El objetivo principal de Qilin es simple: ganar dinero. Lo logran mediante un modelo de ransomware como servicio. Su táctica principal es la doble extorsión: no solo cifran los archivos de la víctima, sino que también roban datos sensibles y amenazan con filtrarlos en su blog de la dark web si no se paga el rescate. Han mostrado una clara preferencia por atacar infraestructura crítica, los sectores de salud, educación y manufactura, donde el tiempo de inactividad es especialmente doloroso.

Estos actores son grandes aficionados al phishing para conseguir su entrada. Una vez dentro de una red, se mueven lateralmente para encontrar los datos y sistemas más valiosos. Se sabe que usan herramientas legítimas de administración de sistemas para pasar desapercibidos y evitar la detección antes de desplegar su payload de ransomware. Su capacidad para personalizar el malware para cada objetivo hace que sus ataques sean particularmente efectivos.

Qilin comenzó con un ransomware basado en Go llamado "Agenda", que se destacaba por sus opciones de personalización. Los afiliados podían adaptar el ataque cambiando extensiones de archivo, procesos de terminación y servicios para cada víctima específica. A fines de 2022, cambiaron de estrategia y reescribieron su ransomware en Rust. Esta medida hizo que las herramientas de seguridad tuvieran más dificultad para detectar y analizar el malware, lo que demuestra que estos actores se toman en serio la evolución de sus técnicas.