Qilin: Recherchen sollen Ransomware-Chef identifiziert haben

Der Administrator der Ransomware-Gruppe Qilin soll nach zwei unabhängigen Recherchen ein 36-jähriger Mann aus Sankt Petersburg sein. Der Sicherheitsjournalist Brian Krebs hat auf seinem Blog KrebsOnSecurity eine Untersuchung veröffentlicht, die den Untergrund-Namen „Haise“ mit Aleksey Y. in Verbindung bringt. Bereits am 6. November hatte der anonyme Leaker GangExposed, der 2025 Führungsmitglieder der Gruppen Conti und Trickbot enttarnt hatte, eine Recherche veröffentlicht, die eine russische Person als Haise benennt. Behörden haben die Angaben nicht bestätigt, eine Anklage ist nicht bekannt.

Spuren in alten Forenkonten

Unter dem Namen Haise wirbt der Administrator seit Mai 2022 im Untergrundforum RAMP für das Partnerprogramm von Qilin. Das FBI hatte RAMP im Januar 2026 beschlagnahmt. Laut Krebs nutzte der Administrator früher die Namen „Rjun“ in mehreren Foren und „Alexbigboss44“ bei Telegram. Diese Verbindung hatte zuvor die Plattform IntelHawk hergestellt, die nach eigenen Angaben mithilfe von KI anhand historischer Benutzernamen, Schreibstil und anderer Merkmale Täter identifizieren will. Über Forenbeiträge, Telegram-Kennungen, wiederverwendete Registrierungsdaten und Datenlecks verknüpft Krebs diese Konten mit der Person in Sankt Petersburg. Der Werdegang reiche von Betrug bis zu komplexer Cyberkriminalität.

Sicherheitsfachleute mahnen zur Vorsicht. Solche Enttarnungen können falsch oder unvollständig sein oder von Rivalitäten im Untergrund beeinflusst werden. Für Personen in Russland gilt eine Festnahme zudem als unwahrscheinlich, solange sie das Land nicht verlassen.

Aktivste Ransomware-Gruppe

Qilin ist seit September 2022 aktiv und arbeitet als Ransomware-as-a-Service: Partner führen die Angriffe aus und erhalten einen Großteil der Lösegelder. Laut dem Sicherheitsunternehmen NCC Group ist Qilin derzeit das aktivste Ransomware-Partnerprogramm. In den vergangenen drei Monaten hat die Gruppe mindestens 365 Opfer für sich beansprucht, insgesamt mehr als 2.350 in 62 Ländern. Laut dem Sicherheitsunternehmen SOCRadar verlor Qilin im Juni allerdings die Spitzenposition bei der Zahl der Einträge auf Leak-Seiten an die Gruppe The Gentlemen, nach dem Höhepunkt im dritten Quartal halbierte sich die Zahl der Einträge.

Im Oktober 2026 hatten deutsche Behörden einen russischen Staatsbürger festgenommen, der nach einer Auslieferung aus Japan verdächtigt wird, ein führendes Mitglied von Qilin zu sein. Eine Verbindung zu Haise ist öffentlich nicht bekannt.

(red)