Die russische Gruppe ist seit September 2022 aktiv. Nach einem Bericht, den das Sicherheitsunternehmen NCC Group in diesem Monat veröffentlicht hat, ist sie aktuell die produktivste Bande im Bereich Ransomware-as-a-Service. Partner, die in Unternehmen eindringen und dort die Ransomware einsetzen, erhalten mindestens 80 Prozent des gezahlten Lösegelds. Qilin arbeitet nach dem Prinzip der doppelten Erpressung: Die Angreifer stehlen zuerst sensible Daten, verschlüsseln dann die Systeme und drohen mit der Veröffentlichung der Dateien. Die meisten russischen Ransomware-Gruppen arbeiten nicht mit englischsprachigen Partnern zusammen, Qilin dagegen schon. Der Anführer schrieb auf Telegram, man habe bereits mit Gruppen wie Scattered Spider und RansomHub kooperiert.

Cyberkriminelle wechseln ihre Pseudonyme oft, um die Verbindung zu älteren und weniger vorsichtig genutzten Identitäten zu kappen. Bei der Aufnahme in neue Foren müssen sie aber manchmal auf frühere Namen verweisen. Solche Foren werden irgendwann gehackt oder beschlagnahmt. Genau das wurde Haise zum Verhängnis. Nach Daten der Plattform Intel 471 bewarb sich Haise im Juni 2022 beim abgeschotteten russischen Forum RAMP. Das Forum galt als Zufluchtsort für Ransomware-Partnerprogramme und wurde im Januar 2026 vom FBI beschlagnahmt. Intel 471 hat Direktnachrichten aus RAMP ausgewertet. Darin nahm der Administrator von RAMP den Antrag an und sprach den Bewerber als Haise und mit dessen Telegram-Namen Alexbigboss44 an.

Denselben Telegram-Namen gab bereits 2020 ein Nutzer namens Rjun in den Foren Exploit und XSS an. Laut der Plattform Flashpoint war Alexbigboss44 in Foren und Telegram-Kanälen sehr aktiv, vor allem im illegalen Handel mit Traffic, Logs und Zugängen zu Unternehmensnetzen. Er habe in großem Umfang Facebook-Logs und Google-Ads-Konten gekauft, um betrügerische Werbung und Glücksspielmaschen zu betreiben. Dabei sei er als Vermittler und Betreiber aufgetreten, der ein Netz von Traffic-Händlern steuerte und kompromittierte Daten aufkaufte.

Die Verbindung zwischen Haise, Rjun und Alexbigboss44 teilte IntelHawk Anfang dieses Monats nicht öffentlich mit. Das Unternehmen bezeichnet sich als KI-gestützte Plattform, die Täter anhand früherer Benutzernamen, Stilometrie und weiterer Merkmale enttarnt. Gründer und CTO Leo Bogod sagte, die Identitäten zeigten eine Entwicklung: 2018 und 2019 sei der Mann ein unerfahrener Arbitrage-Händler und Kreditkartenbetrüger gewesen. Von 2020 bis 2023 sei er dann erfahrener geworden und habe komplexe kriminelle Aktivitäten organisiert. Dabei habe er sich zunehmend mit Malware, Botnetzen und Zahlungsinfrastruktur befasst.

Laut Intel 471 war Rjun schon lange Mitglied der russischen Foren Darkmarket, Verified und Zloy und meldete sich überall mit der Adresse mail-30a@mail.ru an. Das Unternehmen Spycloud fand für diese Adresse das Passwort „Rjun132“. Beim Dienst Constella Intelligence taucht sie in Datensätzen von gosuslugi.ru auf, dem staatlichen Portal für Behördendienste in Russland. Gosuslugi wurde Ende 2025 gehackt, dabei wurden Berichten zufolge mehr als 20 Millionen Datensätze mit Namen, Geburtsdaten und Mobilnummern offengelegt. Nach diesen Daten gehört die Adresse dem 36-jährigen Aleksey Mikhailovich Yakovtsev aus St. Petersburg.

Weitere Indizien:

  • Flashpoint ordnet Haise die Telegram-ID 118329521 zu und hat seit 2018 über 5.000 Nachrichten dieses Kontos erfasst.
  • Laut Constella ist diese ID mit der russischen Nummer +79602347275 verknüpft. Die Nummer hängt wiederum mit den Adressen aleksey1990yakov@mail.ru und rjun123321@mail.ru zusammen.
  • Nach Erkenntnissen von IntelHawk gehört die Nummer Yakovtsevs leiblicher Schwester. Er habe sich häufig mit ihrer E-Mail-Adresse auf Websites registriert.
  • Unterlagen der russischen Bildungsaufsicht Rosobrnadzor zeigen, dass Yakovtsev in Murmansk zur Schule ging und einen Master in Informatik und Informationssystemen hat.
  • Die Telefonnummer steht auch in Flugdaten russischer Reisebüros, die in den vergangenen Jahren gehackt wurden. Danach flog Aleksey Yakovtsev, geboren am 18. August 1990, zwischen 2013 und 2014 mindestens dreimal zwischen St. Petersburg und Murmansk.
  • Neuere Flugdaten zeigen keine Reisen ins Ausland, aber häufige Flüge zwischen St. Petersburg und Sochi. Der größte Ferienort Russlands liegt am Schwarzen Meer, auf dem Luftweg rund 1.200 Meilen südlich von St. Petersburg.

Yakovtsev war per E-Mail und Telefon nicht erreichbar. Der anonyme X-Account Gang Exposed hat schon früher mutmaßliche Ransomware-Täter erfolgreich enttarnt. Er kam bei Haise zu einem ähnlichen Ergebnis und nannte die Plattform von IntelHawk als Hilfe dabei.