Anholdelse i Qilin-ransomware-sag: Japan udleverer mistænkt til Tyskland

Tyske myndigheder har anholdt en russisk statsborger, der mistænkes for at have haft en ledende rolle i Qilin-ransomwaregruppen. Anholdelsen i forbindelse med Qilin-ransomware følger efter, at den mistænkte blev udleveret fra Japan tidligere på måneden.

Japans nationale politimyndighed bekræftede, at myndighederne tilbageholdt manden, efter at han var rejst ind i landet som turist. Tyskland havde anmodet om hans anholdelse i forbindelse med en ransomwarehændelse på tysk territorium.

Den mistænktes påståede position i Qilin er dog fortsat en anklage. Meddelelsen fastslår ikke, at han er blevet dømt.

Japanske myndigheder handlede på Tysklands anmodning om anholdelse

Japanske embedsmænd samarbejdede med Tyskland om at tilbageholde den mistænkte og arrangere hans udlevering. Processen involverede Japans justitsministerium og den højere anklagemyndighed i Tokyo.

Ifølge den japanske politierklæring indhentede myndighederne en midlertidig tilbageholdelseskendelse i henhold til landets udleveringslov.

Medierapporter placerede den første tilbageholdelse på et hotel i Osaka i maj. Japans officielle meddelelse bekræftede efterfølgende tilbageholdelsen og udleveringen, selv om oplysningerne om sted og tidspunkt stammede fra medierapporteringen.

Sagen omfattede derfor flere måneder mellem den rapporterede tilbageholdelse og overførslen af den mistænkte til tysk varetægt.

Qilin udviklede sig fra Agenda til en global trussel

Qilin dukkede første gang op i august 2022 under navnet Agenda. Gruppen opererer gennem en ransomware-as-a-service-model og anvender dobbelt afpresning til at lægge pres på ofrene.

Ved disse angreb stjæler kriminelle oplysninger, før de krypterer systemerne. Derefter kan de kræve betaling både for at genoprette adgangen og for at undlade at offentliggøre de stjålne data.

Rapporterede tal forbinder operationen med mere end 2.350 angrebne organisationer i 62 lande. Ofrene findes inden for fremstillingsindustrien, forlagsbranchen, offentlige tjenester og andre sektorer.

Blandt de organisationer, der er blevet forbundet med Qilin-angreb, er Nissan, Asahi, Lee Enterprises og Australiens Court Services Victoria.

Angrebene har forårsaget langvarige driftsforstyrrelser

Angrebet mod Asahi, Japans største ølproducent, illustrerer de driftsmæssige skader, der forbindes med gruppen.

Hændelsen forstyrrede virksomhedens aktiviteter i en længere periode. Den medførte også, at følsomme oplysninger om cirka 1,5 millioner mennesker blev eksponeret.

For nylig har rapporter forbundet Qilin med en hændelse hos det amerikanske Bureau of Alcohol, Tobacco, Firearms and Explosives.

Separat har forskere knyttet operationen til angreb, der udnyttede nuldagssårbarheder i Check Point VPN og kendte sikkerhedsfejl i Palo Alto VPN. Disse hændelser viser, hvordan sårbare systemer til fjernadgang kan fungere som indgangspunkter for ransomwareangreb.

Qilin fortsatte med at offentliggøre ofre efter den rapporterede tilbageholdelse

På trods af den rapporterede tilbageholdelse i maj fortsatte Qilin sine aktiviteter i betydeligt omfang.

Siden juni har gruppen tilføjet mere end 450 påståede ofre til sit websted for datalækager. Disse opslag afspejler gruppens egne påstande og bekræfter ikke uafhængigt, at hvert påstået sikkerhedsbrud faktisk har fundet sted.

Anholdelsen i forbindelse med Qilin-ransomware markerer en retshåndhævende indsats mod en formodet højtstående deltager. Gruppens fortsatte aktivitet tyder dog på, at tilbageholdelsen ikke satte en stopper for den bredere operation.