Festnahme im Zusammenhang mit Qilin-Ransomware: Japan liefert Verdächtigen an Deutschland

Deutsche Behörden haben einen russischen Staatsbürger festgenommen, der verdächtigt wird, eine führende Rolle bei der Qilin-Ransomware-Operation gespielt zu haben. Die Festnahme im Zusammenhang mit Qilin-Ransomware folgt auf die Auslieferung des Verdächtigen aus Japan Anfang dieses Monats.

Die nationale Polizeibehörde Japans bestätigte, dass die Behörden den Mann festgenommen hatten, nachdem er als Tourist in das Land eingereist war. Deutschland hatte seine Festnahme im Zusammenhang mit einem Ransomware-Vorfall auf deutschem Staatsgebiet beantragt.

Die mutmaßliche Position des Verdächtigen innerhalb von Qilin bleibt jedoch eine Anschuldigung. Die Bekanntgabe stellt keine Verurteilung dar.

Japanische Behörden handelten auf deutschen Haftantrag

Japanische Beamte koordinierten sich mit Deutschland, um den Verdächtigen festzunehmen und seine Auslieferung zu organisieren. An dem Verfahren waren das japanische Justizministerium und die Oberstaatsanwaltschaft in Tokio beteiligt.

Laut der Erklärung der japanischen Polizei erwirkte die Behörde einen vorläufigen Haftbefehl nach dem Auslieferungsgesetz des Landes.

Medienberichten zufolge erfolgte die ursprüngliche Festnahme im Mai in einem Hotel in Osaka. Die offizielle japanische Bekanntgabe bestätigte anschließend die Festnahme und Auslieferung, wobei die Angaben zu Ort und Zeitpunkt aus Medienberichten stammten.

Zwischen der gemeldeten Festnahme und der Überstellung des Verdächtigen in deutschen Gewahrsam lagen somit mehrere Monate.

Qilin entwickelte sich von Agenda zu einer globalen Bedrohung

Qilin tauchte erstmals im August 2022 unter dem Namen Agenda auf. Die Gruppe arbeitet nach einem Ransomware-as-a-Service-Modell und setzt doppelte Erpressung ein, um Druck auf ihre Opfer auszuüben.

Bei diesen Angriffen stehlen Kriminelle Informationen, bevor sie Systeme verschlüsseln. Anschließend können sie sowohl für die Wiederherstellung des Zugriffs als auch für die Nichtveröffentlichung der gestohlenen Daten eine Zahlung verlangen.

Berichtete Zahlen bringen die Operation mit mehr als 2.350 angegriffenen Organisationen in 62 Ländern in Verbindung. Die Opfer stammen aus der Fertigungsindustrie, dem Verlagswesen, dem öffentlichen Dienst und weiteren Branchen.

Zu den Organisationen, die mit Qilin-Angriffen in Verbindung gebracht werden, gehören Nissan, Asahi, Lee Enterprises und Australiens Court Services Victoria.

Angriffe verursachten langanhaltende Betriebsstörungen

Der Angriff auf Asahi, Japans größten Bierproduzenten, verdeutlicht die betrieblichen Schäden, die mit der Gruppe in Verbindung gebracht werden.

Der Vorfall beeinträchtigte die Geschäftstätigkeit des Unternehmens über einen längeren Zeitraum. Außerdem wurden sensible Informationen über rund 1,5 Millionen Menschen offengelegt.

In jüngerer Zeit brachten Berichte Qilin mit einem Vorfall beim US-amerikanischen Bureau of Alcohol, Tobacco, Firearms and Explosives in Verbindung.

Unabhängig davon haben Sicherheitsforscher die Operation mit Angriffen in Verbindung gebracht, bei denen Zero-Day-Schwachstellen in Check Point VPN sowie bekannte Sicherheitslücken in Palo Alto VPN ausgenutzt wurden. Diese Vorfälle zeigen, wie anfällige Fernzugriffssysteme als Einstiegspunkte für Ransomware-Angriffe dienen können.

Qilin veröffentlichte trotz der gemeldeten Festnahme weiterhin Opfer

Trotz der gemeldeten Festnahme im Mai setzte Qilin seine Aktivitäten in erheblichem Umfang fort.

Seit Juni hat die Gruppe mehr als 450 mutmaßliche Opfer auf ihrer Datenleck-Website hinzugefügt. Diese Einträge spiegeln die öffentlichen Behauptungen der Gruppe wider und bestätigen nicht unabhängig, dass jeder angebliche Sicherheitsvorfall tatsächlich stattgefunden hat.

Die Festnahme im Zusammenhang mit Qilin-Ransomware stellt eine Strafverfolgungsmaßnahme gegen einen mutmaßlich hochrangigen Beteiligten dar. Die fortgesetzten Aktivitäten der Gruppe deuten jedoch darauf hin, dass die Festnahme die gesamte Operation nicht zum Stillstand gebracht hat.