Qilin
Alias-Namen: Agenda
52
41
12.05.2026
21.10.2026
Profil laut MITRE ATT&CK
Qilin is a ransomware family operated as a ransomware-as-a-service (RaaS) that has been active since at least 2022. It includes variants written in Go and Rust capable of targeting Windows, Linux, and VMware ESXi environments. Qilin shares functionality overlaps with Black Basta, REvil, and BlackCat ransomware. Qilin affiliates have targeted multiple entities worldwide with the majority of victims in the US, France, Canada, and the UK, primarily in the manufacturing, technology, financial services, and healthcare sectors.
Vollständiges MITRE-ProfilBeschreibung und Alias-Namen stammen aus MITRE ATT&CK®.
Erpressungs-Aktivität
Einträge auf der Leak-Seite der gleichnamigen Gruppe, aus den Aggregatoren RansomLook, ThreatCluster und Ransomware.live. Nicht aus den Meldungen — eigene Beobachtung.
273
Einträge gesamt
273
letzte 90 Tage
10.08.2026 – 22.10.2026
Zeitraum
14
Kanäle
Bietet Ransomware-as-a-Service an.
Einträge je Monat, letzte 12 Monate.
Die Zuordnung beruht auf Namensgleichheit zwischen dem MITRE-Eintrag und der Marke des Aggregators, abgesichert dagegen, dass der MITRE-Eintrag Ransomware oder Erpressung beschreibt. Sie ist eine Namensgleichheit mit Sachbezug, keine Identitätsaussage — und jeder einzelne Eintrag ist die Behauptung eines Angreifers, kein bestätigter Vorfall.
Nennungen im Zeitverlauf
Meldungen je Monat, letzte 12 Monate.
Belegte Beziehungen
Beziehungen, die eine Meldung ausdrücklich aussagt. Ein Sprachmodell hat die Textstelle benannt, der Code hat das Zitat im Quelltext wiedergefunden und darin beide Seiten erkannt. Es ist die Aussage der Quelle, keine Zuschreibung durch SecBoard.
nutzt aus:CVE-2026-50751in 2 Meldungen
„In June this year, Qilin was exploiting a critical authentication bypass vulnerability in Check Point VPN and firewall products, tracked as CVE-2026-50751.“
Quelle: Qilin Ransomware Suspect Arrested in Japan, Extradited to Germany
eingesetzt vonLazarus Groupin 1 Meldung
„At least since September 2025, the Lazarus Group and its related intrusion set Moonstone Sleet (aka Storm-1789) have also been attributed to attacks targeting South Korean and Middle East entities with Qilin and Medusa ransomware.“
Quelle: Gunra Ransomware Exploits Fortinet and Schneider Electric Flaws to Breach Networks
eingesetzt vonMoonstone SleetMITREin 1 Meldung
„At least since September 2025, the Lazarus Group and its related intrusion set Moonstone Sleet (aka Storm-1789) have also been attributed to attacks targeting South Korean and Middle East entities with Qilin and Medusa ransomware.“
Quelle: Gunra Ransomware Exploits Fortinet and Schneider Electric Flaws to Breach Networks
Beobachtete Techniken
ATT&CK-Techniken, die in denselben Meldungen benannt sind — nicht das vollständige MITRE-Repertoire.
MITRE ordnet 43 Techniken zu; 6 davon kommen in unseren Meldungen vor. Markiert: auch laut MITRE bekannt.
T1566 Phishing
Initial Access
T1684 Social Engineering
stealth
T1505.003 Web Shell
Persistence
T1036 Masquerading
stealth
T1557 Adversary-in-the-Middle
Credential Access · Collection
T1656 Impersonation
Defense Evasion
T1053.005 Scheduled Task
Execution · Persistence · Privilege Escalation
T1055 Process Injection
Privilege Escalation · stealth
T1003 OS Credential Dumping
Credential Access
T1021 Remote Services
Lateral Movement
T1046 Network Service Discovery
Discovery
T1048 Exfiltration Over Alternative Protocol
Exfiltration
Schwachstellen im selben Kontext
CVEs, die in denselben Meldungen auftauchen. Ko-Okkurrenz, kein Nachweis einer Ausnutzung.
Gemeinsam genannt
Betroffene Branchen
Meldungen
High-Severity Flaws Exploited in Three Days as Ransomware Dominates Q3: Rapid7
Resilience reports energy and utilities sector faces rising cyber exposure from ransomware, vulnerable OT systems
Qilin and INC Ransomware Groups Exploit Palo Alto Networks Flaw to Bypass MFA
ThreatsDay: Adobe RCE, DNS Wallet Theft, NVIDIA Container Escape, Self-Healing Backdoor + 23 More
⚡ Weekly Recap: Helpdesk 0-Days, Rogue Certs, ShinyHunters Arrest, AI-Fooling Malware and More
Japan confirms arrest of Russian Qilin operative, extradition to Germany
Germany arrests alleged core Qilin ransomware member after extradition
Unpatched AhsayCBS Vulnerabilities Exploited in the Wild
ThreatsDay: Ransomware Affiliate Betrayal, WhatsApp RAT, Exposed Hacker Tools and 12 More Stories
TP-Link Faces State Lawsuits and New Scrutiny Over ISP Router Flaws
Qilin Ransomware Suspect Arrested in Japan, Extradited to Germany
Ransomware activity hits 2026 high as industrial sector bears 31% of attacks and Qilin dominates
Trust and the enticing consultancy offer
InfraTrust report warns network management systems under attack
Check Point warns of Management Server zero-day exploited in attacks
Black Kite: Manufacturing ransomware surged in 2026, spreading beyond the US, with 1,183 victims through July
New Check Point flaw lets hackers execute code with root privileges
Should you care about an “AI slowdown?”
Ransomware Attacks on Manufacturers Surge as Supply Chain Risk Grows
Ransomware incidents in Japan in the first half of 2026: Investigation of The Gentlemen’s infrastructure and evidence of Qilin's AI use
Global ransomware attacks hit record 997 in August 2026 as utility, healthcare and business attacks surge
Cisco FMC Flaws Exploited to Steal Credentials and Deploy Qilin Ransomware
Cisco FMC flaws exploited by ransomware gang, state-sponsored hackers
Panzer ransomware targets Italian manufacturer as ESXi capability raises industrial security concerns
Organizations Warned of Cisco Secure FMC Exploitation
Active exploitation of Cisco Secure Firewall Management Center vulnerabilities
Cyberattacks on food and agriculture can turn disruptions into safety crises, threatening public health and supply chains
Food and Ag-ISAC warns AI, ransomware, nation-state threats intensifying cyber risks across food and agriculture
CISA Adds Seven Exploited Flaws as Attackers Deploy Reverse Shells and Crypto Miners
Threat Actors Don’t Want Better Attacks. They Want Repeatable Ones
Quellen: The Hacker News (14), SecurityWeek (10), Industrial Cyber (9), BleepingComputer (9), Cisco Talos (4), Securelist (3), The Record (1), GitHub Trending (1)
Alle Angaben auf dieser Seite stammen aus dem Alias-Abgleich der Meldungstexte gegen den MITRE-ATT&CK-Katalog. Beziehungen entstehen rein statistisch: Zwei Einträge gelten als verbunden, wenn sie in derselben Meldung benannt sind. Das ist keine eigenständige Attribution durch SecBoard, und eine Nennung ist kein Nachweis einer Täterschaft. Ausnahme ist der Abschnitt „Belegte Beziehungen“: dort sagt die Meldung die Beziehung ausdrücklich, mit Zitat.