Threat Radarによる新たな脅威プロファイルがQilinを再び脚光を浴びせています。Agendaとしても知られるQilinは、2022年から活動しているロシア語話者のランサムウェア・アズ・ア・サービス（RaaS）オペレーションであり、最も多産なランサムウェアグループの一つへと成長しました。このプロファイルは、そのプレイブックの3つの要素を扱っています。ESXiサーバーへの攻撃、アフィリエイトのネットワーク、そして二重恐喝です。これらを合わせると、QilinランサムウェアESXi二重恐喝攻撃が、侵害された1台の仮想化ホストからいかにして大規模なサービス停止とデータ漏洩の両方が生じ得るかを示しています。

このプロファイルの公開要約は短いため、本記事はそこに記載されている内容と、それが示す一般的な仕組みに限定します。

QilinランサムウェアESXi二重恐喝の仕組み

二重恐喝とは、攻撃者が1種類ではなく2種類の圧力をかけることを意味します。第一に、被害者が運用できないようにシステムを暗号化します。第二に、データを窃取し、身代金が支払われなければリークサイトで公開すると脅迫します。この第二の段階が、被害者にとっての計算を変えます。堅牢なバックアップを持つ組織であっても、システムを復旧できたとしても、機密ファイルが公開される可能性に直面することになります。

このモデルの詳細については、以前の解説記事「Qilinの二重恐喝戦略」をご覧ください。

ESXiと仮想化サーバーが格好の標的となる理由

ESXiはハイパーバイザーであり、1台の物理サーバーで多数の仮想マシンを実行できるようにするソフトウェアです。この統合は管理者にとって効率的であり、同時にESXiをランサムウェアオペレーターにとって魅力的なものにしています。ワークステーションを1台ずつ暗号化する代わりに、ハイパーバイザーに到達した攻撃者は一度に多数のサーバーを停止させることができます。

これが、侵害された1台のホストが大規模なサービス停止となる仕組みです。メール、ファイル共有、データベース、基幹業務アプリケーションはすべて、同じホスト上にある仮想マシン上で稼働している可能性があります。仮想ディスクを暗号化すれば、その上のすべてが停止します。暗号化を可能にするのと同じアクセスが、しばしば先にデータをコピーするためにも使えるため、サービス停止と漏洩の脅威は一緒にやってくる傾向があります。

これは大企業だけの問題ではありません。中小企業、学校、診療所、マネージドサービスプロバイダーは、業務全体を担う少数の仮想化ホストを運用していることが多く、それを監視するセキュリティスタッフは限られていることがしばしばです。

アフィリエイトネットワークがQilin攻撃を広める仕組み

Qilinはランサムウェア・アズ・ア・サービスとして運営されています。中核グループがマルウェアと支援インフラを開発し、アフィリエイトが侵入を実行して収益を分配します。これにより攻撃者の技術的障壁が下がり、単一のクルーでは管理できない規模にまでオペレーションを拡大できます。「ランサムウェア・アズ・ア・サービスがいかにしてハッキングをビジネスに変えるか」の解説記事で、その経済モデルを詳しく説明しています。

防御側にとっての実際的な帰結は、Qilinを定義する単一の攻撃パターンは存在しないということです。アフィリエイトごとに、盗まれた認証情報、露出したリモートアクセス、未パッチのソフトウェアなど、異なる侵入方法を用います。エッジデバイスと管理ツールは、ランサムウェア活動全般において繰り返し懸念される点です。私たちは、重大なCisco FMCの脆弱性がQilinの活動に関連付けられた一例を扱いました。共通するのは、攻撃者が露出していてパッチ適用が遅いものなら何でも狙うということです。

防御策：これがあなたにとって何を意味するか

ほとんどの読者はESXiクラスターを運用していませんが、教訓はあらゆる規模に当てはまります。目標は、1つのミスを生き残れるようにすることです。

仮想化やサーバーを運用している場合：

  • 管理インターフェースをオープンなインターネットから遠ざける。 ハイパーバイザーと管理コンソールには、保護された制限された経路を通じてのみ到達できるようにすべきです。
  • 速やかにパッチを適用する。 インターネットに面したシステムと管理ソフトウェアを優先してください。
  • ネットワークをセグメント化する。 ハイパーバイザー管理、バックアップ、日常的なユーザーデバイスを別々のセグメントに保ち、1つへのアクセスが3つすべてを引き渡すことにならないようにしてください。
  • バックアップを保護する。 少なくとも1つのコピーをオフラインまたはイミュータブルに保ち、本番環境を管理する認証情報でバックアップも削除できないようにしてください。
  • 多要素認証を使用する（リモートアクセスと管理者アカウントにおいて）。

個人または小規模組織の場合：

  • 3-2-1の考え方に従う。 重要なデータの複数のコピーを異なる媒体に保持し、1つをオフラインで保管してください。
  • 固有のパスワードを使用し、MFAを有効にすることで、1つの盗まれた認証情報がすべてを開くことにならないようにしてください。
  • ベンダーを把握する。 サービスプロバイダーがあなたのデータを保持したりシステムを管理している場合は、仮想化ホストとバックアップをどのように保護しているかを尋ねてください。

「家庭ユーザー向けランサムウェア対策」ガイドでは、家庭レベルの基本をより詳しく扱っています。

あなたのデータがリークサイトに掲載された場合

リークサイトであなたの名前や組織のデータを見つけるのはストレスフルですが、いくつかの手順が助けになります。結論を出す前に、実際に何が露出したかを確認してください。影響を受ける可能性のあるアカウントのパスワードを変更し、セッションを失効させてください。情報が関係した人々に通知し、法的または規制上の通知規則があなたに適用されるかどうかを確認してください。システムが影響を受けている場合はインシデント対応の専門家を招き、急いでマシンを消去するのではなくログを保存してください。漏洩したデータは取り戻せないため、優先事項は攻撃者がそれを使ってできること（フィッシング、詐欺、認証情報の再利用など）を減らすことです。

主なポイント

QilinランサムウェアESXi二重恐喝モデルが機能するのは、それがレバレッジを積み重ねるからです。1つの足場が広範な暗号化と公開データ漏洩の両方を意味し得ます。アフィリエイトが何を試みるかは制御できませんが、1回の侵入が引き起こす損害の大きさは制御できます。今週、バックアップを見直し、1つのコピーがオフラインであることを確認してください。システムにパッチが適用されていること、管理ツールが露出していないこと、ネットワークがセグメント化されていることを確認してください。より詳しい背景については、Qilin二重恐喝の解説記事と家庭ユーザー向けランサムウェア対策ガイドをお読みいただき、攻撃者があなたに代わって試す前に基本を確認してください。