يضع ملف تعريف تهديد جديد من Threat Radar برنامج Qilin في دائرة الضوء مرة أخرى. يُعرف Qilin أيضًا باسم Agenda، وهو عملية فدية كخدمة (RaaS) ناطقة بالروسية نشطة منذ عام 2022 وقد نمت لتصبح واحدة من أكثر مجموعات الفدية إنتاجية. يغطي الملف ثلاثة أجزاء من كتاب لعبه: الهجمات على خوادم ESXi، وشبكة من الشركات التابعة، والابتزاز المزدوج. معًا، تُظهر هجمات برنامج الفدية Qilin ذات الابتزاز المزدوج على ESXi كيف يمكن لمضيف افتراضي مخترق واحد أن يتحول إلى انقطاع جماعي وتسريب بيانات في آن واحد.

ملخص الملف العام قصير، لذا يلتزم هذا المقال بما يذكره وبالآليات العامة التي يشير إليها.

كيف تعمل هجمات برنامج الفدية Qilin ذات الابتزاز المزدوج على ESXi

الابتزاز المزدوج يعني أن المهاجمين يمارسون نوعين من الضغط بدلاً من نوع واحد. أولاً، يشفرون الأنظمة بحيث لا يستطيع الضحية العمل. ثانيًا، يسرقون البيانات ويهددون بنشرها على موقع تسريب إذا لم تُدفع الفدية. تلك الخطوة الثانية تغير المعادلة بالنسبة للضحايا. حتى المؤسسة التي لديها نسخ احتياطية قوية يمكنها استعادة أنظمتها ومع ذلك تواجه احتمال نشر ملفات حساسة.

للحصول على نظرة أعمق على هذا النموذج، راجع شرحنا السابق حول استراتيجية الابتزاز المزدوج لـ Qilin.

لماذا تُعد ESXi وخوادم الافتراضية أهدافًا رئيسية

ESXi هو برنامج مراقبة افتراضية (hypervisor)، وهو البرنامج الذي يسمح لخادم مادي واحد بتشغيل العديد من الأجهزة الافتراضية. هذا الدمج فعال للمسؤولين، وهو أيضًا ما يجعل ESXi جذابًا لمشغلي برامج الفدية. فبدلاً من تشفير محطة عمل واحدة في كل مرة، يمكن للمهاجم الذي يصل إلى برنامج المراقبة الافتراضية أن يُسقط العديد من الخوادم دفعة واحدة.

هكذا يتحول مضيف مخترق واحد إلى انقطاع جماعي. قد يعيش البريد الإلكتروني ومشاركات الملفات وقواعد البيانات وتطبيقات الأعمال جميعًا على أجهزة افتراضية موجودة على نفس المضيف. شفّر الأقراص الافتراضية وكل ما فوقها يتوقف. ولأن نفس الوصول الذي يسمح بالتشفير يمكن غالبًا استخدامه لنسخ البيانات أولاً، فإن الانقطاع وتهديد التسريب يميلان إلى الوصول معًا.

هذا مهم بما يتجاوز المؤسسات الكبيرة. فالشركات الصغيرة والمدارس والعيادات ومزودو الخدمات المُدارة غالبًا ما يديرون حفنة من مضيفات الافتراضية التي تحمل عملياتهم بأكملها، وغالبًا مع طاقم أمني محدود يراقبها.

كيف تنشر شبكة الشركات التابعة هجمات Qilin

يعمل Qilin كفدية كخدمة. تطوّر المجموعة الأساسية البرمجيات الخبيثة والبنية التحتية الداعمة، بينما تنفذ الشركات التابعة الاختراقات وتتقاسم العائدات. هذا يخفض حاجز المهارة للمهاجمين ويسمح للعملية بالتوسع بما يفوق بكثير ما يمكن لطاقم واحد إدارته. يشرح مقالنا حول كيف تحول الفدية كخدمة القرصنة إلى عمل تجاري ذلك النموذج الاقتصادي.

بالنسبة للمدافعين، النتيجة العملية هي أنه لا يوجد نمط هجوم واحد يحدد Qilin. تستخدم الشركات التابعة المختلفة طرق دخول مختلفة، سواء بيانات اعتماد مسروقة أو وصول عن بُعد مكشوف أو برامج غير مصححة. أجهزة الحافة وأدوات الإدارة مصدر قلق متكرر عبر نشاط برامج الفدية عمومًا؛ وقد غطينا مثالاً حيث رُبط ثغرة حرجة في Cisco FMC بنشاط Qilin. الخيط المشترك هو أن المهاجمين يستهدفون كل ما هو مكشوف وبطيء في التصحيح.

