Threat Radarin uusi uhkaprofiili nostaa Qilinin jälleen valokeilaan. Myös nimellä Agenda tunnettu Qilin on venäjänkielinen ransomware-as-a-service (RaaS) -operaatio, joka on ollut aktiivinen vuodesta 2022 ja kasvanut yhdeksi tuotteliaimmista kiristysohjelmaryhmistä. Profiili kattaa kolme sen toimintamallin osaa: iskut ESXi-palvelimiin, kumppaniverkoston ja kaksoiskiristyksen. Yhdessä Qilin-kiristysohjelman ESXi-kaksoiskiristyshyökkäykset osoittavat, miten yksi vaarantunut virtualisointi-isäntä voi muuttua sekä laajamittaiseksi käyttökatkokseksi että tietovuodoksi.

Profiilin julkinen yhteenveto on lyhyt, joten tämä kirjoitus pitäytyy siinä, mitä se kertoo, ja yleisissä mekanismeissa, joihin se viittaa.

Miten Qilin-kiristysohjelman ESXi-kaksoiskiristys toimii

Kaksoiskiristys tarkoittaa, että hyökkääjät kohdistavat uhriin kahdenlaista painostusta yhden sijaan. Ensinnäkin he salaavat järjestelmät, niin että uhri ei voi toimia. Toiseksi he varastavat tietoja ja uhkaavat julkaista ne vuotosivustolla, jos lunnaita ei makseta. Tämä toinen vaihe muuttaa uhrin tilannetta. Jopa organisaatio, jolla on vankat varmuuskopiot, voi palauttaa järjestelmänsä ja joutua silti kohtaamaan arkaluonteisten tiedostojen julkistamisen.

Syvemmän katsauksen tähän malliin löydät aiemmasta selityksestämme Qilinin kaksoiskiristysstrategiasta.

Miksi ESXi ja virtualisointipalvelimet ovat ensisijaisia kohteita

ESXi on hypervisor, ohjelmisto, jonka avulla yksi fyysinen palvelin voi ajaa monia virtuaalikoneita. Tämä keskittäminen on tehokasta ylläpitäjille, ja juuri se tekee ESXi:stä houkuttelevan kiristysohjelmien operaattoreille. Sen sijaan, että salattaisiin yksi työasema kerrallaan, hyökkääjä, joka pääsee käsiksi hypervisoriin, voi kaataa monta palvelinta kerralla.

Näin yhdestä vaarantuneesta isännästä tulee laajamittainen käyttökatkos. Sähköposti, tiedostojakot, tietokannat ja liiketoimintasovellukset voivat kaikki sijaita virtuaalikoneilla samalla isännällä. Salaa virtuaalilevyt, niin kaikki niiden päällä oleva pysähtyy. Koska samaa pääsyä, joka mahdollistaa salauksen, voidaan usein käyttää myös tietojen kopioimiseen ensin ulos, käyttökatkos ja vuotouhka saapuvat yleensä yhdessä.

Tämä koskee muutakin kuin suuria yrityksiä. Pienyritykset, koulut, klinikat ja hallinnoidut palveluntarjoajat ajavat usein kourallista virtualisointi-isäntiä, jotka kantavat niiden koko toiminnan, usein vain vähäisellä turvallisuushenkilöstöllä niitä valvomassa.

Miten kumppaniverkosto levittää Qilin-hyökkäyksiä

Qilin toimii ransomware-as-a-service-mallilla. Ydinryhmä kehittää haittaohjelman ja tukevan infrastruktuurin, kun taas kumppanit toteuttavat tunkeutumiset ja jakavat tuotot. Tämä madaltaa hyökkääjien osaamisvaatimuksia ja antaa operaation skaalautua paljon pidemmälle kuin yksittäinen ryhmä pystyisi. Selityksemme siitä, miten ransomware-as-a-service muuttaa hakkerointia liiketoiminnaksi, purkaa tätä taloudellista mallia.

Puolustajille käytännön seuraus on, että mikään yksittäinen hyökkäyskuvio ei määrittele Qilinia. Erilaiset kumppanit käyttävät erilaisia sisääntulotapoja, olivatpa ne varastettuja tunnistetietoja, altistettua etäkäyttöä tai päivittämättömiä ohjelmistoja. Verkkolaitteet ja hallintatyökalut ovat toistuva huolenaihe kiristysohjelmatoiminnassa yleisesti; käsittelimme yhtä esimerkkiä, jossa kriittinen Cisco FMC -haavoittuvuus yhdistettiin Qilin-toimintaan. Yhteinen tekijä on, että hyökkääjät menevät sen kimppuun, mikä on altistettua ja hitaasti päivitettävää.

