Ein neues Bedrohungsprofil von Threat Radar rückt Qilin wieder in den Fokus. Qilin, auch bekannt als Agenda, ist eine russischsprachige Ransomware-as-a-Service-(RaaS-)Operation, die seit 2022 aktiv ist und zu einer der produktivsten Ransomware-Gruppen herangewachsen ist. Das Profil behandelt drei Elemente ihres Playbooks: Angriffe auf ESXi-Server, ein Netzwerk von Affiliates und Double Extortion. Zusammengenommen zeigen die Qilin-Ransomware-ESXi-Double-Extortion-Angriffe, wie ein einzelner kompromittierter Virtualisierungshost sowohl zu einem massiven Ausfall als auch zu einem Datenleck werden kann.

Die öffentliche Zusammenfassung des Profils ist kurz, daher beschränkt sich dieser Beitrag auf das, was darin steht, und die allgemeinen Mechanismen, auf die es hinweist.

Wie Qilin-Ransomware-ESXi-Double-Extortion funktioniert

Double Extortion bedeutet, dass die Angreifer zwei Arten von Druck ausüben statt nur einer. Zuerst verschlüsseln sie Systeme, sodass das Opfer nicht mehr arbeiten kann. Zweitens stehlen sie Daten und drohen damit, diese auf einer Leak-Site zu veröffentlichen, falls das Lösegeld nicht gezahlt wird. Dieser zweite Schritt verändert die Rechnung für die Opfer. Selbst eine Organisation mit soliden Backups kann ihre Systeme wiederherstellen und steht dennoch vor der Aussicht, dass sensible Dateien öffentlich werden.

Für einen tieferen Einblick in dieses Modell lesen Sie unseren früheren Erklärartikel zu Qilins Double-Extortion-Strategie.

Warum ESXi und Virtualisierungsserver bevorzugte Ziele sind

ESXi ist ein Hypervisor, also die Software, die es einem einzelnen physischen Server ermöglicht, viele virtuelle Maschinen auszuführen. Diese Konsolidierung ist effizient für Administratoren und macht ESXi zugleich attraktiv für Ransomware-Operatoren. Statt eine Workstation nach der anderen zu verschlüsseln, kann ein Angreifer, der den Hypervisor erreicht, viele Server auf einmal lahmlegen.

So wird ein einzelner kompromittierter Host zu einem massiven Ausfall. E-Mail, Dateifreigaben, Datenbanken und geschäftskritische Anwendungen können alle auf virtuellen Maschinen liegen, die sich auf demselben Host befinden. Verschlüsseln Sie die virtuellen Festplatten, und alles darüber kommt zum Stillstand. Da derselbe Zugang, der die Verschlüsselung ermöglicht, oft auch zum vorherigen Kopieren von Daten genutzt werden kann, treten der Ausfall und die Leak-Drohung in der Regel gemeinsam auf.

Dies ist nicht nur für große Unternehmen relevant. Kleine Unternehmen, Schulen, Kliniken und Managed Service Provider betreiben häufig eine Handvoll Virtualisierungshosts, die ihren gesamten Betrieb tragen, oft mit begrenztem Sicherheitspersonal, das sie überwacht.

Wie das Affiliate-Netzwerk Qilin-Angriffe verbreitet

Qilin funktioniert als Ransomware-as-a-Service. Die Kerngruppe entwickelt die Malware und die unterstützende Infrastruktur, während Affiliates die Eindringlinge durchführen und die Erlöse teilen. Dies senkt die Einstiegshürde für Angreifer und ermöglicht es der Operation, weit über das hinaus zu skalieren, was eine einzelne Gruppe bewältigen könnte. Unser Erklärartikel dazu, wie Ransomware-as-a-Service das Hacken zu einem Geschäft macht, erläutert dieses Wirtschaftsmodell.

Für Verteidiger bedeutet das praktisch, dass kein einzelnes Angriffsmuster Qilin definiert. Verschiedene Affiliates nutzen unterschiedliche Einstiegswege, sei es gestohlene Zugangsdaten, exponierter Fernzugriff oder ungepatchte Software. Edge-Geräte und Management-Tools sind generell ein wiederkehrendes Problem bei Ransomware-Aktivitäten; wir haben ein Beispiel behandelt, bei dem eine kritische Cisco-FMC-Schwachstelle mit Qilin-Aktivitäten in Verbindung gebracht wurde. Der gemeinsame Nenner ist, dass Angreifer auf alles zielen, was exponiert und langsam zu patchen ist.

