Apa nama lain dari ransomware Qilin?

Qilin juga dikenal sebagai Agenda. Ini adalah operasi ransomware-as-a-service berbahasa Rusia yang aktif sejak 2022.

Apa yang dimaksud dengan double extortion dalam serangan Qilin?

Penyerang pertama-tama mengenkripsi sistem sehingga korban tidak dapat beroperasi, lalu mencuri data dan mengancam akan mempublikasikannya di situs kebocoran jika tebusan tidak dibayar.

Bagaimana jaringan afiliasi Qilin membantu menyebarkan serangan?

Qilin berjalan sebagai ransomware-as-a-service, di mana kelompok inti mengembangkan malware dan infrastruktur sementara afiliasi melakukan intrusi dan berbagi hasilnya, menurunkan hambatan keterampilan dan menskalakan operasi.

Apakah afiliasi Qilin yang berbeda menggunakan metode serangan yang sama?

Tidak, afiliasi yang berbeda menggunakan cara masuk yang berbeda, seperti kredensial curian, akses jarak jauh yang terekspos, atau perangkat lunak yang tidak ditambal.

Ransomware Qilin ESXi Double Extortion: Profil Baru

Q: Mengapa ESXi dan server virtualisasi menjadi target utama bagi Qilin?

Penyerang yang mencapai hypervisor dapat menjatuhkan banyak server sekaligus, karena email, berbagi file, basis data, dan aplikasi mungkin semuanya berada pada mesin virtual di host yang sama.

Profil ancaman baru dari Threat Radar menempatkan Qilin kembali ke sorotan. Juga dikenal sebagai Agenda, Qilin adalah operasi ransomware-as-a-service (RaaS) berbahasa Rusia yang telah aktif sejak 2022 dan telah berkembang menjadi salah satu kelompok ransomware paling produktif. Profil tersebut mencakup tiga bagian dari playbook-nya: serangan terhadap server ESXi, jaringan afiliasi, dan double extortion. Secara bersama-sama, serangan double extortion ESXi ransomware Qilin menunjukkan bagaimana satu host virtualisasi yang terkompromi dapat menjadi pemadaman massal sekaligus kebocoran data.

Ringkasan publik profil tersebut singkat, jadi postingan ini berpegang pada apa yang dinyatakannya dan mekanisme umum yang ditunjuknya.

Bagaimana ransomware Qilin ESXi double extortion bekerja

Double extortion berarti penyerang menerapkan dua jenis tekanan alih-alih satu. Pertama, mereka mengenkripsi sistem sehingga korban tidak dapat beroperasi. Kedua, mereka mencuri data dan mengancam akan mempublikasikannya di situs kebocoran jika tebusan tidak dibayar. Langkah kedua itu mengubah perhitungan bagi korban. Bahkan organisasi dengan cadangan yang solid dapat memulihkan sistemnya dan tetap menghadapi prospek file sensitif menjadi publik.

Untuk melihat lebih dalam model ini, lihat penjelasan kami sebelumnya tentang strategi double-extortion Qilin.

Mengapa ESXi dan server virtualisasi menjadi target utama

ESXi adalah hypervisor, perangkat lunak yang memungkinkan satu server fisik menjalankan banyak mesin virtual. Konsolidasi itu efisien bagi administrator, dan itulah yang membuat ESXi menarik bagi operator ransomware. Alih-alih mengenkripsi satu workstation pada satu waktu, penyerang yang mencapai hypervisor dapat menjatuhkan banyak server sekaligus.

Beginilah cara satu host yang terkompromi menjadi pemadaman massal. Email, berbagi file, basis data, dan aplikasi bisnis mungkin semuanya berada pada mesin virtual yang berada di host yang sama. Enkripsi disk virtual dan segala sesuatu di atasnya berhenti. Karena akses yang sama yang memungkinkan enkripsi sering kali dapat digunakan untuk menyalin data terlebih dahulu, pemadaman dan ancaman kebocoran cenderung datang bersamaan.

Ini penting di luar perusahaan besar. Usaha kecil, sekolah, klinik, dan penyedia layanan terkelola sering menjalankan beberapa host virtualisasi yang menopang seluruh operasi mereka, sering kali dengan staf keamanan terbatas yang mengawasinya.

