Qilin-kiristyshaittaohjelmaryhmä laajentaa kohdelistaansa liittovaltion virastoon

Uhkatiedustelun seuraajat ovat tunnistaneet uuden joukon uhreja, jotka Qilin-kiristyshaittaohjelmaryhmä, joka tunnetaan myös nimellä Agenda, on ilmoittanut vieneensä vuotosivulleen. Tätä artikkelia varten tarkasteltujen raporttien mukaan kiristyshaittaohjelmia palveluna (RaaS) tarjoava syndikaatti lisäsi viisi organisaatiota pimeän verkon kiristyssivulleen, mukaan lukien Yhdysvaltain alkoholi-, tupakka-, ampuma-ase- ja räjähdetoimiston (ATF) sekä yksityiset yritykset Northern Leasing Systems ja WireCo. Liittovaltion lainvalvontaviraston lisääminen rikollisten vuotosivulle merkitsee huomattavaa eskalaatiota siinä, millaisia kohteita nämä ryhmät ovat valmiita tavoittelemaan.

Qilinin kaltaiset kiristyshaittaohjelmia palveluna -operaatiot toimivat vuokraamalla haitallista infrastruktuuriaan ja kiristystyökalujaan kumppanihakkerointiryhmille, jotka toteuttavat varsinaiset tunkeutumiset ja jakavat tuotot alustan taustalla olevalle ryhmälle. Tämä liiketoimintamalli on antanut Qilinille mahdollisuuden laajentaa toimintaansa nopeasti ja iskeä monenlaisiin sektoreihin ilman, että sen tarvitsee toteuttaa jokaista hyökkäystä itse. Ryhmä on ollut aktiivinen uhkakentässä jo jonkin aikaa, ja sen menetelmät kehittyvät jatkuvasti sen etsiessä uusia reittejä yritysten ja hallinnon verkkoihin.

Miten Qilinin kiristysmalli toimii

Qilin, kuten monet nykyaikaiset kiristyshaittaohjelmaryhmät, tukeutuu tyypillisesti kaksinkertaiseen kiristysstrategiaan. Hyökkääjät tunkeutuvat kohteen verkkoon, siirtävät arkaluonteisia tietoja pois ja salaavat sisäiset järjestelmät. Uhreihin kohdistetaan painostusta kahdesti: ensin salauksen purkuavaimen maksamiseksi toiminnan palauttamiseksi ja toiseksi, jotta varastettuja tietoja ei julkaistaisi tai myytäisi. Kun organisaatiot kieltäytyvät maksamasta, ryhmä listaa ne pimeän verkon vuotosivulleen keinona kohdistaa julkista painostusta ja viestittää muille mahdollisille uhreille, että uhka on todellinen.

Tämä kaava on dokumentoitu myös muissa Qilinin kampanjoissa. Ryhmä on aiemmin yhdistetty yritysturvalaitteiden haavoittuvuuksien hyödyntämiseen, mukaan lukien Palo Alto Networksin PAN-OS-ohjelmiston ohitusvirhe, jota Qilin-kiristyshaittaohjelma hyödynsi saadakseen alkuperäisen pääsyn yritysverkkoihin. Tapaus havainnollistaa Qilinin toiminnan johdonmukaista teemaa: ryhmä metsästää aktiivisesti laajalti käytettyjen infrastruktuuriohjelmistojen heikkouksia ja yhdistää tämän pääsyn tietovarkauteen ja salaukseen maksimoidakseen vipuvoimansa uhreihin nähden.

Miksi liittovaltion virastoon kohdistaminen on merkittävää

ATF:n sisällyttäminen Qilinin vuotosivulle on merkittävää, koska se osoittaa, etteivät kiristyshaittaohjelmien operaattorit rajoita toimintaansa yksityiseen sektoriin. Liittovaltion virastoilla on hallussaan arkaluonteisia lainvalvontatietoja, henkilöstötietoja ja operatiivisia tietoja, joilla voisi olla kansallisen turvallisuuden tai yleisen turvallisuuden vaikutuksia, jos ne paljastuvat. Riippumatta siitä, heijastaako ATF-merkintä onnistunutta verkkotunkeutumista, kolmannen osapuolen toimittajan tietomurtoon liittyvää väitettä vai vahvistamatonta kiristysyritystä, sen läsnäolo kiristyshaittaohjelmien vuotosivulla kiinnittää huomiota siihen, miten nämä rikollisyritykset laajentavat tavoitteitaan.

