Нов профил на заплаха от Threat Radar отново поставя Qilin в центъра на вниманието. Известен още като Agenda, Qilin е рускоезична операция за рансъмуер като услуга (RaaS), която е активна от 2022 г. и се е превърнала в една от най-продуктивните групи за рансъмуер. Профилът обхваща три елемента от нейния наръчник: атаки срещу ESXi сървъри, мрежа от партньори и двойно изнудване. Заедно атаките с двойно изнудване на Qilin рансъмуер срещу ESXi показват как един компрометиран хост за виртуализация може да се превърне едновременно в масово прекъсване и в изтичане на данни.

Публичното резюме на профила е кратко, затова тази публикация се придържа към това, което то посочва, и общата механика, към която насочва.

Как работи двойното изнудване на Qilin рансъмуер срещу ESXi

Двойното изнудване означава, че атакуващите прилагат два вида натиск вместо един. Първо, те криптират системите, така че жертвата да не може да работи. Второ, те открадват данни и заплашват да ги публикуват на сайт за изтичане, ако откупът не бъде платен. Тази втора стъпка променя сметката за жертвите. Дори организация със солидни резервни копия може да възстанови системите си и все пак да се изправи пред перспективата чувствителни файлове да станат публични.

За по-задълбочен поглед върху този модел вижте по-ранното ни обяснение за стратегията за двойно изнудване на Qilin.

Защо ESXi и сървърите за виртуализация са основни цели

ESXi е хипервизор — софтуерът, който позволява на един физически сървър да работи с много виртуални машини. Тази консолидация е ефективна за администраторите и именно тя прави ESXi привлекателен за операторите на рансъмуер. Вместо да криптира една работна станция наведнъж, атакуващият, който достигне до хипервизора, може да свали много сървъри наведнъж.

Ето как един компрометиран хост се превръща в масово прекъсване. Имейл, файлови споделяния, бази данни и бизнес приложения може да живеят на виртуални машини, разположени на един и същ хост. Криптирайте виртуалните дискове и всичко върху тях спира. Тъй като същият достъп, който позволява криптиране, често може да бъде използван и за копиране на данни преди това, прекъсването и заплахата от изтичане обикновено идват заедно.

Това е важно отвъд големите предприятия. Малките бизнеси, училищата, клиниките и доставчиците на управлявани услуги често поддържат няколко хоста за виртуализация, които носят цялата им дейност, често с ограничен персонал по сигурността, който ги наблюдава.

Как мрежата от партньори разпространява атаките на Qilin

Qilin работи като рансъмуер като услуга. Основната група разработва зловредния софтуер и поддържащата инфраструктура, докато партньорите извършват проникванията и споделят приходите. Това понижава бариерата за умения за атакуващите и позволява на операцията да се мащабира далеч отвъд това, което една единствена група би могла да управлява. Нашето обяснение за как рансъмуерът като услуга превръща хакерството в бизнес разглежда този икономически модел.

За защитниците практическото следствие е, че нито един модел на атака не определя Qilin. Различните партньори използват различни начини за проникване — били те откраднати идентификационни данни, изложен отдалечен достъп или непакетиран софтуер. Периферните устройства и инструментите за управление са повтаряща се тревога в рансъмуер активността като цяло; разгледахме един пример, при който критична уязвимост в Cisco FMC беше свързана с активност на Qilin. Общата нишка е, че атакуващите се насочват към всичко, което е изложено и бавно се пакетира.

Защити: какво означава това за вас

Повечето читатели не управляват ESXi клъстери, но уроците важат във всеки мащаб. Целта е една грешка да бъде преживяема.

Ако управлявате виртуализация или сървъри:

  • Дръжте интерфейсите за управление далеч от отворения интернет. Конзолите на хипервизора и администрацията трябва да бъдат достъпни само чрез защитен, ограничен път.
  • Пакетирайте своевременно. Дайте приоритет на системите, изложени на интернет, и софтуера за управление.
  • Сегментирайте мрежата си. Дръжте управлението на хипервизора, резервните копия и ежедневните потребителски устройства в отделни сегменти, така че достъпът до едно да не предава и трите.
  • Защитете резервните си копия. Дръжте поне едно копие офлайн или неизменно и се уверете, че идентификационните данни, които управляват производството, не могат също да изтрият резервните копия.
  • Използвайте многофакторно удостоверяване за отдалечен достъп и администраторски акаунти.

Ако сте физическо лице или малка организация:

  • Следвайте идеята 3-2-1. Дръжте множество копия на важните данни, на различни носители, като едно се съхранява офлайн.
  • Използвайте уникални пароли и включете MFA, така че една открадната идентификационна данна да не отваря всичко.
  • Познавайте доставчиците си. Ако доставчик на услуги държи данните ви или управлява системите ви, попитайте как защитава хостовете за виртуализация и резервните копия.

Нашето ръководство за защита от рансъмуер за домашни потребители обхваща основите на домашно ниво по-подробно.

Ако данните ви се появят на сайт за изтичане

Намирането на вашето име или данните на вашата организация на сайт за изтичане е стресиращо, но няколко стъпки помагат. Потвърдете какво всъщност е било изложено, преди да правите заключения. Сменете паролите и отменете сесиите за всички акаунти, които може да са засегнати. Уведомете хората, чиято информация е била засегната, и проверете дали за вас важат правила за правно или регулаторно уведомяване. Привлечете професионалисти по реагиране при инциденти, ако системите са засегнати, и запазете логовете, вместо да изтривате машините набързо. Изтеклите данни не могат да бъдат върнати, така че приоритетът е да се намали това, което атакуващите могат да направят с тях, като фишинг, измама или повторно използване на идентификационни данни.

Основни изводи

Моделът за двойно изнудване на Qilin рансъмуер срещу ESXi работи, защото натрупва лостове: една опорна точка може да означава широко криптиране и публично изтичане на данни. Не можете да контролирате какво опитват партньорите, но можете да контролирате колко щети причинява едно единствено проникване. Прегледайте резервните си копия тази седмица и потвърдете, че едно копие е офлайн. Проверете дали системите ви са пакетирани, дали инструментите за управление не са изложени и дали мрежата ви е сегментирана. За повече контекст прочетете нашето обяснение за двойното изнудване на Qilin и ръководството за защита от рансъмуер за домашни потребители, след което преминете през основите, преди атакуващ да ги тества вместо вас.