Abwehrmaßnahmen: Was das für Sie bedeutet

Die meisten Leser betreiben keine ESXi-Cluster, aber die Lehren gelten in jedem Maßstab. Das Ziel ist, einen Fehler überlebbar zu machen.

Wenn Sie Virtualisierung oder Server betreiben:

  • Halten Sie Management-Schnittstellen vom offenen Internet fern. Hypervisor- und Administrationskonsolen sollten nur über einen geschützten, eingeschränkten Pfad erreichbar sein.
  • Patchen Sie zeitnah. Priorisieren Sie internetexponierte Systeme und Management-Software.
  • Segmentieren Sie Ihr Netzwerk. Halten Sie Hypervisor-Management, Backups und alltägliche Benutzergeräte in getrennten Segmenten, damit der Zugriff auf eines nicht alle drei preisgibt.
  • Schützen Sie Ihre Backups. Bewahren Sie mindestens eine Kopie offline oder unveränderlich auf, und stellen Sie sicher, dass die Zugangsdaten, die die Produktion verwalten, nicht auch Backups löschen können.
  • Verwenden Sie Multi-Faktor-Authentifizierung für Fernzugriff und Administratorkonten.

Wenn Sie eine Einzelperson oder eine kleine Organisation sind:

  • Befolgen Sie das 3-2-1-Prinzip. Bewahren Sie mehrere Kopien wichtiger Daten auf verschiedenen Medien auf, wobei eine offline gespeichert wird.
  • Verwenden Sie einzigartige Passwörter und aktivieren Sie MFA, damit ein einzelnes gestohlenes Zugangsdatum nicht alles öffnet.
  • Kennen Sie Ihre Anbieter. Wenn ein Dienstleister Ihre Daten hält oder Ihre Systeme verwaltet, fragen Sie, wie er Virtualisierungshosts und Backups schützt.

Unser Leitfaden zum Ransomware-Schutz für Heimanwender behandelt die Grundlagen auf Haushaltsebene ausführlicher.

Wenn Ihre Daten auf einer Leak-Site auftauchen

Ihren Namen oder die Daten Ihrer Organisation auf einer Leak-Site zu finden, ist stressig, aber ein paar Schritte helfen. Bestätigen Sie, was tatsächlich exponiert wurde, bevor Sie Schlüsse ziehen. Ändern Sie Passwörter und widerrufen Sie Sitzungen für alle möglicherweise betroffenen Konten. Benachrichtigen Sie die Personen, deren Informationen betroffen waren, und prüfen Sie, ob für Sie rechtliche oder regulatorische Meldepflichten gelten. Ziehen Sie Incident-Response-Fachleute hinzu, wenn Systeme betroffen sind, und bewahren Sie Protokolle auf, statt Maschinen in aller Eile zu löschen. Geleakte Daten lassen sich nicht zurückholen, daher ist die Priorität, zu reduzieren, was Angreifer damit tun können, etwa Phishing, Betrug oder die Wiederverwendung von Zugangsdaten.

Wichtigste Erkenntnisse

Das Qilin-Ransomware-ESXi-Double-Extortion-Modell funktioniert, weil es Hebelwirkung stapelt: Ein einziger Fußabdruck kann weitverbreitete Verschlüsselung und ein öffentliches Datenleck bedeuten. Sie können nicht kontrollieren, was Affiliates versuchen, aber Sie können kontrollieren, wie viel Schaden ein einzelner Einbruch verursacht. Überprüfen Sie diese Woche Ihre Backups und bestätigen Sie, dass eine Kopie offline ist. Prüfen Sie, ob Ihre Systeme gepatcht sind, ob Management-Tools nicht exponiert sind und ob Ihr Netzwerk segmentiert ist. Für mehr Hintergrund lesen Sie unseren Qilin-Double-Extortion-Erklärartikel und den Ransomware-Schutzleitfaden für Heimanwender, und arbeiten Sie dann die Grundlagen durch, bevor ein Angreifer sie für Sie testet.