Un nuevo perfil de amenaza de Threat Radar vuelve a poner a Qilin en el punto de mira. También conocido como Agenda, Qilin es una operación de ransomware-as-a-service (RaaS) de habla rusa que ha estado activa desde 2022 y se ha convertido en uno de los grupos de ransomware más prolíficos. El perfil abarca tres piezas de su manual de actuación: ataques a servidores ESXi, una red de afiliados y doble extorsión. En conjunto, los ataques de doble extorsión de Qilin ransomware ESXi muestran cómo un único host de virtualización comprometido puede convertirse tanto en una interrupción masiva como en una fuga de datos.

El resumen público del perfil es breve, así que esta publicación se ciñe a lo que declara y a la mecánica general que señala.

Cómo funciona la doble extorsión de Qilin ransomware ESXi

La doble extorsión significa que los atacantes aplican dos tipos de presión en lugar de uno. Primero, cifran los sistemas para que la víctima no pueda operar. Segundo, roban datos y amenazan con publicarlos en un sitio de filtraciones si el rescate no se paga. Ese segundo paso cambia los cálculos para las víctimas. Incluso una organización con copias de seguridad sólidas puede restaurar sus sistemas y aun así enfrentarse a la perspectiva de que archivos sensibles se hagan públicos.

Para una mirada más profunda a este modelo, consulte nuestra explicación anterior sobre la estrategia de doble extorsión de Qilin.

Por qué ESXi y los servidores de virtualización son objetivos principales

ESXi es un hipervisor, el software que permite que un único servidor físico ejecute muchas máquinas virtuales. Esa consolidación es eficiente para los administradores, y también es lo que hace atractivo ESXi para los operadores de ransomware. En lugar de cifrar una estación de trabajo a la vez, un atacante que llega al hipervisor puede derribar muchos servidores a la vez.

Así es como un único host comprometido se convierte en una interrupción masiva. El correo electrónico, los recursos compartidos de archivos, las bases de datos y las aplicaciones de línea de negocio pueden residir todos en máquinas virtuales alojadas en el mismo host. Cifre los discos virtuales y todo lo que se apoya sobre ellos se detiene. Debido a que el mismo acceso que permite el cifrado a menudo puede usarse para copiar datos primero, la interrupción y la amenaza de filtración tienden a llegar juntas.

Esto importa más allá de las grandes empresas. Las pequeñas empresas, escuelas, clínicas y proveedores de servicios gestionados a menudo ejecutan un puñado de hosts de virtualización que soportan toda su operación, frecuentemente con personal de seguridad limitado vigilándolos.

Cómo la red de afiliados propaga los ataques de Qilin

Qilin funciona como ransomware-as-a-service. El grupo central desarrolla el malware y la infraestructura de apoyo, mientras que los afiliados llevan a cabo las intrusiones y comparten las ganancias. Esto reduce la barrera de habilidad para los atacantes y permite que la operación escale mucho más allá de lo que un solo equipo podría gestionar. Nuestra explicación sobre cómo el ransomware-as-a-service convierte el hacking en un negocio desglosa ese modelo económico.

Para los defensores, la consecuencia práctica es que ningún patrón de ataque único define a Qilin. Diferentes afiliados usan diferentes vías de entrada, ya sean credenciales robadas, acceso remoto expuesto o software sin parchear. Los dispositivos perimetrales y las herramientas de gestión son una preocupación recurrente en la actividad de ransomware en general; cubrimos un ejemplo en el que una falla crítica de Cisco FMC fue vinculada a la actividad de Qilin. El hilo común es que los atacantes van por todo lo que está expuesto y tarda en parchearse.

Defensas: qué significa esto para usted

La mayoría de los lectores no ejecutan clústeres de ESXi, pero las lecciones se aplican a toda escala. El objetivo es hacer que un solo error sea sobrevivible.

Si ejecuta virtualización o servidores:

  • Mantenga las interfaces de gestión fuera de internet abierto. Los hipervisores y las consolas de administración deben ser accesibles solo a través de una ruta protegida y restringida.
  • Parchee con prontitud. Priorice los sistemas expuestos a internet y el software de gestión.
  • Segmente su red. Mantenga la gestión del hipervisor, las copias de seguridad y los dispositivos de usuario cotidianos en segmentos separados para que el acceso a uno no entregue los tres.
  • Proteja sus copias de seguridad. Mantenga al menos una copia fuera de línea o inmutable, y asegúrese de que las credenciales que gestionan producción no puedan también eliminar las copias de seguridad.
  • Use autenticación multifactor en el acceso remoto y las cuentas de administrador.

Si es un individuo o una pequeña organización:

  • Siga la idea 3-2-1. Mantenga múltiples copias de datos importantes, en diferentes medios, con una almacenada fuera de línea.
  • Use contraseñas únicas y active MFA para que una sola credencial robada no abra todo.
  • Conozca a sus proveedores. Si un proveedor de servicios posee sus datos o gestiona sus sistemas, pregunte cómo protege los hosts de virtualización y las copias de seguridad.

Nuestra guía sobre protección contra ransomware para usuarios domésticos cubre los conceptos básicos a nivel del hogar con más detalle.

Si sus datos aparecen en un sitio de filtraciones

Encontrar su nombre o los datos de su organización en un sitio de filtraciones es estresante, pero algunos pasos ayudan. Confirme qué se expuso realmente antes de sacar conclusiones. Cambie las contraseñas y revoque las sesiones de cualquier cuenta que pueda estar afectada. Notifique a las personas cuya información estuvo involucrada, y verifique si le aplican reglas de notificación legales o regulatorias. Involucre a profesionales de respuesta a incidentes si los sistemas están afectados, y preserve los registros en lugar de borrar las máquinas apresuradamente. Los datos filtrados no se pueden recuperar, así que la prioridad es reducir lo que los atacantes pueden hacer con ellos, como phishing, fraude o reutilización de credenciales.

Conclusiones clave

El modelo de doble extorsión de Qilin ransomware ESXi funciona porque apila la ventaja: un punto de apoyo puede significar cifrado generalizado y una filtración de datos pública. No puede controlar lo que intentan los afiliados, pero sí puede controlar cuánto daño causa una sola intrusión. Revise sus copias de seguridad esta semana y confirme que una copia está fuera de línea. Verifique que sus sistemas estén parcheados, que las herramientas de gestión no estén expuestas y que su red esté segmentada. Para más contexto, lea nuestra explicación de la doble extorsión de Qilin y la guía de protección contra ransomware para usuarios domésticos, luego trabaje los conceptos básicos antes de que un atacante los ponga a prueba por usted.