Nový profil hrozby od Threat Radar staví Qilin zpět do centra pozornosti. Známý také jako Agenda je Qilin rusky mluvící ransomwarová operace typu ransomware-as-a-service (RaaS), která je aktivní od roku 2022 a vyrostla v jednu z nejproduktivnějších ransomwarových skupin. Profil pokrývá tři části jejího playbooku: útoky na servery ESXi, síť affiliate partnerů a dvojité vydírání. Společně útoky Qilin ransomware ESXi s dvojitým vydíráním ukazují, jak se z jednoho kompromitovaného virtualizačního hostitele může stát jak masivní výpadek, tak únik dat.

Veřejné shrnutí profilu je krátké, takže tento příspěvek se drží toho, co uvádí, a obecné mechaniky, na kterou poukazuje.

Jak funguje Qilin ransomware ESXi s dvojitým vydíráním

Dvojité vydírání znamená, že útočníci vyvíjejí dva druhy tlaku místo jednoho. Nejprve zašifrují systémy, takže oběť nemůže fungovat. Poté ukradnou data a hrozí jejich zveřejněním na únikové stránce, pokud výkupné nebude zaplaceno. Tento druhý krok mění pro oběti kalkulaci. I organizace se solidními zálohami může obnovit své systémy a přesto čelit vyhlídce, že citlivé soubory budou zveřejněny.

Pro hlubší pohled na tento model si přečtěte náš dřívější výklad o strategii dvojitého vydírání Qilin.

Proč jsou ESXi a virtualizační servery hlavními cíli

ESXi je hypervisor, software, který umožňuje jednomu fyzickému serveru provozovat mnoho virtuálních strojů. Tato konsolidace je pro administrátory efektivní a právě to dělá ESXi atraktivním pro ransomwarové operátory. Místo šifrování jedné pracovní stanice po druhé může útočník, který se dostane k hypervisoru, vyřadit mnoho serverů najednou.

Tak se z jednoho kompromitovaného hostitele stává masivní výpadek. E-mail, souborové sdílení, databáze a aplikace pro podnikání mohou všechny žít na virtuálních strojích na stejném hostiteli. Zašifrujte virtuální disky a vše nad nimi se zastaví. Protože stejný přístup, který umožňuje šifrování, lze často použít ke zkopírování dat předem, výpadek a hrozba úniku obvykle přicházejí společně.

To je důležité i mimo velké podniky. Malé firmy, školy, kliniky a poskytovatelé managed služeb často provozují hrstku virtualizačních hostitelů, které nesou celý jejich provoz, často s omezeným bezpečnostním personálem, který je sleduje.

Jak síť affiliate partnerů šíří útoky Qilin

Qilin funguje jako ransomware-as-a-service. Základní skupina vyvíjí malware a podpůrnou infrastrukturu, zatímco affiliate partneři provádějí průniky a dělí se o výnosy. To snižuje bariéru dovedností pro útočníky a umožňuje operaci škálovat daleko za to, co by zvládla jediná skupina. Náš výklad o tom, jak ransomware-as-a-service mění hacking v byznys rozebírá tento ekonomický model.

Pro obránce je praktickým důsledkem to, že žádný jediný vzorec útoku nedefinuje Qilin. Různí affiliate partneři používají různé cesty dovnitř, ať už ukradené přihlašovací údaje, vystavený vzdálený přístup nebo nezáplatovaný software. Edge zařízení a nástroje pro správu jsou opakujícím se problémem napříč ransomwarovou aktivitou obecně; pokryli jsme jeden příklad, kdy byla kritická zranitelnost Cisco FMC spojena s aktivitou Qilin. Společným pojítkem je, že útočníci jdou po tom, co je vystavené a pomalu záplatované.

Obrany: co to pro vás znamená

Většina čtenářů neprovozuje clustery ESXi, ale lekce platí v každém měřítku. Cílem je udělat jednu chybu přežitelnou.

Pokud provozujete virtualizaci nebo servery:

  • Držte management rozhraní mimo otevřený internet. Hypervisor a administrační konzole by měly být dostupné pouze přes chráněnou, omezenou cestu.
  • Záplatujte včas. Upřednostněte systémy vystavené internetu a software pro správu.
  • Segmentujte svou síť. Držte správu hypervisoru, zálohy a každodenní uživatelská zařízení v oddělených segmentech, aby přístup k jednomu nepředal všechny tři.
  • Chraňte své zálohy. Uchovávejte alespoň jednu kopii offline nebo neměnnou a ujistěte se, že přihlašovací údaje, které spravují produkci, nemohou také smazat zálohy.
  • Používejte multi-faktorovou autentizaci pro vzdálený přístup a účty administrátorů.

Pokud jste jednotlivec nebo malá organizace:

  • Dodržujte princip 3-2-1. Uchovávejte více kopií důležitých dat na různých médiích, přičemž jedna je uložena offline.
  • Používejte jedinečná hesla a zapněte MFA, aby jediný ukradený údaj neotevřel vše.
  • Znejte své dodavatele. Pokud poskytovatel služeb uchovává vaše data nebo spravuje vaše systémy, zeptejte se, jak chrání virtualizační hostitele a zálohy.

Náš průvodce ochranou před ransomwarem pro domácí uživatele pokrývá základy na úrovni domácnosti podrobněji.

Pokud se vaše data objeví na únikové stránce

Najít své jméno nebo data vaší organizace na únikové stránce je stresující, ale několik kroků pomůže. Než vyvodíte závěry, potvrďte, co bylo skutečně vystaveno. Změňte hesla a zrušte relace pro všechny účty, které mohou být zasaženy. Informujte lidi, jejichž informace byly zapojeny, a zkontrolujte, zda se na vás vztahují právní nebo regulační oznamovací pravidla. Pokud jsou systémy zasaženy, přizvěte profesionály pro reakci na incidenty a zachovejte logy, místo abyste ve spěchu mazali stroje. Uniklá data nelze vzít zpět, takže prioritou je snížit, co s nimi útočníci mohou dělat, například phishing, podvody nebo opětovné použití přihlašovacích údajů.

Klíčové poznatky

Model Qilin ransomware ESXi s dvojitým vydíráním funguje, protože vrství páku: jedno opěrné body může znamenat rozsáhlé šifrování a veřejný únik dat. Nemůžete kontrolovat, co affiliate partneři zkoušejí, ale můžete kontrolovat, jak velkou škodu způsobí jedno vloupání. Tento týden zkontrolujte své zálohy a potvrďte, že jedna kopie je offline. Zkontrolujte, že vaše systémy jsou záplatované, že nástroje pro správu nejsou vystavené a že vaše síť je segmentovaná. Pro více souvislostí si přečtěte náš výklad dvojitého vydírání Qilin a průvodce ochranou před ransomwarem pro domácí uživatele, poté projděte základy, než je za vás otestuje útočník.