Qilin-Ransomware entlarvt: Einblick in sein Double-Extortion-Modell

Ein neu veröffentlichtes Profil eines Bedrohungsakteurs wirft ein Schlaglicht auf Qilin, eine Ransomware-Operation, die ihr Geschäft auf ein Partnerschaftsmodell und eine schonungslose Double-Extortion-Strategie aufgebaut hat. Anstatt selbst Angriffe durchzuführen, stellt Qilin seinen Affiliates Ransomware-Tools und technischen Support zur Verfügung und erhält dann einen Anteil an den Lösegeldern, die diese Affiliates von ihren Opfern erpressen. Diese Struktur ist in der Ransomware-Welt immer häufiger anzutreffen, und zu verstehen, wie sie funktioniert, ist der erste Schritt, um Ihre eigenen Daten zu schützen.

Wie Qilins Affiliate-Modell funktioniert

Qilin agiert als Anbieter von Ransomware-as-a-Service (RaaS). Anstatt dass eine einzelne Gruppe jeden Angriff durchführt, entwickelt Qilin die Schadsoftware und die Support-Infrastruktur und lizenziert sie dann an Affiliates, die das eigentliche Hacken übernehmen. Diese Affiliates identifizieren Ziele, verschaffen sich Zugang zu Netzwerken und setzen die Ransomware ein. Anschließend teilen sie die Gewinne mit Qilin, sobald ein Opfer zahlt.

Diese Arbeitsteilung macht RaaS-Operationen so hartnäckig und schwer zu unterbinden. Selbst wenn Strafverfolgungsbehörden einen Affiliate ausschalten oder ein Stück Infrastruktur abschalten, können die Kerngruppe und ihr Toolkit weiterarbeiten, und neue Affiliates können einspringen, um neue Angriffe zu starten. Das bedeutet auch, dass die Zahl der Personen, die einen Angriff nach Qilin-Art durchführen können, größer ist als bei einer herkömmlichen Hackergruppe: Affiliates müssen keine Ransomware von Grund auf entwickeln, sie brauchen lediglich Zugang zu einem Netzwerk und die Bereitschaft, das ihnen zur Verfügung gestellte Werkzeug einzusetzen.

Das Double-Extortion-Playbook

Was Qilin von älterer, einfacherer Ransomware unterscheidet, ist der Double-Extortion-Ansatz. Bei einem herkömmlichen Ransomware-Angriff werden Dateien verschlüsselt, und das Opfer wird zur Zahlung eines Entschlüsselungsschlüssels aufgefordert. Qilin fügt eine zweite Druckebene hinzu: Bevor die Dateien eines Opfers verschlüsselt werden, stehlen die Affiliates unbemerkt sensible Daten aus dem Netzwerk. Weigert sich das Opfer zu zahlen – oder selbst nach einer Zahlung – drohen die Angreifer damit, die gestohlenen Daten öffentlich zu machen oder an andere Kriminelle zu verkaufen.

Diese Taktik erhöht den Druck auf die Opfer erheblich. Selbst Organisationen mit soliden Backup-Systemen, die verschlüsselte Dateien ohne Lösegeldzahlung wiederherstellen könnten, sehen sich der Gefahr eines schädlichen Datenlecks gegenüber. Genau diese Hebelwirkung ist der Grund, warum Double Extortion im gesamten Ransomware-Ökosystem zur Standardmethode geworden ist. Ähnliche Dynamiken haben wir auch bei anderen jüngsten Vorfällen beobachtet, etwa dem Ransomware-Angriff auf Ecopetrol, der Tausende von Konten offenlegte, und der Behauptung der Genesis-Ransomware-Gruppe über 700 GB Daten bei einem Personaldienstleister. In beiden Fällen war die Bedrohung durch offengelegte Daten – nicht nur durch gesperrte Dateien – der eigentliche Druckpunkt.

Warum gestohlene Daten immer wieder anderswo auftauchen

Sobald Daten bei einem Double-Extortion-Angriff abfließen, bleiben sie nicht zwangsläufig bei den ursprünglichen Angreifern. Gestohlene Datensätze geraten häufig auf Dark-Web-Foren in Umlauf oder werden von anderen Bedrohungsakteuren neu verpackt, die weiteren Profit erzielen wollen. Dieses Muster zeigt sich auch bei Vorfällen wie dem Iliad Italia-Kundendatensatz, der zum Verkauf in einem Dark-Web-Forum auftauchte, wo kompromittierte Informationen lange nach dem ursprünglichen Einbruch ein zweites Leben fanden. Erwähnenswert ist auch, wie aggressiv einige Gruppen bei der Ausübung von Druck auf Opfer vorgehen, wie der Fall zeigt, in dem die ShinyHunters-Gruppe ihre Canvas-Kampagne eskalierte, indem sie Login-Portale von Schulen verunstaltete, um Zahlungen zu erzwingen. Qilins Modell passt genau in diesen breiteren Trend: zuerst stehlen, dann verschlüsseln und die Drohung mit öffentlicher Bloßstellung noch lange nach dem ersten Eindringen als Druckmittel einsetzen.

Was das für Sie bedeutet

Als Privatperson sind Qilin und ähnliche Ransomware-Operationen eine Erinnerung daran, dass Ihre persönlichen Daten häufig Kollateralschäden bei Angriffen auf Organisationen sind, mit denen Sie in Geschäftsbeziehungen stehen – Arbeitgeber, Gesundheitsdienstleister, Schulen und Dienstleistungsunternehmen. Sie können diese Angriffe in der Regel nicht selbst verhindern, aber Sie können den Schaden, den ein Datenleck für Sie persönlich verursacht, begrenzen, indem Sie die Weitergabe sensibler Daten minimieren, für jedes Konto ein eigenes Passwort verwenden und auf Anzeichen achten, dass Ihre Daten in einem Leak aufgetaucht sind.

Wenn Sie die IT eines Unternehmens verwalten, bedeutet der affiliate-basierte Double-Extortion-Charakter von Qilin, dass die Prävention stattfinden muss, bevor Daten Ihr Netzwerk überhaupt verlassen. Netzwerksegmentierung begrenzt, wie weit sich ein Angreifer nach einem ersten Eindringen bewegen kann, und reduziert die Menge der stehlbaren Daten, selbst wenn ein System kompromittiert ist. Die Verschlüsselung sensibler Daten im Ruhezustand und bei der Übertragung fügt eine weitere Schutzschicht hinzu, da ordnungsgemäß verschlüsselte gestohlene Daten für Angreifer, die mit ihrer Veröffentlichung drohen, weit weniger nützlich sind.

Umsetzbare Maßnahmen

Segmentieren Sie Ihr Netzwerk, damit ein einzelnes kompromittiertes Gerät oder Konto keinen Zugriff auf Ihre gesamte Infrastruktur gewährt. Halten Sie offline gesicherte und getestete Backups vor, damit allein die Verschlüsselung Sie nicht zu einer Zahlungsentscheidung zwingt. Verschlüsseln Sie sensible Dateien, damit gestohlene Daten selbst dann weniger wertvoll sind, wenn sie abfließen. Und nehmen Sie jede Benachrichtigung eines Dienstanbieters über einen Ransomware-Vorfall ernst, denn Double-Extortion-Gruppen wie Qilin setzen ihre Leak-Drohungen in der Regel in die Tat um. Informiert zu bleiben, wie Gruppen wie Qilin agieren, ist einer der praktischsten Schritte, die Sie unternehmen können, um Ihre Daten zu schützen, bevor sie Teil des nächsten Datenlecks werden.