Un nuovo profilo di minaccia di Threat Radar riporta Qilin sotto i riflettori. Noto anche come Agenda, Qilin è un'operazione ransomware-as-a-service (RaaS) di lingua russa attiva dal 2022 e diventata uno dei gruppi ransomware più prolifici. Il profilo copre tre elementi del suo modus operandi: gli attacchi ai server ESXi, una rete di affiliati e la doppia estorsione. Insieme, gli attacchi di doppia estorsione del ransomware Qilin su ESXi mostrano come un singolo host di virtualizzazione compromesso possa trasformarsi sia in un'interruzione di massa che in una fuga di dati.

Il riassunto pubblico del profilo è breve, quindi questo articolo si attiene a quanto dichiarato e ai meccanismi generali che indica.

Come funziona la doppia estorsione del ransomware Qilin su ESXi

La doppia estorsione significa che gli attaccanti applicano due tipi di pressione invece di uno. Primo, criptano i sistemi in modo che la vittima non possa operare. Secondo, rubano i dati e minacciano di pubblicarli su un sito di leak se il riscatto non viene pagato. Quel secondo passo cambia i calcoli per le vittime. Anche un'organizzazione con backup solidi può ripristinare i propri sistemi e affrontare comunque la prospettiva che file sensibili diventino pubblici.

Per uno sguardo più approfondito a questo modello, consulta il nostro precedente approfondimento sulla strategia di doppia estorsione di Qilin.

Perché ESXi e i server di virtualizzazione sono obiettivi privilegiati

ESXi è un hypervisor, il software che consente a un singolo server fisico di eseguire molte macchine virtuali. Questa consolidazione è efficiente per gli amministratori, ed è anche ciò che rende ESXi attraente per gli operatori ransomware. Invece di criptare una workstation alla volta, un attaccante che raggiunge l'hypervisor può abbattere molti server contemporaneamente.

È così che un singolo host compromesso diventa un'interruzione di massa. Email, condivisioni file, database e applicazioni aziendali possono tutti risiedere su macchine virtuali sullo stesso host. Cripta i dischi virtuali e tutto ciò che vi sta sopra si ferma. Poiché lo stesso accesso che consente la crittografia può spesso essere usato per copiare i dati prima, l'interruzione e la minaccia di fuga di dati tendono ad arrivare insieme.

Questo conta al di là delle grandi imprese. Piccole aziende, scuole, cliniche e provider di servizi gestiti spesso gestiscono una manciata di host di virtualizzazione che portano l'intera loro operatività, frequentemente con personale di sicurezza limitato a sorvegliarli.

Come la rete di affiliati diffonde gli attacchi Qilin

Qilin opera come ransomware-as-a-service. Il gruppo centrale sviluppa il malware e l'infrastruttura di supporto, mentre gli affiliati eseguono le intrusioni e condividono i proventi. Questo abbassa la barriera di competenze per gli attaccanti e consente all'operazione di scalare ben oltre ciò che una singola squadra potrebbe gestire. Il nostro approfondimento su come il ransomware-as-a-service trasforma l'hacking in un business analizza quel modello economico.

Per i difensori, la conseguenza pratica è che nessun singolo schema di attacco definisce Qilin. Diversi affiliati usano modi diversi di entrare, che si tratti di credenziali rubate, accesso remoto esposto o software non aggiornato. I dispositivi edge e gli strumenti di gestione sono una preoccupazione ricorrente nell'attività ransomware in generale; abbiamo trattato un esempio in cui una vulnerabilità critica di Cisco FMC è stata collegata all'attività di Qilin. Il filo conduttore è che gli attaccanti puntano a tutto ciò che è esposto e lento da correggere.

Difese: cosa significa per te

La maggior parte dei lettori non gestisce cluster ESXi, ma le lezioni si applicano a ogni scala. L'obiettivo è rendere un singolo errore sopravvivibile.

Se gestisci virtualizzazione o server:

  • Tieni le interfacce di gestione fuori da internet aperto. Le console dell'hypervisor e di amministrazione dovrebbero essere raggiungibili solo attraverso un percorso protetto e limitato.
  • Applica le patch tempestivamente. Dai priorità ai sistemi esposti a internet e al software di gestione.
  • Segmenta la tua rete. Mantieni la gestione dell'hypervisor, i backup e i dispositivi utente quotidiani su segmenti separati, così l'accesso a uno non consegna tutti e tre.
  • Proteggi i tuoi backup. Mantieni almeno una copia offline o immutabile, e assicurati che le credenziali che gestiscono la produzione non possano anche eliminare i backup.
  • Usa l'autenticazione a più fattori sull'accesso remoto e sugli account amministratore.

Se sei un individuo o una piccola organizzazione:

  • Segui l'idea 3-2-1. Mantieni più copie dei dati importanti, su supporti diversi, con una conservata offline.
  • Usa password uniche e attiva l'MFA così una singola credenziale rubata non apre tutto.
  • Conosci i tuoi fornitori. Se un fornitore di servizi detiene i tuoi dati o gestisce i tuoi sistemi, chiedi come protegge gli host di virtualizzazione e i backup.

La nostra guida alla protezione dal ransomware per utenti domestici copre le basi a livello domestico in maggior dettaglio.

Se i tuoi dati compaiono su un sito di leak

Trovare il tuo nome o i dati della tua organizzazione su un sito di leak è stressante, ma alcuni passi aiutano. Conferma cosa è stato effettivamente esposto prima di trarre conclusioni. Cambia le password e revoca le sessioni per qualsiasi account che potrebbe essere interessato. Avvisa le persone i cui dati sono stati coinvolti, e verifica se si applicano a te norme di notifica legali o regolatorie. Coinvolgi professionisti della risposta agli incidenti se i sistemi sono interessati, e preserva i log invece di cancellare le macchine di fretta. I dati trapelati non possono essere recuperati, quindi la priorità è ridurre ciò che gli attaccanti possono farne, come phishing, frodi o riutilizzo di credenziali.

Punti chiave

Il modello di doppia estorsione del ransomware Qilin su ESXi funziona perché impila la leva: un punto d'appoggio può significare crittografia diffusa e una fuga di dati pubblica. Non puoi controllare cosa tentano gli affiliati, ma puoi controllare quanto danno causa una singola intrusione. Rivedi i tuoi backup questa settimana e conferma che una copia sia offline. Verifica che i tuoi sistemi siano aggiornati, che gli strumenti di gestione non siano esposti e che la tua rete sia segmentata. Per maggiori informazioni, leggi il nostro approfondimento sulla doppia estorsione di Qilin e la guida alla protezione dal ransomware per utenti domestici, poi affronta le basi prima che un attaccante le metta alla prova per te.