Qilin-Ransomware-Gruppe erweitert ihre Zielliste um eine Bundesbehörde

Threat-Intelligence-Monitore haben eine neue Charge von Opfern identifiziert, die von der Qilin-Ransomware-Gruppe, die auch unter dem Namen Agenda bekannt ist, beansprucht werden. Laut Berichten, die für diesen Artikel geprüft wurden, hat das Ransomware-as-a-Service-Syndikat (RaaS) fünf Organisationen auf seiner Dark-Web-Erpressungsseite hinzugefügt, darunter das US-Büro für Alkohol, Tabak, Schusswaffen und Sprengstoffe (ATF) sowie die privaten Unternehmen Northern Leasing Systems und WireCo. Die Aufnahme einer Bundesstrafverfolgungsbehörde auf eine kriminelle Leak-Seite markiert eine bemerkenswerte Eskalation im Umfang der Ziele, die diese Gruppen zu verfolgen bereit sind.

Ransomware-as-a-Service-Operationen wie Qilin funktionieren, indem sie ihre bösartige Infrastruktur und Erpressungswerkzeuge an assoziierte Hacker vermieten, die die eigentlichen Eindringlinge durchführen und die Erlöse mit der Gruppe hinter der Plattform teilen. Dieses Geschäftsmodell hat es Qilin ermöglicht, seine Operationen schnell zu skalieren und eine breite Palette von Sektoren zu treffen, ohne jeden Angriff intern durchführen zu müssen. Die Gruppe ist seit einiger Zeit in der Bedrohungslandschaft aktiv, und ihre Methoden entwickeln sich weiter, während sie nach neuen Wegen in Unternehmens- und Regierungsnetzwerke sucht.

So funktioniert das Erpressungsmodell von Qilin

Qilin verlässt sich typischerweise – wie viele moderne Ransomware-Gruppen – auf eine Doppelerpressungsstrategie. Angreifer infiltrieren das Netzwerk eines Ziels, exfiltrieren sensible Daten und verschlüsseln dann interne Systeme. Opfer werden doppelt unter Druck gesetzt: einmal, um für einen Entschlüsselungsschlüssel zur Wiederherstellung des Betriebs zu zahlen, und erneut, um zu verhindern, dass gestohlene Daten veröffentlicht oder verkauft werden. Wenn Organisationen sich weigern zu zahlen, listet die Gruppe sie auf ihrer Dark-Web-Leak-Seite, um öffentlichen Druck auszuüben und anderen potenziellen Opfern zu signalisieren, dass die Bedrohung glaubwürdig ist.

Dieses Muster wurde auch in anderen Qilin-Kampagnen dokumentiert. Die Gruppe wurde zuvor mit der Ausnutzung von Schwachstellen in Unternehmens-Sicherheitsappliances in Verbindung gebracht, darunter ein Bypass-Fehler, der die PAN-OS-Software von Palo Alto Networks betrifft, die Qilin-Ransomware ausgenutzt hat, um anfänglichen Zugang zu Unternehmensnetzwerken zu erlangen. Dieser Vorfall veranschaulicht ein durchgängiges Thema in Qilins Operationen: Die Gruppe jagt aktiv nach Schwachstellen in weit verbreiteter Infrastruktursoftware und kombiniert dann diesen Zugang mit Datendiebstahl und Verschlüsselung, um den Druck auf die Opfer zu maximieren.

Warum die Zielwahl einer Bundesbehörde von Bedeutung ist

Die Aufnahme der ATF auf Qilins Leak-Liste ist bedeutsam, weil sie signalisiert, dass Ransomware-Betreiber sich nicht auf die Privatwirtschaft beschränken. Bundesbehörden halten sensible Strafverfolgungsdaten, Personalakten und operative Informationen, die bei einer Offenlegung Auswirkungen auf die nationale Sicherheit oder die öffentliche Sicherheit haben könnten. Ob die ATF-Listung einen erfolgreichen Netzwerkeinbruch, eine Behauptung im Zusammenhang mit einem Verstoß eines Drittanbieters oder einen unbestätigten Erpressungsversuch widerspiegelt – ihre Präsenz auf einer Ransomware-Leak-Seite lenkt die Aufmerksamkeit darauf, wie diese kriminellen Unternehmen ihre Ambitionen ausweiten.

