Wenn Sie aktuell eine Qilin (Agenda) Ransomware-Intrusion erleben, zählt jede Minute. Unser erfahrenes DFIR-Team verfügt über mehr als 10 Jahre Erfahrung in Ransomware-Forensik, Eindämmung und Wiederherstellung.
Ransomware ist unser Tagesgeschäft. Wir verbinden technische Forensik, Krisenmanagement und praxisnahe Wiederaufbauplanung, damit Sie unter Druck fundierte Entscheidungen treffen können.
Unser Team hat komplexe Fälle mit Qilin, Agenda und anderen Double-Extortion-Gruppen in Fertigung, Gesundheitswesen, öffentlichem Sektor und Dienstleistungen bearbeitet.
Wir kennen typische Vorgehensweisen, Tools und Verhandlungstaktiken der Angreifer.Von der ersten Lageeinschätzung und Eindämmung über die Forensik und Entschlüsselungsstrategie bis zum Wiederaufbau: wir begleiten den gesamten Lebenszyklus des Vorfalls.
Wir arbeiten mit Ihrer bestehenden Infrastruktur und Ihrem Team. Kein Vendor-Lock-in, keine versteckte Agenda – nur pragmatische Hilfe, um Ihr Geschäft sicher wieder online zu bringen.
Auf Wunsch arbeiten wir eng mit Versicherung, Kanzlei und Behörden zusammen.Die ersten Tage eines Qilin-Ransomware-Vorfalls sind kritisch. Unser strukturiertes Vorgehen hilft, den Betrieb zu stabilisieren, Beweise zu sichern und die Wiederherstellung vorzubereiten.
Wir bewerten Umfang und Auswirkungen, begleiten Sie bei der sicheren Isolation betroffener Systeme und stoppen laterale Bewegung – ohne Beweise zu zerstören.
Sicherung von Systemabbildern, Logs und flüchtigen Daten. Wir identifizieren Tools, Persistenzmechanismen und Exfiltrationspfade von Qilin.
Wir erarbeiten einen stufenweisen Wiederherstellungsplan – mit und ohne Entschlüsselung – und liefern technische Entscheidungsgrundlagen für Management, Rechtsabteilung und Kommunikation.
Viele Betroffene stehen bereits mit den Qilin-Operatoren in Kontakt, wenn sie uns anrufen. Wir unterstützen Sie dabei:
Selbst wenn Sie „spät“ in den Incident einsteigen, können externe Experten Ausfallzeiten und langfristige Risiken deutlich reduzieren.
Über die akute Notfallhilfe hinaus unterstützen wir Sie dabei, Ihr Netzwerk langfristig sicher und resilient gegen künftige Cyberangriffe zu machen – von der Härtung von Active Directory und Backups bis zu Monitoring und Incident-Readiness. Gerne stellen wir Ihnen konkrete Optionen für Ihre Umgebung vor.
Nachfolgend ein technischer Kurzüberblick zu Qilin. Indicators of Compromise (IOCs) dienen nur als Referenz – verlassen Sie sich nicht ausschließlich auf statische Indikatoren.
Qilin-Kampagnen betreffen weltweit Organisationen aus Industrie, Gesundheitswesen, Bildung und öffentlichem Sektor.
Auf Basis unserer Untersuchungen zu Qilin und verwandten Gruppen pflegen wir aktuelle Detection-Logik, Hunting-Queries und Härtungsempfehlungen. So können wir Spuren der Angreifer schnell in Ihrer Umgebung identifizieren und die ausgenutzten Lücken schließen.
# Beispielhafte Indikatoren aus Qilin-Kampagnen
Dateiendungen:
*.MmXReVIxLV (pro Angriff zufällig)
Ransom Note Muster:
*-RECOVER-README.txt
Häufige Kommandos:
vssadmin delete shadows /all /quiet
bcdedit /set {current} safeboot minimal
wmic shadowcopy delete
netsh advfirewall set allprofiles state off
Remote-Tools:
PsExec, AnyDesk, RDP
MITRE ATT&CK (Auszug):
Initial Access: T1078, T1133
Defense Evasion: T1562
Exfiltration: T1041
Impact: T1486, T1490
Wir nutzen laufend aktualisierte, fallbasierte Threat Intelligence zu Qilin und verwandten Affiliates, um Detektion und Response-Maßnahmen zu verbessern.
Ein Qilin-Vorfall wirft viele rechtliche, technische und geschäftliche Fragen auf. Hier finden Sie einige der Fragen, die wir im Erstgespräch am häufigsten hören.
Müssen wir zahlen, um wiederherstellen zu können?
Nicht zwingend. In manchen Fällen ist eine Wiederherstellung aus sauberen Backups möglich, ohne zu zahlen. In anderen Fällen müssen Geschäftsunterbrechung, Datendiebstahl und rechtliche Anforderungen sorgfältig gegeneinander abgewogen werden. Wir helfen Ihnen, Optionen und ihre technische Machbarkeit zu bewerten.
Arbeiten Sie mit unserer Versicherung und unseren Anwälten zusammen?
Ja. Wir werden regelmäßig gemeinsam mit Cyber-Versicherern und Kanzleien beauftragt. Unsere Rolle ist es, ein belastbares technisches Lagebild zu liefern und risikobasierte Entscheidungen zu unterstützen.
Wie schnell können Sie starten?
Bei aktiven Vorfällen versuchen wir, zeitnah nach Ihrem Anruf oder Ihrer E-Mail ein erstes Remote-Triage-Gespräch zu vereinbaren. Eine Vor-Ort-Präsenz kann je nach Standort und Dringlichkeit organisiert werden.
Sind unsere Gespräche vertraulich?
Ja. Alle Gespräche und Artefakte werden vertraulich behandelt. Auf Wunsch arbeiten wir unter Anwaltsprivileg über Ihre Kanzlei und schließen entsprechende NDAs ab.