En netop offentliggjort trusselsaktørprofil sætter fokus på Qilin, en ransomware-operation der har bygget sin forretning op omkring en partnerskabsmodel og en hård dobbeltafpresningsstrategi. I stedet for selv at udføre angreb, forsyner Qilin sine affiliates med ransomware-værktøjer og teknisk support, og tager derefter en andel af den løsesum, som disse affiliates formår at presse ud af deres ofre. Det er en struktur, der er blevet stadig mere almindelig i ransomware-verdenen, og at forstå hvordan den fungerer, er første skridt mod at beskytte dine egne data.
Sådan fungerer Qilins affiliate-model
Qilin opererer som en Ransomware-as-a-Service (RaaS)-udbyder. I stedet for at en enkelt gruppe udfører hvert angreb, bygger Qilin den ondsindede software og supportinfrastrukturen, og udlicenserer den derefter til affiliates, som står for selve hacking-delen. Disse affiliates identificerer mål, skaffer sig adgang til netværk og udruller ransomwaren, hvorefter de deler profitten med Qilin, når et offer betaler.
Denne arbejdsdeling er det, der gør RaaS-operationer så vedholdende og svære at lukke ned. Selv hvis retshåndhævende myndigheder forstyrrer en affiliate eller tager et stykke infrastruktur ned, kan kernegruppen og dens værktøjskasse fortsætte med at operere, og nye affiliates kan træde til og iværksætte friske angreb. Det betyder også, at puljen af personer, der er i stand til at gennemføre et Qilin-lignende angreb, er større end en traditionel hackergruppe, da affiliates ikke behøver at bygge ransomware fra bunden – de skal blot have adgang til et netværk og viljen til at anvende det værktøj, de får stillet til rådighed.
Dobbeltafpresningens drejebog
Det, der adskiller Qilin fra ældre, enklere ransomware, er dens dobbeltafpresningsmetode. I et traditionelt ransomware-angreb krypteres filer, og offeret bliver bedt om at betale for en dekrypteringsnøgle. Qilin tilføjer et ekstra pres: Før kryptering af offerets filer stjæler dets affiliates i stilhed følsomme data fra netværket. Hvis offeret nægter at betale, eller endda efter at have betalt, truer angriberne med at offentliggøre de stjålne data eller sælge dem til andre kriminelle.
Denne taktik hæver indsatsen dramatisk for ofrene. Selv organisationer med solide backupsystemer, der kunne genskabe krypterede filer uden at betale løsesum, står stadig over for truslen om en skadelig datalækage. Denne løftestang er præcis grunden til, at dobbeltafpresning er blevet standarddrejebogen i hele ransomware-økosystemet. Vi har set lignende dynamikker udspille sig i andre nylige hændelser, herunder Ecopetrols ransomware-forsøg, der eksponerede tusindvis af konti og påstanden om 700 GB data fra Genesis ransomware-gruppen rettet mod et vikarbureau. I begge tilfælde var truslen om eksponerede data, ikke blot låste filer, det virkelige prespunkt.
Hvorfor stjålne data dukker op andre steder
Når data først er blevet eksfiltreret i et dobbeltafpresningsangreb, forbliver de ikke nødvendigvis hos de oprindelige angribere. Stjålne optegnelser ender ofte med at cirkulere på dark web-fora eller bliver ompakket af andre trusselsaktører, der ønsker at tjene yderligere på dem. Det er et mønster, der gentager sig i hændelser som Iliad Italias kundedatasæt, der dukkede op til salg på et dark web-forum, hvor kompromitterede oplysninger fik et andet liv længe efter det oprindelige brud. Det er også værd at bemærke, hvor aggressive nogle grupper er blevet i at presse ofre, som det sås, da ShinyHunters-gruppen eskalerede deres Canvas-kampagne ved at deface skolers loginportaler for at tvinge betaling igennem. Qilins model passer perfekt ind i denne bredere tendens: stjæl først, krypter derefter, og brug truslen om offentlig eksponering som løftestang længe efter den første indtrængen.
Hvad dette betyder for dig
Hvis du er privatperson, er Qilin og lignende ransomware-operationer en påmindelse om, at dine personlige data ofte er utilsigtet skade i angreb rettet mod de organisationer, du handler med, arbejdsgivere, sundhedsudbydere, skoler og servicevirksomheder. Du kan generelt ikke selv stoppe disse angreb, men du kan begrænse, hvor stor skade et brud påfører dig personligt, ved at minimere de følsomme data, du deler, bruge unikke adgangskoder til hver konto og holde øje med tegn på, at dine oplysninger er dukket op i et læk.
Hvis du administrerer IT for en virksomhed, betyder den affiliate-baserede, dobbeltafpresningsorienterede karakter af Qilin, at forebyggelse skal ske, før data overhovedet forlader dit netværk. Netværkssegmentering begrænser, hvor langt en angriber kan bevæge sig efter et indledende brud, hvilket reducerer mængden af data, der er tilgængelige at stjæle, selv hvis ét system kompromitteres. Kryptering af følsomme data i hvile og under overførsel tilføjer et ekstra beskyttelseslag, eftersom stjålne data, der er korrekt krypterede, er langt mindre nyttige for angribere, der truer med at offentliggøre dem.
Handlingsorienterede takeaways
Segmentér dit netværk, så en enkelt kompromitteret enhed eller konto ikke giver adgang til hele din infrastruktur. Oprethold offline, testede backups, så kryptering alene ikke tvinger dig til at træffe en betalingsbeslutning. Krypter følsomme filer, så stjålne data har mindre værdi, selv hvis de eksfiltreres. Og tag enhver meddelelse fra en tjenesteudbyder om en ransomware-hændelse alvorligt, da dobbeltafpresningsgrupper som Qilin rutinemæssigt følger op på trusler om lækage. At holde sig informeret om, hvordan grupper som Qilin opererer, er et af de mest praktiske skridt, du kan tage for at beskytte dine data, før de bliver en del af det næste læk.