Die privaten Organisationen, die neben der ATF genannt werden, darunter Northern Leasing Systems und WireCo, spiegeln Qilins anhaltendes Interesse an Unternehmen wider, die finanzielle, operative oder Kundendaten besitzen, die wertvoll genug sind, um eine Lösegeldforderung zu rechtfertigen. Dieses Muster von Ransomware-Aktivitäten gegen eine breite Mischung aus öffentlichen und privaten Einrichtungen wurde auch anderswo beobachtet. Ähnliche Dark-Web-Überwachungen in Frankreich ergaben, dass sich die Ransomware-Aktivitäten vervierfacht haben über einen Zeitraum von zwei Jahren, was zu mehr als 145 Millionen dokumentierten Datenschutzverletzungen beigetragen hat. Der Trend deutet auf einen globalen Anstieg der Häufigkeit und Reichweite von Ransomware-Kampagnen hin, nicht auf einen isolierten Vorfall, der mit einer einzelnen Gruppe oder Region verbunden ist.

Was das für Sie bedeutet

Die meisten Leser werden nicht direkt für die ATF, Northern Leasing Systems oder WireCo arbeiten, aber Vorfälle wie dieser haben breitere Auswirkungen. Ransomware-Gruppen, die erfolgreich Bundesbehörden oder große private Unternehmen angreifen, erlangen häufig personenbezogene Daten von Mitarbeitern, Kunden, Auftragnehmern oder Mitgliedern der Öffentlichkeit, die mit diesen Organisationen interagiert haben. Wenn eine der genannten Organisationen einen Verstoß bestätigt, der personenbezogene Daten betrifft, könnten betroffene Personen möglicherweise Benachrichtigungsschreiben erhalten oder aufgefordert werden, ihre Konten auf verdächtige Aktivitäten zu überwachen.

Im weiteren Sinne ist die Ausweitung der Zielliste von Qilin eine Erinnerung daran, dass Ransomware-Gruppen opportunistisch sind. Sie nutzen alle vorhandenen Schwachstellen aus, sei es in Unternehmenssoftware oder in den Sicherheitspraktiken einer Organisation, und sie unterscheiden nicht, ob ein Ziel eine Regierungsbehörde oder ein privates Unternehmen ist. Dies unterstreicht die Bedeutung guter digitaler Hygiene, unabhängig davon, mit welchen Organisationen Sie interagieren.

Umsetzbare Erkenntnisse

Wenn Sie mit einer der genannten Organisationen interagiert haben, sei es als Mitarbeiter, Kunde oder Auftragnehmer, behalten Sie offizielle Mitteilungen zu möglichen Datenschutzverletzungen im Auge. Aktivieren Sie nach Möglichkeit die Multi-Faktor-Authentifizierung, verwenden Sie eindeutige Passwörter für sensible Konten und erwägen Sie einen Kreditüberwachungsdienst, wenn Sie eine Benachrichtigung über einen Verstoß erhalten. Organisationen sollten diesen Vorfall als weitere Erinnerung behandeln, bekannte Schwachstellen umgehend zu patchen, sensible Systeme zu segmentieren und Offline-Backups zu pflegen, die Ransomware nicht erreichen kann. Da Qilin-Ransomware und ähnliche RaaS-Gruppen ihre Ziellisten weiter ausweiten, ist es eine der einfachsten Möglichkeiten für Einzelpersonen, sich vor nachgelagerten Konsequenzen zu schützen, informiert zu bleiben, welche Organisationen betroffen sind.