En ny trusselsprofil fra Threat Radar sætter igen Qilin i søgelyset. Også kendt som Agenda er Qilin en russisktalende ransomware-as-a-service (RaaS)-operation, der har været aktiv siden 2022 og er vokset til en af de mest produktive ransomware-grupper. Profilen dækker tre dele af dens playbook: angreb på ESXi-servere, et netværk af affiliates og dobbelt afpresning. Tilsammen viser Qilin ransomware ESXi dobbelt afpresningsangreb, hvordan en enkelt kompromitteret virtualiseringsvært kan blive både et massivt nedbrud og en datalækage.

Profilens offentlige resumé er kort, så dette indlæg holder sig til det, den oplyser, og den generelle mekanik, den peger på.

Sådan fungerer Qilin ransomware ESXi dobbelt afpresning

Dobbelt afpresning betyder, at angriberne anvender to slags pres i stedet for ét. Først krypterer de systemer, så offeret ikke kan operere. Dernæst stjæler de data og truer med at offentliggøre dem på et leak site, hvis løsepengebeløbet ikke betales. Det andet trin ændrer regnestykket for ofrene. Selv en organisation med solide backups kan genoprette sine systemer og stadig stå over for udsigten til, at følsomme filer bliver offentliggjort.

For et dybere indblik i denne model, se vores tidligere forklaring om Qilins dobbelt-afpresningsstrategi.

Hvorfor ESXi og virtualiseringsservere er førsteprioriterede mål

ESXi er en hypervisor, det software, der gør det muligt for en enkelt fysisk server at køre mange virtuelle maskiner. Den konsolidering er effektiv for administratorer, og det er også det, der gør ESXi attraktiv for ransomware-operatører. I stedet for at kryptere én arbejdsstation ad gangen kan en angriber, der når hypervisoren, nedlægge mange servere på én gang.

Det er sådan, en enkelt kompromitteret vært bliver et massivt nedbrud. E-mail, filshare, databaser og forretningskritiske applikationer kan alle ligge på virtuelle maskiner på samme vært. Krypter de virtuelle diske, og alt ovenpå dem stopper. Fordi den samme adgang, der muliggør kryptering, ofte kan bruges til at kopiere data ud først, har nedbruddet og lækagetruslen tendens til at ankomme sammen.

Det har betydning ud over store virksomheder. Små virksomheder, skoler, klinikker og managed service providers kører ofte en håndfuld virtualiseringsværter, der bærer hele deres drift, og som ofte kun overvåges af begrænset sikkerhedspersonale.

Sådan spreder affiliate-netværket Qilin-angreb

Qilin kører som ransomware-as-a-service. Kernelgruppen udvikler malware og den understøttende infrastruktur, mens affiliates udfører indtrængningerne og deler udbyttet. Det sænker kompetencebarrieren for angribere og lader operationen skalere langt ud over, hvad en enkelt gruppe kunne håndtere. Vores forklaring om hvordan ransomware-as-a-service gør hacking til en forretning nedbryder den økonomiske model.

For forsvarere er den praktiske konsekvens, at intet enkelt angrebsmønster definerer Qilin. Forskellige affiliates bruger forskellige veje ind, hvad enten det er stjålne legitimationsoplysninger, eksponeret fjernadgang eller uopdateret software. Edge-enheder og administrationsværktøjer er en tilbagevendende bekymring på tværs af ransomware-aktivitet generelt; vi dækkede et eksempel, hvor en kritisk Cisco FMC-fejl blev kædet sammen med Qilin-aktivitet. Den fælles tråd er, at angribere går efter det, der er eksponeret og langsomt at patche.

Forsvar: hvad det betyder for dig

De fleste læsere kører ikke ESXi-klynger, men læringspunkterne gælder i alle størrelser. Målet er at gøre én fejl overlevedygtig.

Hvis du kører virtualisering eller servere:

  • Hold administrationsgrænseflader væk fra det åbne internet. Hypervisor- og administrationskonsoller bør kun være tilgængelige gennem en beskyttet, begrænset vej.
  • Patch hurtigt. Prioritér internetvendte systemer og administrationssoftware.
  • Segmentér dit netværk. Hold hypervisor-administration, backups og almindelige brugerenheder på separate segmenter, så adgang til ét ikke giver adgang til alle tre.
  • Beskyt dine backups. Hold mindst én kopi offline eller uforanderlig, og sørg for, at de legitimationsoplysninger, der administrerer produktionen, ikke også kan slette backups.
  • Brug multifaktorautentificering på fjernadgang og administratorkonti.

Hvis du er en privatperson eller en lille organisation:

  • Følg 3-2-1-idéen. Hold flere kopier af vigtige data på forskellige medier, med én gemt offline.
  • Brug unikke adgangskoder, og slå MFA til, så en enkelt stjålet legitimationsoplysning ikke åbner alt.
  • Kend dine leverandører. Hvis en serviceudbyder opbevarer dine data eller administrerer dine systemer, spørg hvordan de beskytter virtualiseringsværter og backups.

Vores guide til ransomware-beskyttelse for hjemmebrugere dækker det grundlæggende på husstandsniveau mere detaljeret.

Hvis dine data dukker op på et leak site

At finde dit navn eller din organisations data på et leak site er stressende, men et par trin hjælper. Bekræft, hvad der faktisk blev eksponeret, før du drager konklusioner. Skift adgangskoder, og tilbagekald sessioner for alle konti, der kan være berørt. Underret de personer, hvis oplysninger var involveret, og undersøg, om juridiske eller regulatoriske underretningsregler gælder for dig. Tilkal incident response-professionelle, hvis systemer er berørt, og bevar logs i stedet for at slette maskiner i hast. Lækkede data kan ikke tages tilbage, så prioriteten er at reducere, hvad angribere kan gøre med dem, såsom phishing, svindel eller genbrug af legitimationsoplysninger.

Vigtige pointer

Qilin ransomware ESXi dobbelt afpresningsmodellen fungerer, fordi den stabler løftestang: ét fodfæste kan betyde udbredt kryptering og en offentlig datalækage. Du kan ikke kontrollere, hvad affiliates forsøger, men du kan kontrollere, hvor meget skade et enkelt indbrud forårsager. Gennemgå dine backups i denne uge, og bekræft, at én kopi er offline. Tjek, at dine systemer er patchet, at administrationsværktøjer ikke er eksponeret, og at dit netværk er segmenteret. For mere baggrund kan du læse vores Qilin dobbelt-afpresningsforklaring og guiden til ransomware-beskyttelse for hjemmebrugere, og derefter gennemgå det grundlæggende, før en angriber tester det for dig.