A Threat Radar új fenyegetésprofilja ismét reflektorfénybe állítja a Qilint. Agenda néven is ismert, a Qilin egy orosz nyelvű ransomware-as-a-service (RaaS) művelet, amely 2022 óta aktív, és az egyik legtermékenyebb zsarolóvírus-csoporttá nőtte ki magát. A profil a játékkönyve három elemét tárgyalja: az ESXi szerverek elleni támadásokat, a partnerek hálózatát és a kettős zsarolást. A Qilin zsarolóvírus ESXi kettős zsarolási támadásai együtt mutatják meg, hogyan válhat egyetlen kompromittált virtualizációs hoszt egyszerre tömeges kieséssé és adatszivárgássá.

A profil nyilvános összefoglalója rövid, ezért ez a bejegyzés ahhoz tartja magát, amit megállapít, és az általa jelzett általános mechanikához.

Hogyan működik a Qilin zsarolóvírus ESXi kettős zsarolás

A kettős zsarolás azt jelenti, hogy a támadók kétféle nyomást gyakorolnak egy helyett. Először titkosítják a rendszereket, hogy az áldozat ne tudjon működni. Másodszor adatokat lopnak, és azzal fenyegetőznek, hogy közzéteszik azokat egy szivárgási oldalon, ha a váltságdíjat nem fizetik meg. Ez a második lépés megváltoztatja az áldozatok számításait. Még egy szilárd biztonsági mentésekkel rendelkező szervezet is helyreállíthatja rendszereit, és mégis szembesülhet azzal a kilátással, hogy érzékeny fájlok nyilvánosságra kerülnek.

A modell mélyebb áttekintéséhez lásd korábbi magyarázónkat a Qilin kettős zsarolási stratégiájáról.

Miért elsődleges célpontok az ESXi és a virtualizációs szerverek

Az ESXi egy hypervisor, az a szoftver, amely lehetővé teszi, hogy egyetlen fizikai szerver sok virtuális gépet futtasson. Ez a konszolidáció hatékony a rendszergazdák számára, és ez teszi az ESXi-t vonzóvá a zsarolóvírus-kezelők számára is. Ahelyett, hogy egyszerre egy munkaállomást titkosítanának, a hypervisorhoz eljutó támadó egyszerre sok szervert vihet le.

Így válik egyetlen kompromittált hoszt tömeges kieséssé. Az e-mail, a fájlmegosztások, az adatbázisok és az üzleti alkalmazások mind olyan virtuális gépeken élhetnek, amelyek ugyanazon a hoszton találhatók. Titkosítsd a virtuális lemezeket, és minden, ami rajtuk van, leáll. Mivel ugyanaz a hozzáférés, amely a titkosítást lehetővé teszi, gyakran használható az adatok előzetes kimentésére is, a kiesés és a szivárgási fenyegetés általában együtt érkezik.

Ez a nagyvállalatokon túl is számít. Kisvállalkozások, iskolák, klinikák és felügyelt szolgáltatók gyakran néhány virtualizációs hosztot üzemeltetnek, amelyek a teljes működésüket hordozzák, gyakran korlátozott biztonsági személyzettel, amely figyeli őket.

Hogyan terjeszti a Qilin támadásokat a partnerhálózat

A Qilin ransomware-as-a-service-ként működik. A magcsoport fejleszti a rosszindulatú programot és a támogató infrastruktúrát, míg a partnerek végrehajtják a behatolásokat és megosztják a bevételt. Ez csökkenti a támadók készségbeli belépési korlátját, és lehetővé teszi a művelet számára, hogy messze túlnőjön azon, amit egyetlen csapat kezelni tudna. Magyarázónk arról, hogyan változtatja a ransomware-as-a-service a hackelést üzletté, lebontja ezt a gazdasági modellt.