الدفاعات: ماذا يعني هذا بالنسبة لك

معظم القراء لا يديرون مجموعات ESXi، لكن الدروس تنطبق على كل المستويات. الهدف هو جعل خطأ واحد قابلًا للتجاوز.

إذا كنت تدير الافتراضية أو الخوادم:

  • أبقِ واجهات الإدارة بعيدًا عن الإنترنت المفتوح. يجب أن تكون وحدات تحكم برنامج المراقبة الافتراضية والإدارة قابلة للوصول فقط عبر مسار محمي ومقيد.
  • صحّح بسرعة. أعطِ الأولوية للأنظمة المواجهة للإنترنت وبرامج الإدارة.
  • قسّم شبكتك. أبقِ إدارة برنامج المراقبة الافتراضية والنسخ الاحتياطية وأجهزة المستخدمين اليومية على مقاطع منفصلة بحيث لا يمنح الوصول إلى واحدة السيطرة على الثلاث جميعًا.
  • احمِ نسخك الاحتياطية. أبقِ نسخة واحدة على الأقل غير متصلة بالإنترنت أو غير قابلة للتغيير، وتأكد من أن بيانات الاعتماد التي تدير الإنتاج لا يمكنها أيضًا حذف النسخ الاحتياطية.
  • استخدم المصادقة متعددة العوامل على الوصول عن بُعد وحسابات المسؤولين.

إذا كنت فردًا أو مؤسسة صغيرة:

  • اتبع فكرة 3-2-1. احتفظ بنسخ متعددة من البيانات المهمة، على وسائط مختلفة، مع تخزين نسخة واحدة دون اتصال.
  • استخدم كلمات مرور فريدة وفعّل المصادقة متعددة العوامل بحيث لا تفتح بيانات اعتماد مسروقة واحدة كل شيء.
  • اعرف مورديك. إذا كان مزود خدمة يحتفظ ببياناتك أو يدير أنظمتك، فاسأل كيف يحمي مضيفات الافتراضية والنسخ الاحتياطية.

يغطي دليلنا حول حماية من برامج الفدية للمستخدمين المنزليين الأساسيات على مستوى الأسرة بمزيد من التفصيل.

إذا ظهرت بياناتك على موقع تسريب

إن العثور على اسمك أو بيانات مؤسستك على موقع تسريب أمر مرهق، لكن بضع خطوات تساعد. تأكد مما تعرض فعلاً قبل استخلاص النتائج. غيّر كلمات المرور وألغِ الجلسات لأي حسابات قد تكون متأثرة. أبلغ الأشخاص الذين شملتهم معلوماتهم، وتحقق مما إذا كانت قواعد الإخطار القانونية أو التنظيمية تنطبق عليك. استعن بمحترفي الاستجابة للحوادث إذا تأثرت الأنظمة، واحتفظ بالسجلات بدلاً من محو الأجهزة على عجل. لا يمكن استرداد البيانات المسربة، لذا الأولوية هي تقليل ما يمكن للمهاجمين فعله بها، مثل التصيد أو الاحتيال أو إعادة استخدام بيانات الاعتماد.

النقاط الرئيسية

يعمل نموذج الابتزاز المزدوج لبرنامج الفدية Qilin على ESXi لأنه يكدّس النفوذ: موطئ قدم واحد يمكن أن يعني تشفيرًا واسع النطاق وتسريبًا علنيًا للبيانات. لا يمكنك التحكم فيما تحاوله الشركات التابعة، لكن يمكنك التحكم في مقدار الضرر الذي يسببه اختراق واحد. راجع نسخك الاحتياطية هذا الأسبوع وتأكد من أن نسخة واحدة دون اتصال. تحقق من أن أنظمتك مصححة، وأن أدوات الإدارة غير مكشوفة، وأن شبكتك مقسمة. لمزيد من الخلفية، اقرأ شرح الابتزاز المزدوج لـ Qilin ودليل حماية المستخدمين المنزليين من برامج الفدية، ثم اعمل على الأساسيات قبل أن يختبرها مهاجم نيابة عنك.