Kyberrikostutkinta on yhdistänyt Qilin-kiristysohjelman ylläpitäjän Aleksei Mihailovitš Jakovtseviin, 36-vuotiaaseen Pietarissa, Venäjällä asuvaan mieheen. Kun Qilin-kiristysohjelman ylläpitäjä on tunnistettu nimeltä, iältään ja kaupungiltaan, kyseessä on harvinainen paljastus kyberrikollisuuden alueella, jossa operaattorit yleensä piiloutuvat salanimien taakse. Se herättää myös käytännön kysymyksen: mitä nimen muuttuminen merkitsee uhreille, ja mitä tavalliset ihmiset ja pienet organisaatiot voivat tehdä datavarkauskiristystä vastaan?

Ensin varoituksen sana. Raportointi on toistaiseksi niukkaa, ja yksityiskohdat tulevat tutkinnan löydöksistä eivätkä oikeuden tuomiosta. Yhteys tulee lukea attribuutiona, ei todistettuna oikeudellisena johtopäätöksenä.

Qilin-kiristysohjelman ylläpitäjä tunnistettu: kehen tutkinta viittaa

Artikkelin mukaan tutkinta yhdistää Qilinin ylläpitäjän Aleksei Mihailovitš Jakovtseviin, joka on 36-vuotias ja asuu Pietarissa, Venäjällä. Tämä on kaikki, mitä lähde vahvistaa. Se ei kuvaile, miten tutkijat päätyivät tähän johtopäätökseen, mitä todisteita sitä tukee tai onko mikään lainvalvontaviranomainen ryhtynyt toimiin.

Tällä puutteella on merkitystä. Attribuutio kyberrikollisuudessa rakentuu usein vuotaneiden keskustelujen, infrastruktuurijälkien ja operatiivisten virheiden yhdistelmästä, ja jokaisen linkin vahvuus vaihtelee. Kunnes lisää julkaistaan tai viranomainen vahvistaa löydöksen, nimi tulee käsitellä raportoituna väitteenä. Sitä kannattaa seurata päivitysten varalta, mutta ei pitää varmana.

Miten Qilinin kaltaiset kiristysohjelmaryhmät iskevät uhreihin

Lähdeartikkeli ei erittele Qilinin menetelmiä, joten on hyödyllistä selittää, miten moderni kiristysohjelmakiristys yleensä toimii. Monet ryhmät eivät enää luota pelkästään tiedostojen lukitsemiseen. Ne kopioivat ensin arkaluontoiset tiedot uhrin verkosta, salaavat sitten järjestelmät ja painostavat sitten uhria kahdella uhalla: maksa salauksen purkuavaimesta ja maksa, jotta varastettuja tietoja ei julkaista vuotosivustolla.

Tämän kaksoiskiristyksen mallin vuoksi pelkät varmuuskopiot eivät ole täydellinen puolustus. Vaikka organisaatio palauttaisi kaiken puhtaasta kopiosta, varastetut tiedot ovat edelleen rikollisten käsissä. Asiakkaat, potilaat, työntekijät ja kumppanit voivat päätyä vaaralle alttiiksi, vaikka he eivät koskaan olleet tekemisissä hyökkääjien kanssa.

Monet kiristysohjelmaoperaatiot toimivat myös palveluna. Ydintiimi ylläpitää haittaohjelmaa ja infrastruktuuria, kun taas affiliatit toteuttavat tunkeutumiset. Jos haluat vilauksen siitä, miltä tämä työnjako näyttää sisältäpäin, raporttimme avoimesta palvelimesta, joka liittyy INC- ja The Gentlemen -kiristysohjelma-affiliaatteihin tarjoaa harvinaisen katsauksen siihen, miten rikolliset todella työskentelevät päivittäin.

Mitä paljastus muuttaa ja mitä ei

Nimen ja kaupungin yhdistäminen ylläpitäjään voi olla merkityksellistä, mutta se harvoin lopettaa operaation itsessään. Tässä on realistinen näkemys vaikutuksesta.

Mitä se voi muuttaa:

  • Se lisää nimetyn henkilön henkilökohtaista riskiä, mukaan lukien matkustusrajoitukset, pakotteet tai tutkinnallinen huomio.
  • Se voi saada affiliatit ja kumppanit varovaisemmiksi luottamaan operaatioon.
  • Se antaa puolustajille ja tutkijoille uuden langan, jota vetää infrastruktuurin ja rahavirtojen kartoittamisessa.