Bagaimana jaringan afiliasi menyebarkan serangan Qilin

Qilin berjalan sebagai ransomware-as-a-service. Kelompok inti mengembangkan malware dan infrastruktur pendukung, sementara afiliasi melakukan intrusi dan berbagi hasilnya. Ini menurunkan hambatan keterampilan bagi penyerang dan memungkinkan operasi berkembang jauh melampaui apa yang bisa dikelola satu kru tunggal. Penjelasan kami tentang bagaimana ransomware-as-a-service mengubah peretasan menjadi bisnis menguraikan model ekonomi tersebut.

Bagi para defender, konsekuensi praktisnya adalah tidak ada satu pola serangan pun yang mendefinisikan Qilin. Afiliasi yang berbeda menggunakan cara masuk yang berbeda, baik kredensial curian, akses jarak jauh yang terekspos, atau perangkat lunak yang tidak ditambal. Perangkat edge dan alat manajemen menjadi kekhawatiran berulang di seluruh aktivitas ransomware secara umum; kami membahas satu contoh di mana cacat kritis Cisco FMC dikaitkan dengan aktivitas Qilin. Benang merahnya adalah penyerang mengejar apa pun yang terekspos dan lambat ditambal.

Pertahanan: apa artinya bagi Anda

Sebagian besar pembaca tidak menjalankan klaster ESXi, tetapi pelajarannya berlaku di setiap skala. Tujuannya adalah membuat satu kesalahan tetap dapat bertahan.

Jika Anda menjalankan virtualisasi atau server:

Jauhkan antarmuka manajemen dari internet terbuka. Konsol hypervisor dan administrasi seharusnya hanya dapat dijangkau melalui jalur yang terlindungi dan terbatas.
Tambal dengan segera. Prioritaskan sistem yang menghadap internet dan perangkat lunak manajemen.
Segmentasikan jaringan Anda. Jauhkan manajemen hypervisor, cadangan, dan perangkat pengguna sehari-hari pada segmen terpisah sehingga akses ke satu segmen tidak menyerahkan ketiganya.
Lindungi cadangan Anda. Simpan setidaknya satu salinan offline atau immutable, dan pastikan kredensial yang mengelola produksi tidak juga dapat menghapus cadangan.
Gunakan autentikasi multi-faktor pada akses jarak jauh dan akun administrator.

Jika Anda seorang individu atau organisasi kecil:

Ikuti konsep 3-2-1. Simpan beberapa salinan data penting, pada media berbeda, dengan satu disimpan offline.
Gunakan kata sandi unik dan aktifkan MFA sehingga satu kredensial yang dicuri tidak membuka semuanya.
Kenali vendor Anda. Jika penyedia layanan menyimpan data Anda atau mengelola sistem Anda, tanyakan bagaimana mereka melindungi host virtualisasi dan cadangan.

Panduan kami untuk perlindungan ransomware bagi pengguna rumahan membahas dasar-dasar tingkat rumah tangga secara lebih rinci.

Jika data Anda muncul di situs kebocoran

Menemukan nama Anda atau data organisasi Anda di situs kebocoran memang menegangkan, tetapi beberapa langkah membantu. Konfirmasi apa yang sebenarnya terekspos sebelum menarik kesimpulan. Ubah kata sandi dan cabut sesi untuk akun apa pun yang mungkin terdampak. Beri tahu orang-orang yang informasinya terlibat, dan periksa apakah aturan pemberitahuan hukum atau regulasi berlaku bagi Anda. Libatkan profesional respons insiden jika sistem terdampak, dan pertahankan log alih-alih menghapus mesin secara tergesa-gesa. Data yang bocor tidak dapat ditarik kembali, jadi prioritasnya adalah mengurangi apa yang dapat dilakukan penyerang dengannya, seperti phishing, penipuan, atau penggunaan ulang kredensial.

Poin-poin utama

Model double extortion ESXi ransomware Qilin bekerja karena menumpuk daya ungkit: satu pijakan dapat berarti enkripsi luas dan kebocoran data publik. Anda tidak dapat mengendalikan apa yang dicoba afiliasi, tetapi Anda dapat mengendalikan seberapa besar kerusakan yang disebabkan satu pembobolan. Tinjau cadangan Anda minggu ini dan pastikan satu salinan offline. Periksa bahwa sistem Anda telah ditambal, bahwa alat manajemen tidak terekspos, dan bahwa jaringan Anda tersegmentasi. Untuk latar belakang lebih lanjut, baca penjelasan double-extortion Qilin dan panduan perlindungan ransomware pengguna rumahan kami, lalu kerjakan dasar-dasarnya sebelum penyerang mengujinya untuk Anda.