Novi profil prijetnje iz Threat Radara ponovno stavlja Qilin u središte pozornosti. Poznat i kao Agenda, Qilin je rusko govoreća ransomware-as-a-service (RaaS) operacija koja je aktivna od 2022. i izrasla je u jednu od najplodnijih ransomware grupa. Profil pokriva tri dijela njegove taktike: napade na ESXi poslužitelje, mrežu suradnika i dvostruku iznudu. Zajedno, Qilin ransomware ESXi napadi dvostrukom iznudom pokazuju kako jedan kompromitirani host za virtualizaciju može postati i masovni prekid rada i curenje podataka.
Javni sažetak profila je kratak, pa se ovaj post drži onoga što navodi i općenite mehanike na koju upućuje.
Kako funkcionira Qilin ransomware ESXi dvostruka iznuda
Dvostruka iznuda znači da napadači primjenjuju dvije vrste pritiska umjesto jedne. Prvo, enkriptiraju sustave tako da žrtva ne može poslovati. Drugo, kradu podatke i prijete da će ih objaviti na stranici za curenje ako otkupnina ne bude plaćena. Taj drugi korak mijenja računicu za žrtve. Čak i organizacija s dobrim sigurnosnim kopijama može obnoviti svoje sustave i još uvijek se suočiti s mogućnošću da osjetljive datoteke postanu javne.
Za dublji pogled na ovaj model, pogledajte naš raniji objašnjivač o Qilinovoj strategiji dvostruke iznude.
Zašto su ESXi i poslužitelji za virtualizaciju glavne mete
ESXi je hipervizor, softver koji omogućuje jednom fizičkom poslužitelju da pokreće mnogo virtualnih strojeva. Ta konsolidacija je učinkovita za administratore, i upravo to čini ESXi privlačnim ransomware operaterima. Umjesto enkriptiranja jednog radnog računala po jednog, napadač koji dosegne hipervizor može srušiti mnogo poslužitelja odjednom.
Tako jedan kompromitirani host postaje masovni prekid rada. E-pošta, mrežni dijeljeni resursi, baze podataka i poslovne aplikacije mogu svi živjeti na virtualnim strojevima koji se nalaze na istom hostu. Enkriptirajte virtualne diskove i sve na njima prestaje raditi. Budući da se isti pristup koji omogućuje enkriptiranje često može iskoristiti za prvo kopiranje podataka, prekid rada i prijetnja curenjem obično dolaze zajedno.
To je važno i izvan velikih poduzeća. Male tvrtke, škole, klinike i pružatelji upravljanih usluga često pokreću nekolicinu hostova za virtualizaciju koji nose njihovo cijelo poslovanje, često s ograničenim sigurnosnim osobljem koje ih nadzire.
Kako mreža suradnika širi Qilin napade
Qilin djeluje kao ransomware-as-a-service. Osnovna grupa razvija zlonamjerni softver i prateću infrastrukturu, dok suradnici provode upade i dijele zaradu. To snižava razinu potrebnih vještina za napadače i omogućuje operaciji da se skalira daleko iznad onoga što bi jedna ekipa mogla postići. Naš objašnjivač o tome kako ransomware-as-a-service pretvara hakiranje u posao razlaže taj ekonomski model.
Za branitelje, praktična posljedica je da nijedan pojedinačni obrazac napada ne definira Qilin. Različiti suradnici koriste različite načine ulaska, bilo ukradene vjerodajnice, izložen daljinski pristup ili nezakrpljeni softver. Rubni uređaji i alati za upravljanje ponavljajuća su briga u ransomware aktivnostima općenito; obradili smo jedan primjer gdje je kritična ranjivost Cisco FMC-a povezana s Qilin aktivnošću. Zajednička nit je da napadači idu na sve što je izloženo i sporo se zakrpa.
Obrane: što to znači za vas
Većina čitatelja ne pokreće ESXi klastere, ali lekcije vrijede na svakoj razini. Cilj je učiniti jednu pogrešku preživljivom.
Ako pokrećete virtualizaciju ili poslužitelje:
- Držite sučelja za upravljanje podalje od otvorenog interneta. Hipervizor i administratorske konzole trebaju biti dostupne samo kroz zaštićen, ograničen put.
- Zakrpajte promptno. Dajte prioritet sustavima izloženima internetu i softveru za upravljanje.
- Segmentirajte svoju mrežu. Držite upravljanje hipervizorom, sigurnosne kopije i svakodnevne korisničke uređaje na odvojenim segmentima kako pristup jednom ne bi predao sva tri.
- Zaštitite svoje sigurnosne kopije. Držite barem jednu kopiju izvan mreže ili nepromjenjivu i pobrinite se da vjerodajnice koje upravljaju produkcijom ne mogu također izbrisati sigurnosne kopije.
- Koristite višefaktorsku autentifikaciju na daljinskom pristupu i administratorskim računima.
Ako ste pojedinac ili mala organizacija:
- Slijedite ideju 3-2-1. Držite više kopija važnih podataka, na različitim medijima, s jednom pohranjenom izvan mreže.
- Koristite jedinstvene lozinke i uključite MFA kako jedna ukradena vjerodajnica ne bi otvorila sve.
- Poznajte svoje dobavljače. Ako pružatelj usluga drži vaše podatke ili upravlja vašim sustavima, pitajte kako štite hostove za virtualizaciju i sigurnosne kopije.
Naš vodič za zaštitu od ransomwarea za kućne korisnike detaljnije pokriva osnove na razini kućanstva.
Ako se vaši podaci pojave na stranici za curenje
Pronalaženje svog imena ili podataka vaše organizacije na stranici za curenje je stresno, ali nekoliko koraka pomaže. Potvrdite što je zapravo izloženo prije nego što donesete zaključke. Promijenite lozinke i opozovite sesije za sve račune koji bi mogli biti pogođeni. Obavijestite osobe čiji su podaci bili uključeni i provjerite primjenjuju li se na vas pravna pravila ili pravila o regulatornom obavještavanju. Uključite stručnjake za odgovor na incidente ako su sustavi pogođeni i sačuvajte zapisnike umjesto brisanja strojeva u žurbi. Procureli podaci ne mogu se vratiti, pa je prioritet smanjiti što napadači mogu učiniti s njima, poput krađe identiteta, prijevare ili ponovne upotrebe vjerodajnica.
Ključni zaključci
Model Qilin ransomware ESXi dvostruke iznude funkcionira jer gomila poluge: jedno uporište može značiti rašireno enkriptiranje i javno curenje podataka. Ne možete kontrolirati što suradnici pokušavaju, ali možete kontrolirati koliku štetu prouzroči jedan upad. Pregledajte svoje sigurnosne kopije ovaj tjedan i potvrdite da je jedna kopija izvan mreže. Provjerite jesu li vaši sustavi zakrpani, jesu li alati za upravljanje izloženi i je li vaša mreža segmentirana. Za više konteksta, pročitajte naš objašnjivač Qilinove dvostruke iznude i vodič za zaštitu od ransomwarea za kućne korisnike, zatim prođite kroz osnove prije nego što ih napadač testira umjesto vas.
