Qilin-ransomwaregruppen udvider sin målliste til at omfatte en føderal myndighed

Trusselsintelligens-overvågninger har identificeret en ny gruppe ofre, som Qilin-ransomwaregruppen, også sporet under navnet Agenda, hævder at have angrebet. Ifølge rapportering gennemgået til denne artikel føjede ransomware-as-a-service (RaaS)-syndikatet fem organisationer til sit mørkenets-afpresningssite, herunder U.S. Bureau of Alcohol, Tobacco, Firearms and Explosives (ATF), sammen med de private virksomheder Northern Leasing Systems og WireCo. Tilføjelsen af en føderal retshåndhævelsesmyndighed til et kriminelt lækesite markerer en bemærkelsesværdig eskalering i omfanget af mål, som disse grupper er villige til at forfølge.

Ransomware-as-a-service-operationer som Qilin fungerer ved at udleje deres ondsindede infrastruktur og afpresningsværktøjer til tilknyttede hackere, som udfører de faktiske indtrængninger og deler udbyttet med gruppen bag platformen. Denne forretningsmodel har gjort det muligt for Qilin hurtigt at skalere sin virksomhed og ramme en bred vifte af sektorer uden at skulle køre hvert angreb internt. Gruppen har været aktiv i trusselsbilledet i nogen tid, og dens metoder udvikler sig fortsat, mens den leder efter nye veje ind i virksomheds- og regeringsnetværk.

Hvordan Qilins afpresningsmodel fungerer

Qilin er, ligesom mange moderne ransomwaregrupper, typisk afhængig af en dobbelt afpresningsstrategi. Angribere trænger ind i et måls netværk, eksfiltrerer følsomme data og krypterer derefter interne systemer. Ofre presses to gange: én gang for at betale for en dekrypteringsnøgle til at genoprette driften, og igen for at forhindre, at stjålne data bliver offentliggjort eller solgt. Når organisationer nægter at betale, opfører gruppen dem på sit mørkenets-lækesite som en måde at lægge offentligt pres og signalere til andre potentielle ofre, at truslen er troværdig.

Dette mønster er også blevet dokumenteret i andre Qilin-kampagner. Gruppen er tidligere blevet kædet sammen med udnyttelse af sårbarheder i sikkerhedsapparater til virksomheder, herunder en bypass-fejl, der påvirker Palo Alto Networks' PAN-OS-software, som Qilin-ransomware udnyttede til at opnå indledende adgang til virksomhedsnetværk. Den hændelse illustrerer et gennemgående tema i Qilins operationer: Gruppen jagter aktivt svagheder i bredt anvendt infrastruktursoftware og kombinerer derefter den adgang med datatyveri og kryptering for at maksimere presset på ofrene.

Hvorfor det er vigtigt at målrette en føderal myndighed

Inkluderingen af ATF på Qilins lækeliste er betydningsfuld, fordi den signalerer, at ransomware-operatører ikke begrænser sig til privat industri. Føderale myndigheder besidder følsomme retshåndhævelsesdata, personaleoptegnelser og operationel information, som kan have nationale sikkerheds- eller offentlige sikkerhedsmæssige konsekvenser, hvis de afsløres. Uanset om ATF-opførelsen afspejler en vellykket netværksindtrængning, et krav knyttet til et brud hos en tredjepartsleverandør eller et ubekræftet afpresningsforsøg, tiltrækker dens tilstedeværelse på et ransomware-lækesite opmærksomhed på, hvordan disse kriminelle virksomheder udvider deres ambitioner.

De private organisationer, der nævnes sammen med ATF, herunder Northern Leasing Systems og WireCo, afspejler Qilins fortsatte interesse i virksomheder, der besidder finansielle, operationelle eller kundedata, som er værdifulde nok til at retfærdiggøre et afpresningskrav. Dette mønster af ransomwareaktivitet mod en bred blanding af offentlige og private enheder er også blevet observeret andre steder. Lignende mørkenets-overvågning udført i Frankrig fandt, at ransomwareaktivitet firedobledes over en toårig periode, hvilket bidrog til mere end 145 millioner registrerede dataeksponeringer. Tendensen peger på en global stigning i hyppigheden og rækkevidden af ransomwareskampagner snarere end en isoleret hændelse knyttet til en enkelt gruppe eller region.

Hvad dette betyder for dig

De fleste læsere vil ikke arbejde direkte for ATF, Northern Leasing Systems eller WireCo, men hændelser som denne har bredere konsekvenser. Ransomwaregrupper, der med held bryder ind i føderale myndigheder eller store private virksomheder, opnår ofte personoplysninger tilhørende ansatte, kunder, entreprenører eller medlemmer af offentligheden, som har interageret med disse organisationer. Hvis nogen af de nævnte organisationer bekræfter et brud, der involverer personlige oplysninger, kan berørte personer i sidste ende modtage underretningsbreve eller blive rådet til at overvåge deres konti for mistænkelig aktivitet.

Mere bredt er udvidelsen af Qilins målliste en påmindelse om, at ransomwaregrupper er opportunistiske. De udnytter enhver eksisterende sårbarhed, hvad enten det er i virksomhedssoftware eller i en organisations sikkerhedspraksis, og de skelner ikke baseret på, om et mål er en statslig myndighed eller en privat virksomhed. Dette understreger vigtigheden af at udøve god digital hygiejne, uanset hvilke organisationer du interagerer med.

Handlingsorienterede hovedpointer

Hvis du har interageret med nogen af de nævnte organisationer, enten som ansat, kunde eller entreprenør, så hold øje med officiel kommunikation vedrørende potentiel dataeksponering. Aktivér multifaktorautentificering, hvor det er muligt, brug unikke adgangskoder til følsomme konti, og overvej en kreditovervågningstjeneste, hvis du modtager en underretning om brud. Organisationer bør i mellemtiden behandle denne hændelse som endnu en påmindelse om hurtigt at patche kendte sårbarheder, segmentere følsomme systemer og vedligeholde offline-backups, som ransomware ikke kan nå. Efterhånden som Qilin-ransomware og lignende RaaS-grupper fortsætter med at udvide deres mållister, er det at holde sig informeret om, hvilke organisationer der er berørt, en af de enkleste måder, hvorpå enkeltpersoner kan beskytte sig mod afledte konsekvenser.