Mitä se yleensä ei muuta:

  • Olemassa olevia uhreja ei auteta automaattisesti. Vuotaneet varastetut tiedot pysyvät vuotaneina.
  • Haittaohjelma ja taktiikat eivät katoa. Affiliatit, työkalut ja pelikirjat voivat siirtyä toisiin brändeihin.
  • Venäjällä asuvaan henkilöön voi olla vaikea saada yhteyttä ulkomaisilla viranomaisilla, joten pidätys ei ole taattu. Artikkeli ei raportoi pidätyksestä.

Lyhyesti sanottuna tunnistaminen on painopiste, ei sulkeminen. Puolustuksesi ei pitäisi riippua yhden ryhmän katoamisesta.

Mitä tämä tarkoittaa sinulle

Useimmat ihmiset eivät koskaan ole kiristysohjelmaryhmän neuvottelujen suora kohde, mutta monet kokevat sen vaikutukset. Tietosi ovat sairaaloissa, jälleenmyyjissä, työnantajissa, kouluissa ja palveluntarjoajissa. Kun jokin niistä joutuu datavarkauskiristyksen kohteeksi, tietosi voivat päätyä vuotoon.

Tämä tarkoittaa kahta asiaa. Ensimmäiseksi et voi täysin hallita sitä, joutuuko käyttämäsi yritys tietomurron kohteeksi. Toiseksi voit hallita sitä, kuinka paljon vahinkoa varastetut tiedot sinulle aiheuttavat. Ainutlaatuiset salasanat, monivaiheinen tunnistautuminen ja odottamattomien viestien huolellinen käsittely rajoittavat kaikki sitä, mitä hyökkääjä voi tehdä vuotaneilla tiedoilla. Jos pyörität pienyritystä tai hallinnoit kotitalouden laitteita, samat perusasiat pätevät omiin järjestelmiisi.

Käytännön toimenpiteet altistumisesi vähentämiseksi kiristysohjelmille

Mikään näistä toimenpiteistä ei ole eksoottinen, ja yhdessä ne vähentävät riskiä merkittävästi.

  1. Pidä offline- tai muuttumattomat varmuuskopiot. Säilytä vähintään yksi kopio irrotettuna verkostasi, jotta kiristysohjelma ei voi salata sitä. Testaa palauttaminen siitä säännöllisesti.
  2. Ota monivaiheinen tunnistautuminen käyttöön. Priorisoi sähköposti, verkkopankki, pilvitallennus ja kaikki etäkäyttötyökalut. Suosi todennussovelluksia tai laitteistavaimia SMS:n sijaan, kun mahdollista.
  3. Käytä salasananhallintaa ja ainutlaatuisia salasanoja. Jos yksi palvelu vuotaa, uudelleenkäytetyt tunnistetiedot eivät saa avata muita tilejäsi.
  4. Paikkaa viipymättä. Päivitä käyttöjärjestelmät, selaimet, reitittimet ja yritysohjelmistot heti, kun korjaukset ovat saatavilla.
  5. Suhtaudu epäillen pyytämättömiin viesteihin. Tietojenkalastelu on edelleen yleinen tapa päästä verkkoon. Varmista odottamattomat pyynnöt erillisen kanavan kautta.
  6. Rajoita sitä, mitä tallennat ja jaat. Tiedot, joita et enää tarvitse, ovat tietoja, joita ei voi varastaa. Poista vanhat tiedostot ja sulje käyttämättömät tilit.
  7. Suojaa arkaluontoiset viestinnät. Käytä päästä päähän salattua viestintää yksityisiin keskusteluihin ja maineikasta VPN:ää epäluotetuissa verkoissa, kuten julkisessa Wi-Fi:ssä. VPN ei pysäytä kiristysohjelmia, mutta se vähentää altistumista yhteyden urkinnalle.

Yhteenveto

Tässä tutkinnassa tunnistettu Qilin-kiristysohjelman ylläpitäjä on merkittävä kehitysaskel, mutta raportointi on edelleen niukkaa ja käytännön vaikutus uhreihin rajallinen. Kiristysohjelmakiristys riippuu varastetuista tiedoista, heikoista käyttöoikeuksien valvonnasta ja valmistautumattomista kohteista, ja nämä olosuhteet säilyvät riippumatta siitä, kuka tietyn brändin takana on.

Käytä tätä hetkeä oman ympäristösi vahvistamiseen: tee offline-varmuuskopiot, ota MFA käyttöön keskeisillä tileilläsi ja siirrä yksityiset keskustelut salattuihin kanaviin. Saadaksesi toisen harvinaisen katsauksen siihen, miten kiristysohjelma-affiliatit toimivat, lue juttumme SOCRadarin löydöstä avoimesta palvelimesta, joka liittyy INC- ja The Gentlemen -hyökkäyksiin, ja palaa tänne päivitysten varalta, jos Qilin-attribuutio vahvistetaan tai kyseenalaistetaan.