Ένα νέο προφίλ απειλής από το Threat Radar φέρνει ξανά στο προσκήνιο το Qilin. Γνωστό και ως Agenda, το Qilin είναι μια ρωσόφωνη επιχείρηση ransomware-as-a-service (RaaS) που δραστηριοποιείται από το 2022 και έχει εξελιχθεί σε μία από τις πιο παραγωγικές ομάδες ransomware. Το προφίλ καλύπτει τρία σημεία του playbook του: επιθέσεις σε διακομιστές ESXi, ένα δίκτυο συνεργατών και διπλή εκβίαση. Μαζί, οι επιθέσεις Qilin ransomware ESXi διπλής εκβίασης δείχνουν πώς ένας παραβιασμένος διακομιστής virtualization μπορεί να γίνει ταυτόχρονα μαζική διακοπή λειτουργίας και διαρροή δεδομένων.

Η δημόσια σύνοψη του προφίλ είναι σύντομη, επομένως αυτό το άρθρο περιορίζεται σε όσα αναφέρει και στη γενική μηχανική στην οποία παραπέμπει.

Πώς λειτουργεί η διπλή εκβίαση Qilin ransomware ESXi

Διπλή εκβίαση σημαίνει ότι οι επιτιθέμενοι ασκούν δύο είδη πίεσης αντί για ένα. Πρώτον, κρυπτογραφούν συστήματα ώστε το θύμα να μην μπορεί να λειτουργήσει. Δεύτερον, κλέβουν δεδομένα και απειλούν να τα δημοσιεύσουν σε ιστότοπο διαρροής εάν δεν καταβληθεί το λύτρα. Αυτό το δεύτερο βήμα αλλάζει τους υπολογισμούς για τα θύματα. Ακόμη και ένας οργανισμός με ισχυρά αντίγραφα ασφαλείας μπορεί να επαναφέρει τα συστήματά του και να αντιμετωπίσει ακόμη την προοπτική δημόσιας έκθεσης ευαίσθητων αρχείων.

Για μια βαθύτερη ματιά σε αυτό το μοντέλο, δείτε την προηγούμενη εξήγησή μας για τη στρατηγική διπλής εκβίασης του Qilin.

Γιατί οι διακομιστές ESXi και virtualization είναι πρωταρχικοί στόχοι

Το ESXi είναι ένα hypervisor, το λογισμικό που επιτρέπει σε έναν μόνο φυσικό διακομιστή να εκτελεί πολλές εικονικές μηχανές. Αυτή η ενοποίηση είναι αποδοτική για τους διαχειριστές, και είναι επίσης αυτό που κάνει το ESXi ελκυστικό για τους χειριστές ransomware. Αντί να κρυπτογραφούν έναν σταθμό εργασίας κάθε φορά, ένας επιτιθέμενος που φτάνει στον hypervisor μπορεί να θέσει εκτός λειτουργίας πολλούς διακομιστές ταυτόχρονα.

Έτσι ένας μόνο παραβιασμένος διακομιστής γίνεται μαζική διακοπή λειτουργίας. Email, κοινόχρηστα αρχεία, βάσεις δεδομένων και επιχειρηματικές εφαρμογές μπορεί να βρίσκονται όλα σε εικονικές μηχανές στον ίδιο διακομιστή. Κρυπτογραφήστε τους εικονικούς δίσκους και όλα πάνω τους σταματούν. Επειδή η ίδια πρόσβαση που επιτρέπει την κρυπτογράφηση μπορεί συχνά να χρησιμοποιηθεί για την αντιγραφή δεδομένων πρώτα, η διακοπή λειτουργίας και η απειλή διαρροής τείνουν να έρχονται μαζί.

Αυτό έχει σημασία πέρα από τις μεγάλες επιχειρήσεις. Μικρές επιχειρήσεις, σχολεία, κλινικές και πάροχοι διαχειριζόμενων υπηρεσιών συχνά εκτελούν μια χούφτα διακομιστές virtualization που φέρουν ολόκληρη τη λειτουργία τους, συχνά με περιορισμένο προσωπικό ασφαλείας να τους παρακολουθεί.

Πώς το δίκτυο συνεργατών διαδίδει τις επιθέσεις Qilin

Το Qilin λειτουργεί ως ransomware-as-a-service. Η βασική ομάδα αναπτύσσει το malware και την υποστηρικτική υποδομή, ενώ οι συνεργάτες εκτελούν τις εισβολές και μοιράζονται τα κέρδη. Αυτό μειώνει το εμπόδιο δεξιοτήτων για τους επιτιθέμενους και επιτρέπει στην επιχείρηση να κλιμακωθεί πολύ πέρα από ό,τι θα μπορούσε να διαχειριστεί ένα μόνο συνεργείο. Η εξήγησή μας για το πώς το ransomware-as-a-service μετατρέπει το hacking σε επιχείρηση αναλύει αυτό το οικονομικό μοντέλο.

Για τους αμυνόμενους, η πρακτική συνέπεια είναι ότι κανένα μεμονωμένο μοτίβο επίθεσης δεν ορίζει το Qilin. Διαφορετικοί συνεργάτες χρησιμοποιούν διαφορετικούς τρόπους εισόδου, είτε κλεμμένα διαπιστευτήρια, είτε εκτεθειμένη απομακρυσμένη πρόσβαση, είτε μη ενημερωμένο λογισμικό. Οι συσκευές edge και τα εργαλεία διαχείρισης αποτελούν επαναλαμβανόμενη ανησυχία σε όλη τη δραστηριότητα ransomware γενικά· καλύψαμε ένα παράδειγμα όπου μια κρίσιμη αδυναμία του Cisco FMC συνδέθηκε με δραστηριότητα Qilin. Το κοινό νήμα είναι ότι οι επιτιθέμενοι πηγαίνουν σε ό,τι είναι εκτεθειμένο και αργεί να ενημερωθεί.

