Un profilo di attore delle minacce appena pubblicato sta facendo luce su Qilin, un’operazione ransomware che ha costruito il suo business attorno a un modello di partnership e a una spietata strategia di doppia estorsione. Invece di lanciare attacchi in prima persona, Qilin fornisce agli affiliati gli strumenti ransomware e il supporto tecnico, trattenendo poi una percentuale del riscatto che gli affiliati riescono a estorcere alle vittime. È una struttura sempre più diffusa nel mondo dei ransomware e capire come funziona è il primo passo per proteggere i propri dati.
Come funziona il modello di affiliazione di Qilin
Qilin opera come fornitore di Ransomware-as-a-Service (RaaS). Invece di far eseguire ogni attacco a un unico gruppo, Qilin costruisce il software dannoso e l’infrastruttura di supporto, per poi cederlo in licenza ad affiliati che eseguono materialmente l’attacco informatico. Questi affiliati individuano gli obiettivi, ottengono l’accesso alle reti, distribuiscono il ransomware e, quando una vittima paga, dividono i profitti con Qilin.
Questa divisione del lavoro è ciò che rende le operazioni RaaS così persistenti e difficili da smantellare. Anche se le forze dell’ordine fermano un affiliato o smantellano un pezzo dell’infrastruttura, il gruppo centrale e il suo arsenale possono continuare a operare e nuovi affiliati possono subentrare per lanciare nuovi attacchi. Significa anche che il bacino di persone in grado di condurre un attacco in stile Qilin è più ampio di una tradizionale banda di hacker, perché gli affiliati non devono costruire un ransomware da zero: hanno solo bisogno di accesso a una rete e della volontà di usare lo strumento che viene loro fornito.
Il manuale della doppia estorsione
Ciò che distingue Qilin dai ransomware più vecchi e semplici è il suo approccio a doppia estorsione. In un attacco ransomware tradizionale, i file vengono cifrati e alla vittima viene chiesto di pagare per ottenere la chiave di decifratura. Qilin aggiunge un secondo livello di pressione: prima di cifrare i file della vittima, i suoi affiliati sottraggono silenziosamente dati sensibili dalla rete. Se la vittima si rifiuta di pagare, o anche dopo averlo fatto, gli attaccanti minacciano di pubblicare quei dati rubati o di venderli ad altri criminali.
Questa tattica alza enormemente la posta per le vittime. Anche le organizzazioni con solidi sistemi di backup, quelle che potrebbero ripristinare i file cifrati senza pagare un riscatto, devono comunque affrontare la minaccia di una fuga di dati dannosa. Proprio questa leva spiega perché la doppia estorsione sia diventata il copione predefinito in tutto l’ecosistema ransomware. Abbiamo visto dinamiche analoghe in altri incidenti recenti, tra cui il tentativo di ransomware ai danni di Ecopetrol che ha esposto migliaia di account e la rivendicazione di 700 GB di dati dal gruppo ransomware Genesis che ha preso di mira un’agenzia di collocamento. In entrambi i casi, la minaccia dei dati esposti, e non solo dei file bloccati, ha rappresentato il vero punto di pressione.
Perché i dati rubati continuano a comparire altrove
Quando i dati vengono esfiltrati in un attacco a doppia estorsione, non restano necessariamente nelle mani degli attaccanti originali. Spesso le informazioni rubate finiscono per circolare nei forum del dark web o vengono riconfezionate da altri attori delle minacce che cercano di trarne ulteriore profitto. È uno schema che ritroviamo in episodi come il dataset dei clienti di Iliad Italia messo in vendita su un forum del dark web, in cui le informazioni compromesse hanno trovato una seconda vita ben dopo la violazione iniziale. Vale anche la pena notare quanto alcune bande siano diventate aggressive nel fare pressione sulle vittime, come si è visto quando il gruppo ShinyHunters ha intensificato la sua campagna Canvas deturpando i portali di accesso delle scuole per forzare il pagamento. Il modello di Qilin si inserisce perfettamente in questa tendenza più ampia: prima rubare, poi cifrare e usare la minaccia di esposizione pubblica come leva molto tempo dopo l’intrusione iniziale.
Cosa significa per te
Se sei un privato cittadino, Qilin e le operazioni ransomware simili ricordano che i tuoi dati personali sono spesso danni collaterali in attacchi rivolti alle organizzazioni con cui hai rapporti – datori di lavoro, fornitori di servizi sanitari, scuole e società di servizi. In genere non puoi fermare questi attacchi da solo, ma puoi limitare i danni che una violazione provoca a te personalmente riducendo al minimo i dati sensibili che condividi, usando password uniche per ogni account e monitorando eventuali segnali che le tue informazioni siano apparse in una fuga.
Se gestisci l’IT per un’azienda, la natura basata sugli affiliati e a doppia estorsione di Qilin significa che la prevenzione deve avvenire prima che i dati lascino la tua rete. La segmentazione della rete limita quanto un attaccante può muoversi dopo una violazione iniziale, riducendo la quantità di dati disponibili da rubare anche se un sistema viene compromesso. La cifratura dei dati sensibili inattivi e in transito aggiunge un ulteriore livello di protezione, perché i dati rubati ma correttamente cifrati sono molto meno utili per gli attaccanti che minacciano di pubblicarli.
Consigli pratici
Segmenta la tua rete in modo che un singolo dispositivo o account compromesso non conceda l’accesso all’intera infrastruttura. Mantieni backup offline e testati, così che la sola cifratura non costringa a decidere se pagare. Cifra i file sensibili, in modo che i dati rubati abbiano meno valore anche in caso di esfiltrazione. E prendi sul serio qualsiasi notifica di un incidente ransomware da parte di un fornitore di servizi, perché i gruppi a doppia estorsione come Qilin danno regolarmente seguito alle minacce di fuga. Rimanere informati su come operano gruppi come Qilin è uno dei passi più concreti che puoi compiere per proteggere i tuoi dati prima che diventino parte della prossima fuga.