ATF:n ohella nimetyt yksityisen sektorin organisaatiot, mukaan lukien Northern Leasing Systems ja WireCo, heijastavat Qilinin jatkuvaa kiinnostusta yrityksiin, joilla on taloudellisia, operatiivisia tai asiakastietoja, jotka ovat riittävän arvokkaita kiristysvaatimuksen perustelemiseksi. Tätä kiristyshaittaohjelmien toimintamallia laajaa julkisten ja yksityisten toimijoiden joukkoa vastaan on havaittu myös muualla. Vastaava Ranskassa toteutettu pimeän verkon seuranta osoitti, että kiristyshaittaohjelmien toiminta nelinkertaistui kahden vuoden aikana, mikä myötävaikutti yli 145 miljoonaan kirjattuun tietopaljastumiseen. Suuntaus viittaa kiristyshaittaohjelmakampanjoiden yleismaailmalliseen yleistymiseen ja ulottuvuuteen sen sijaan, että kyse olisi yksittäisestä tapauksesta, joka liittyisi yhteen ryhmään tai alueeseen.

Mitä tämä tarkoittaa sinulle

Useimmat lukijat eivät työskentele suoraan ATF:lle, Northern Leasing Systemsille tai WireColle, mutta tämän kaltaisilla tapauksilla on laajempia vaikutuksia. Kiristyshaittaohjelmaryhmät, jotka onnistuvat murtautumaan liittovaltion virastoihin tai suuriin yksityisiin yrityksiin, saavat usein haltuunsa henkilötietoja, jotka kuuluvat työntekijöille, asiakkaille, urakoitsijoille tai niille yleisön jäsenille, jotka ovat olleet yhteydessä kyseisiin organisaatioihin. Jos jokin nimetyistä organisaatioista vahvistaa henkilötietoja koskevan tietomurron, asianomaiset henkilöt voivat lopulta saada ilmoituskirjeitä tai heitä voidaan kehottaa seuraamaan tilejään epäilyttävän toiminnan varalta.

Laajemmin ajateltuna Qilinin kohdelistan laajeneminen muistuttaa siitä, että kiristyshaittaohjelmaryhmät ovat opportunistisia. Ne hyödyntävät kaikkia olemassa olevia haavoittuvuuksia, olivatpa ne yritysohjelmistoissa tai organisaation turvallisuuskäytännöissä, eivätkä ne tee eroa sen suhteen, onko kohde hallintovirasto vai yksityinen yritys. Tämä korostaa hyvän digitaalisen hygienian merkitystä riippumatta siitä, mihin organisaatioihin olet yhteydessä.

Käytännön toimenpiteet

Jos olet ollut yhteydessä johonkin nimetyistä organisaatioista joko työntekijänä, asiakkaana tai urakoitsijana, seuraa virallisia tiedotteita mahdollisesta tietojen paljastumisesta. Ota monivaiheinen todennus käyttöön aina kun mahdollista, käytä yksilöllisiä salasanoja arkaluonteisille tileille ja harkitse luottovalvontapalvelua, jos saat tietomurtoilmoituksen. Organisaatioiden puolestaan tulisi pitää tätä tapausta jälleen yhtenä muistutuksena siitä, että tunnetut haavoittuvuudet on paikattava viipymättä, arkaluonteiset järjestelmät on eriytettävä ja offline-varmuuskopioita on ylläpidettävä, niin ettei kiristyshaittaohjelma pääse niihin käsiksi. Kun Qilin-kiristyshaittaohjelma ja vastaavat RaaS-ryhmät jatkavat kohdelistojensa laajentamista, tiedossa pysyminen siitä, mitkä organisaatiot ovat kärsineet, on yksi yksinkertaisimmista tavoista, joilla yksityishenkilöt voivat suojautua seurauksilta.