Un nouveau profil de menace publié par Threat Radar remet Qilin sous les projecteurs. Connu également sous le nom d'Agenda, Qilin est une opération de rançongiciel en tant que service (RaaS) russophone active depuis 2022 et devenue l'un des groupes de rançongiciels les plus prolifiques. Le profil couvre trois éléments de son mode opératoire : les attaques contre les serveurs ESXi, un réseau d'affiliés et la double extorsion. Ensemble, les attaques de double extorsion du rançongiciel Qilin sur ESXi montrent comment un seul hôte de virtualisation compromis peut à la fois provoquer une panne massive et une fuite de données.

Le résumé public du profil est court, cet article s'en tient donc à ce qu'il énonce et aux mécanismes généraux qu'il décrit.

Comment fonctionne la double extorsion du rançongiciel Qilin sur ESXi

La double extorsion signifie que les attaquants exercent deux types de pression au lieu d'un. Premièrement, ils chiffrent les systèmes afin que la victime ne puisse plus opérer. Deuxièmement, ils exfiltrent des données et menacent de les publier sur un site de fuite si la rançon n'est pas payée. Cette seconde étape change les calculs pour les victimes. Même une organisation disposant de sauvegardes solides peut restaurer ses systèmes et rester néanmoins confrontée à la perspective de voir des fichiers sensibles rendus publics.

Pour un examen plus approfondi de ce modèle, consultez notre explication précédente sur la stratégie de double extorsion de Qilin.

Pourquoi ESXi et les serveurs de virtualisation sont des cibles de choix

ESXi est un hyperviseur, le logiciel qui permet à un seul serveur physique de faire tourner de nombreuses machines virtuelles. Cette consolidation est efficace pour les administrateurs, et c'est aussi ce qui rend ESXi attractif pour les opérateurs de rançongiciels. Au lieu de chiffrer un poste de travail à la fois, un attaquant qui atteint l'hyperviseur peut mettre hors service de nombreux serveurs d'un coup.

C'est ainsi qu'un seul hôte compromis devient une panne massive. La messagerie, les partages de fichiers, les bases de données et les applications métier peuvent tous résider sur des machines virtuelles hébergées sur le même hôte. Chiffrez les disques virtuels et tout ce qui repose dessus s'arrête. Comme les mêmes accès qui permettent le chiffrement peuvent souvent servir à copier des données au préalable, la panne et la menace de fuite ont tendance à arriver ensemble.

Cela compte au-delà des grandes entreprises. Les petites entreprises, les écoles, les cliniques et les fournisseurs de services gérés exploitent souvent une poignée d'hôtes de virtualisation qui portent l'ensemble de leur activité, fréquemment avec des équipes de sécurité réduites pour les surveiller.

Comment le réseau d'affiliés propage les attaques Qilin

Qilin fonctionne en mode rançongiciel en tant que service. Le groupe central développe le malware et l'infrastructure de support, tandis que les affiliés mènent les intrusions et partagent les produits. Cela abaisse la barrière de compétences pour les attaquants et permet à l'opération de s'étendre bien au-delà de ce qu'une seule équipe pourrait gérer. Notre explication sur comment le rançongiciel en tant que service transforme le piratage en business détaille ce modèle économique.

Pour les défenseurs, la conséquence pratique est qu'aucun schéma d'attaque unique ne définit Qilin. Différents affiliés utilisent différents modes d'entrée, qu'il s'agisse d'identifiants volés, d'accès distants exposés ou de logiciels non corrigés. Les équipements de périphérie et les outils de gestion sont une préoccupation récurrente dans l'activité des rançongiciels en général ; nous avons couvert un exemple où une faille critique de Cisco FMC a été liée à l'activité de Qilin. Le fil conducteur est que les attaquants s'en prennent à tout ce qui est exposé et lent à corriger.

Défenses : ce que cela signifie pour vous

La plupart des lecteurs n'exploitent pas de clusters ESXi, mais les leçons s'appliquent à toutes les échelles. L'objectif est de rendre une seule erreur survivable.

Si vous exploitez de la virtualisation ou des serveurs :

  • Gardez les interfaces de gestion hors de l'internet ouvert. Les consoles d'hyperviseur et d'administration ne doivent être accessibles que par un chemin protégé et restreint.
  • Corrigez rapidement. Priorisez les systèmes exposés à internet et les logiciels de gestion.
  • Segmentez votre réseau. Gardez la gestion de l'hyperviseur, les sauvegardes et les appareils utilisateurs quotidiens sur des segments séparés, afin que l'accès à l'un ne donne pas accès aux trois.
  • Protégez vos sauvegardes. Conservez au moins une copie hors ligne ou immuable, et assurez-vous que les identifiants qui gèrent la production ne peuvent pas non plus supprimer les sauvegardes.
  • Utilisez l'authentification multifacteur sur les accès distants et les comptes administrateurs.

Si vous êtes un particulier ou une petite organisation :

  • Suivez le principe 3-2-1. Conservez plusieurs copies des données importantes, sur des supports différents, avec une copie stockée hors ligne.
  • Utilisez des mots de passe uniques et activez l'authentification multifacteur (MFA) afin qu'un seul identifiant volé n'ouvre pas tout.
  • Connaissez vos prestataires. Si un fournisseur de services détient vos données ou gère vos systèmes, demandez-lui comment il protège les hôtes de virtualisation et les sauvegardes.

Notre guide sur la protection contre les rançongiciels pour les particuliers couvre plus en détail les bases au niveau du foyer.

Si vos données apparaissent sur un site de fuite

Découvrir votre nom ou les données de votre organisation sur un site de fuite est stressant, mais quelques étapes aident. Confirmez ce qui a réellement été exposé avant de tirer des conclusions. Changez les mots de passe et révoquez les sessions de tout compte susceptible d'être affecté. Informez les personnes dont les informations ont été concernées et vérifiez si des règles de notification légales ou réglementaires s'appliquent à vous. Faites appel à des professionnels de la réponse aux incidents si des systèmes sont affectés, et préservez les journaux plutôt que d'effacer les machines dans la précipitation. Les données divulguées ne peuvent pas être récupérées, la priorité est donc de réduire ce que les attaquants peuvent en faire, comme l'hameçonnage, la fraude ou la réutilisation d'identifiants.

Points clés à retenir

Le modèle de double extorsion du rançongiciel Qilin sur ESXi fonctionne parce qu'il cumule les leviers : un seul point d'ancrage peut signifier un chiffrement généralisé et une fuite de données publique. Vous ne pouvez pas contrôler ce que les affiliés tentent, mais vous pouvez contrôler l'ampleur des dégâts causés par une seule intrusion. Examinez vos sauvegardes cette semaine et confirmez qu'une copie est hors ligne. Vérifiez que vos systèmes sont corrigés, que les outils de gestion ne sont pas exposés et que votre réseau est segmenté. Pour plus de contexte, lisez notre explication sur la double extorsion de Qilin et le guide de protection contre les rançongiciels pour les particuliers, puis passez en revue les bases avant qu'un attaquant ne les teste à votre place.