🔍 Contexte

Publié le 11 novembre 2026 sur KrebsOnSecurity, cet article présente une enquête de dé-anonymisation approfondie visant l’administrateur du groupe ransomware-as-a-service (RaaS) Qilin, actuellement le programme d’affiliation ransomware le plus actif au monde selon NCC Group.

🎯 Le groupe Qilin

  • Actif depuis septembre 2022, basé en Russie
  • 365 organisations victimes revendiquées sur les trois derniers mois
  • Modèle de double extorsion : vol de données sensibles avant chiffrement des systèmes
  • Reverse split affiliés : 80 % minimum des rançons reversées aux affiliés
  • Collaborations confirmées avec Scattered Spider et RansomHub
  • Ouvert aux affiliés anglophones, contrairement à la majorité des groupes russes

🕵️ Chaîne de pseudonymes et pivot OSINT

L’administrateur de Qilin opère sous le pseudonyme “Haise”. La chaîne de pivot établie :

  1. Haise → approuvé sur le forum RAMP en juin 2022, lié au Telegram Alexbigboss44
  2. Alexbigboss44 → partagé par l’utilisateur Rjun sur les forums Exploit et XSS en 2020
  3. Rjun → membre des forums Darkmarket, Verified, Zloy avec l’email mail-30a@mail.ru
  4. Email mail-30a@mail.ru → mot de passe “Rjun132” (via SpyCloud) ; présent dans la fuite Gosuslugi (2025)
  5. Gosuslugi → identité réelle : Aleksey Mikhailovich Yakovtsev, né le 18 août 1990, Saint-Pétersbourg

📡 Indicateurs complémentaires

  • Telegram ID 118329521 (plus de 5 000 messages depuis 2018)
  • Numéro de téléphone +79602347275 (appartenant à la sœur biologique de Yakovtsev)
  • Emails associés : aleksey1990yakov@mail.ru et rjun123321@mail.ru
  • Diplôme de master en informatique et systèmes d’information (Rosobrnadzor)
  • Scolarité primaire à Mourmansk ; vols fréquents Saint-Pétersbourg ↔ Sotchi
  • Aucun voyage international par avion détecté

📈 Progression criminelle documentée

Selon IntelHawk, la progression de l’acteur s’étend de 2018 à 2026 :

  • 2018–2019 : arbitrageur novice, fraude à la carte bancaire
  • 2020–2023 : courtier en logs Facebook, comptes Google Ads, trafic frauduleux, jeux d’argent illicites
  • 2022–2026 : administration du programme RaaS Qilin, gestion d’affiliés, malwares, botnets, infrastructure de paiement

📰 Nature de l’article

Article d’investigation journalistique à forte composante CTI, visant à exposer publiquement l’identité présumée de l’opérateur d’un groupe ransomware majeur à partir de sources ouvertes, de plateformes de cyber-intelligence (Intel 471, Flashpoint, SpyCloud, Constella, IntelHawk) et de fuites de données.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1486 — Data Encrypted for Impact (Impact)
  • T1657 — Financial Theft (Impact)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1585.001 — Establish Accounts: Social Media Accounts (Resource Development)
  • T1583 — Acquire Infrastructure (Resource Development)

IOC

  • Emails : mail-30a@mail.ru
  • Emails : aleksey1990yakov@mail.ru
  • Emails : rjun123321@mail.ru

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 12 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Qilin (ransomware)

🟢 Indice de vérification factuelle : 65/100 (haute)

  • ✅ krebsonsecurity.com — source reconnue (liste interne) (20pts)
  • ✅ 7078 chars — texte complet (15pts)
  • ✅ 3 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ✅ acteur(s) identifié(s) : Qilin, Scattered Spider, RansomHub (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://krebsonsecurity.com/2026/11/who-runs-the-ransomware-group-qilin/