Άμυνες: τι σημαίνει αυτό για εσάς

Οι περισσότεροι αναγνώστες δεν διαχειρίζονται συστοιχίες ESXi, αλλά τα διδάγματα ισχύουν σε κάθε κλίμακα. Ο στόχος είναι να γίνει ένα λάθος επιβιώσιμο.

Εάν διαχειρίζεστε virtualization ή διακομιστές:

  • Κρατήστε τις διεπαφές διαχείρισης εκτός του ανοιχτού internet. Οι κονσόλες hypervisor και διαχείρισης θα πρέπει να είναι προσβάσιμες μόνο μέσω προστατευμένης, περιορισμένης διαδρομής.
  • Ενημερώνετε άμεσα. Δώστε προτεραιότητα σε συστήματα που εκτίθενται στο internet και λογισμικό διαχείρισης.
  • Τμηματοποιήστε το δίκτυό σας. Κρατήστε τη διαχείριση hypervisor, τα αντίγραφα ασφαλείας και τις καθημερινές συσκευές χρηστών σε ξεχωριστά τμήματα ώστε η πρόσβαση σε ένα να μην παραδίδει και τα τρία.
  • Προστατέψτε τα αντίγραφα ασφαλείας σας. Κρατήστε τουλάχιστον ένα αντίγραφο εκτός σύνδεσης ή αμετάβλητο, και βεβαιωθείτε ότι τα διαπιστευτήρια που διαχειρίζονται την παραγωγή δεν μπορούν επίσης να διαγράψουν αντίγραφα ασφαλείας.
  • Χρησιμοποιήστε έλεγχο ταυτότητας πολλαπλών παραγόντων στην απομακρυσμένη πρόσβαση και στους λογαριασμούς διαχειριστή.

Εάν είστε άτομο ή μικρός οργανισμός:

  • Ακολουθήστε την ιδέα 3-2-1. Κρατήστε πολλαπλά αντίγραφα σημαντικών δεδομένων, σε διαφορετικά μέσα, με ένα αποθηκευμένο εκτός σύνδεσης.
  • Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης και ενεργοποιήστε το MFA ώστε ένα μόνο κλεμμένο διαπιστευτήριο να μην ανοίγει τα πάντα.
  • Γνωρίστε τους προμηθευτές σας. Εάν ένας πάροχος υπηρεσιών κατέχει τα δεδομένα σας ή διαχειρίζεται τα συστήματά σας, ρωτήστε πώς προστατεύει τους διακομιστές virtualization και τα αντίγραφα ασφαλείας.

Ο οδηγός μας για την προστασία από ransomware για οικιακούς χρήστες καλύπτει τα βασικά σε επίπεδο νοικοκυριού με περισσότερες λεπτομέρειες.

Εάν τα δεδομένα σας εμφανιστούν σε ιστότοπο διαρροής

Το να βρείτε το όνομά σας ή τα δεδομένα του οργανισμού σας σε έναν ιστότοπο διαρροής είναι αγχωτικό, αλλά μερικά βήματα βοηθούν. Επιβεβαιώστε τι εκτέθηκε πραγματικά πριν βγάλετε συμπεράσματα. Αλλάξτε κωδικούς πρόσβασης και ανακαλέστε συνεδρίες για τυχόν λογαριασμούς που μπορεί να επηρεαστούν. Ειδοποιήστε τα άτομα των οποίων οι πληροφορίες εμπλέκονται και ελέγξτε εάν ισχύουν νομικοί ή κανονιστικοί κανόνες κοινοποίησης για εσάς. Φέρτε επαγγελματίες αντιμετώπισης περιστατικών εάν επηρεάζονται συστήματα, και διατηρήστε τα αρχεία καταγραφής αντί να σβήσετε μηχανήματα βιαστικά. Τα διαρρεύσαντα δεδομένα δεν μπορούν να ανακτηθούν, επομένως η προτεραιότητα είναι η μείωση του τι μπορούν να κάνουν οι επιτιθέμενοι με αυτά, όπως phishing, απάτη或 επαναχρησιμοποίηση διαπιστευτηρίων.

Βασικά συμπεράσματα

Το μοντέλο Qilin ransomware ESXi διπλής εκβίασης λειτουργεί επειδή συσσωρεύει μόχλευση: ένα foothold μπορεί να σημαίνει εκτεταμένη κρυπτογράφηση και δημόσια διαρροή δεδομένων. Δεν μπορείτε να ελέγξετε τι δοκιμάζουν οι συνεργάτες, αλλά μπορείτε να ελέγξετε πόση ζημιά προκαλεί μια μεμονωμένη παραβίαση. Επανεξετάστε τα αντίγραφα ασφαλείας σας αυτή την εβδομάδα και επιβεβαιώστε ότι ένα αντίγραφο είναι εκτός σύνδεσης. Ελέγξτε ότι τα συστήματά σας είναι ενημερωμένα, ότι τα εργαλεία διαχείρισης δεν είναι εκτεθειμένα και ότι το δίκτυό σας είναι τμηματοποιημένο. Για περισσότερο υπόβαθρο, διαβάστε την εξήγηση διπλής εκβίασης του Qilin και τον οδηγό προστασίας από ransomware για οικιακούς χρήστες, και στη συνέχεια δουλέψτε τα βασικά πριν ένας επιτιθέμενος τα δοκιμάσει για εσάς.