Członek grupy Qilin zatrzymany. Niemieccy śledczy infiltrowali hakerów miesiącami

Członek grupy Qilin zatrzymany i przewieziony do Niemiec. 28-letni obywatel Rosji jest podejrzewany o przynależność do kierownictwa jednej z najbardziej aktywnych grup ransomware na świecie. Według władz Nadrenii Północnej-Westfalii Qilin miał od 2024 roku zaatakować prawie 4000 firm i instytucji na świecie, w tym około 150 w Niemczech.

Zatrzymanie jest wynikiem wielomiesięcznej operacji prowadzonej przez Landeskriminalamt Nordrhein-Westfalen oraz Zentral- und Ansprechstelle Cybercrime, czyli ZAC NRW.

Śledczy mieli potajemnie przeniknąć do infrastruktury grupy, obserwować jej działalność, analizować systemy wykorzystywane przez cyberprzestępców oraz śledzić przepływy kryptowalut.

Członek grupy Qilin zatrzymany podczas pobytu w Japonii

Według informacji przedstawionych 7 października przez władze NRW mężczyzna został zatrzymany w Japonii już w maju. Niemieccy śledczy mieli ustalić, że 28-latek planował pobyt w tym kraju, co umożliwiło współpracę z japońskimi służbami.

Podejrzany został następnie wydany Niemcom. Do przekazania miało dojść w piątek, 2 października. Obecnie mężczyzna przebywa w niemieckim zakładzie karnym i ma stanąć przed sądem.

Minister spraw wewnętrznych NRW Herbert Reul określił operację jako jeden z najważniejszych sukcesów niemieckich służb w walce z cyberprzestępczością.

Niemieccy śledczy weszli do systemów grupy Qilin

Jednym z najważniejszych elementów sprawy jest sposób prowadzenia dochodzenia. Jak informuje Tagesschau, funkcjonariusze z NRW mieli przez wiele miesięcy infiltrować grupę i niezauważenie uzyskać dostęp do części wykorzystywanych przez nią systemów.

Dzięki temu mogli analizować techniczną infrastrukturę Qilin oraz śledzić płatności realizowane przy użyciu kryptowalut.

Członek grupy Qilin zatrzymany został po tym, jak śledczy mieli połączyć cyfrowe ślady z konkretną osobą ukrywającą się wcześniej za pseudonimem.

Prawie 4000 zaatakowanych firm i instytucji

Skala działalności przypisywanej Qilin jest ogromna. Według danych przedstawionych przez władze NRW od 2024 roku grupa miała zaatakować prawie 4000 firm, instytucji, urzędów i innych podmiotów na całym świecie.

Około 150 przypadków miało dotyczyć Niemiec, z czego około 30 samej Nadrenii Północnej-Westfalii. Śledczy podkreślają, że rzeczywista liczba ofiar może być wyższa.

Według danych przedstawionych przez Reula łączna wartość żądań okupu miała sięgać prawie 3 miliardów dolarów. Faktycznie zapłacone kwoty miały przekroczyć 140 milionów dolarów.

Szczegóły skali działania grupy opisuje również ZDFheute.

Atak na niemiecką firmę logistyczną

28-latek ma być podejrzewany między innymi o udział w ataku ransomware na niemiecką firmę logistyczną.

Według informacji przytaczanych przez WDR napastnicy mieli zdobyć dane przedsiębiorstwa, a następnie zagrozić ich publikacją. Za zachowanie informacji w tajemnicy zażądano równowartości prawie 150 tys. euro w bitcoinach.

Członek grupy Qilin zatrzymany przez japońskie służby miał, według relacji medialnych opartych na ustaleniach śledczych, odgrywać istotną rolę techniczną w działalności grupy.

Jak działa Qilin?

Qilin wykorzystuje model określany jako Ransomware-as-a-Service. Oznacza to, że główna grupa dostarcza złośliwe oprogramowanie oraz infrastrukturę techniczną, z których mogą korzystać powiązani z nią cyberprzestępcy.

Atakujący włamują się do sieci firmy lub instytucji, wykradają dane, a następnie mogą zaszyfrować część systemów. Ofiara otrzymuje żądanie zapłaty okupu. W przypadku odmowy przestępcy mogą grozić publikacją przejętych informacji.

Według ZDF z infrastrukturą Qilin współpracowało wiele grup wykonujących konkretne ataki, a operatorzy systemu otrzymywali część pieniędzy pochodzących z wymuszeń.

Śledztwo przeciwko grupie trwa

Niemieckie służby nie traktują zatrzymania jako zakończenia operacji. Dochodzenie nadal trwa, dlatego nie ujawniono wszystkich szczegółów metod wykorzystanych do infiltracji sieci.

Władze NRW podkreślają, że celem jest dotarcie do kolejnych osób zaangażowanych w działalność Qilin. Członek grupy Qilin zatrzymany w Japonii może być więc pierwszym tak ważnym podejrzanym, który trafił w ręce niemieckich śledczych w tej sprawie.

Firmy nie powinny płacić okupu

Władze NRW apelują do przedsiębiorstw, aby inwestowały w zabezpieczenia i zgłaszały ataki organom ścigania. Szczególnie ważne jest tworzenie kopii zapasowych, aktualizowanie systemów oraz odpowiednie zabezpieczanie dostępu do firmowej sieci.

Śledczy odradzają również automatyczne płacenie okupu. Zapłata nie gwarantuje odzyskania wszystkich danych, a pieniądze mogą finansować kolejne ataki.

Problem cyberataków nie jest w Niemczech abstrakcyjny. W sierpniu opisywaliśmy na TwojaPolonia24 cyberatak na berlińską administrację, który spowodował problemy m.in. z obsługą Wohngeld.