Puolustus: mitä tämä tarkoittaa sinulle

Useimmat lukijat eivät aja ESXi-klustereita, mutta opit pätevät kaikilla tasoilla. Tavoitteena on tehdä yhdestä virheestä selviydyttävä.

Jos ajat virtualisointia tai palvelimia:

  • Pidä hallintaliittymät poissa avoimesta internetistä. Hypervisor- ja ylläpitokonsolien tulisi olla saavutettavissa vain suojatun, rajoitetun reitin kautta.
  • Päivitä viipymättä. Aseta etusijalle internetiin yhteydessä olevat järjestelmät ja hallintaohjelmistot.
  • Segmentoi verkkosi. Pidä hypervisor-hallinta, varmuuskopiot ja jokapäiväiset käyttäjälaitteet erillisissä segmenteissä, niin että pääsy yhteen ei luovuta kaikkia kolmea.
  • Suojaa varmuuskopiosi. Pidä vähintään yksi kopio offline-tilassa tai muuttumattomana ja varmista, että tuotannon hallintaan käytettävät tunnistetiedot eivät voi myöskään poistaa varmuuskopioita.
  • Käytä monivaiheista todennusta etäkäytössä ja ylläpitäjätileillä.

Jos olet yksityishenkilö tai pieni organisaatio:

  • Noudata 3-2-1-ajatusta. Pidä tärkeistä tiedoista useita kopioita eri tallennusvälineillä, joista yksi on tallennettu offline-tilaan.
  • Käytä yksilöllisiä salasanoja ja ota MFA käyttöön, niin että yksi varastettu tunnistetieto ei avaa kaikkea.
  • Tunne toimittajasi. Jos palveluntarjoaja säilyttää tietojasi tai hallinnoi järjestelmiäsi, kysy, miten he suojaavat virtualisointi-isäntiä ja varmuuskopioita.

Oppaamme kiristysohjelmasuojaukseen kotikäyttäjille kattaa kotitalouden perusteet yksityiskohtaisemmin.

Jos tietosi ilmestyvät vuotosivustolle

Nimesi tai organisaatiosi tietojen löytäminen vuotosivustolta on stressaavaa, mutta muutama askel auttaa. Varmista, mitä todella altistui, ennen kuin teet johtopäätöksiä. Vaihda salasanat ja peruuta istunnot kaikilta mahdollisesti vaikutuksen saaneilta tileiltä. Ilmoita henkilöille, joiden tietoja oli mukana, ja tarkista, soveltuvatko lakiin tai sääntelyyn perustuvat ilmoitusvelvollisuudet sinuun. Ota mukaan tietoturvahäiriöiden hallinnan ammattilaiset, jos järjestelmät ovat vaarantuneet, ja säilytä lokit sen sijaan että pyyhkisit koneet kiireessä. Vuotaneita tietoja ei voi saada takaisin, joten etusijalla on vähentää sitä, mitä hyökkääjät voivat niillä tehdä, kuten tietojenkalastelua, petoksia tai tunnistetietojen uudelleenkäyttöä.

Keskeiset opit

Qilin-kiristysohjelman ESXi-kaksoiskiristysmalli toimii, koska se kasaa vipuvoimaa: yksi jalansija voi tarkoittaa laajaa salausta ja julkista tietovuotoa. Et voi hallita sitä, mitä kumppanit yrittävät, mutta voit hallita sitä, kuinka paljon vahinkoa yksi murto aiheuttaa. Käy varmuuskopiosi läpi tällä viikolla ja varmista, että yksi kopio on offline-tilassa. Tarkista, että järjestelmäsi on päivitetty, että hallintatyökalut eivät ole altistettuja ja että verkkosi on segmentoitu. Lisätietoja varten lue Qilin-kaksoiskiristysselityksemme ja kotikäyttäjien kiristysohjelmasuojausopas ja käy sitten perusteet läpi ennen kuin hyökkääjä testaa ne puolestasi.