A védekezők számára a gyakorlati következmény az, hogy egyetlen támadási minta sem határozza meg a Qilint. A különböző partnerek különböző módokon jutnak be, legyen szó ellopott hitelesítő adatokról, nyitott távoli hozzáférésről vagy javítatlan szoftverről. Az edge-eszközök és a felügyeleti eszközök visszatérő aggodalmat jelentenek a zsarolóvírus-tevékenységben általában; lefedtünk egy példát, ahol egy kritikus Cisco FMC hibát Qilin-tevékenységhez kapcsoltak. A közös szál az, hogy a támadók azt választják, ami nyitott és lassan javított.

Védekezés: mit jelent ez számodra

A legtöbb olvasó nem üzemeltet ESXi klasztereket, de a tanulságok minden méretben érvényesek. A cél az, hogy egyetlen hiba túlélhető legyen.

Ha virtualizációt vagy szervereket üzemeltetsz:

  • Tartsd a felügyeleti interfészeket a nyílt internettől távol. A hypervisor- és adminisztrációs konzolok csak védett, korlátozott útvonalon legyenek elérhetők.
  • Javíts azonnal. Részesítsd előnyben az internet felé néző rendszereket és a felügyeleti szoftvert.
  • Szegmentáld a hálózatodat. Tartsd a hypervisor felügyeletét, a biztonsági mentéseket és a mindennapi felhasználói eszközöket külön szegmenseken, hogy az egyikhez való hozzáférés ne adjon át mindhármat.
  • Védd a biztonsági mentéseidet. Tarts legalább egy példányt offline vagy megváltoztathatatlanul, és győződj meg arról, hogy a termelést kezelő hitelesítő adatok nem tudják törölni a biztonsági mentéseket.
  • Használj többtényezős hitelesítést a távoli hozzáférésen és az adminisztrátori fiókokon.

Ha magánszemély vagy kis szervezet vagy:

  • Kövesd a 3-2-1 elvet. Tartson több példányt a fontos adatokról, különböző adathordozókon, egyet offline tárolva.
  • Használjon egyedi jelszavakat, és kapcsolja be az MFA-t, hogy egyetlen ellopott hitelesítő adat ne nyisson meg mindent.
  • Ismerje a beszállítóit. Ha egy szolgáltató tartja az adatait vagy kezeli a rendszereit, kérdezze meg, hogyan védi a virtualizációs hosztokat és a biztonsági mentéseket.

Útmutatónk a otthoni felhasználók zsarolóvírus-védelméről részletesebben tárgyalja a háztartási szintű alapokat.

Ha az adataid megjelennek egy szivárgási oldalon

Stresszes dolog megtalálni a nevét vagy szervezete adatait egy szivárgási oldalon, de néhány lépés segít. Következtetések levonása előtt erősítsd meg, mi került valójában nyilvánosságra. Változtass jelszavakat, és vonj vissza munkameneteket minden érintett fióknál. Értesítsd azokat, akiknek az információi érintettek, és ellenőrizd, hogy vonatkoznak-e rád jogi vagy szabályozási értesítési szabályok. Vonj be incidenskezelési szakembereket, ha rendszerek érintettek, és őrizd meg a naplókat ahelyett, hogy sietve törölnéd a gépeket. A kiszivárgott adatokat nem lehet visszavenni, ezért a prioritás annak csökkentése, amit a támadók tehetnek velük, például adathalászat, csalás vagy hitelesítő adatok újrafelhasználása.

Kulcsfontosságú tanulságok

A Qilin zsarolóvírus ESXi kettős zsarolási modell azért működik, mert tőkeáttételt halmoz: egyetlen támaszpont jelenthet széles körű titkosítást és nyilvános adatszivárgást. Nem irányíthatod, mit próbálnak a partnerek, de irányíthatod, mekkora kárt okoz egyetlen betörés. Tekintsd át a biztonsági mentéseidet ezen a héten, és erősítsd meg, hogy egy példány offline. Ellenőrizd, hogy rendszereid javítottak-e, a felügyeleti eszközök nincsenek-e kitéve, és a hálózatod szegmentált-e. További háttérért olvasd el a Qilin kettős zsarolási magyarázónkat és az otthoni felhasználók zsarolóvírus-védelmi útmutatóját, majd dolgozd át az alapokat, mielőtt egy támadó tesztelné őket helyetted.