ser altamente dirigidos/personalizados por víctima.