Threat Radar의 새로운 위협 프로파일이 Qilin을 다시 주목받게 하고 있습니다. Agenda라고도 알려진 Qilin은 2022년부터 활동해 온 러시아어 기반 랜섬웨어 서비스(RaaS) 조직으로, 가장 왕성한 랜섬웨어 그룹 중 하나로 성장했습니다. 이 프로파일은 Qilin의 공격 수법 중 세 가지, 즉 ESXi 서버 공격, 제휴사 네트워크, 이중 갈취를 다룹니다. 종합하면, Qilin 랜섬웨어 ESXi 이중 갈취 공격은 침해된 가상화 호스트 하나가 어떻게 대규모 서비스 중단과 데이터 유출을 동시에 일으킬 수 있는지를 보여줍니다.

이 프로파일의 공개 요약은 짧기 때문에, 이 글은 요약에서 밝힌 내용과 그것이 가리키는 일반적인 작동 방식을 다룹니다.

Qilin 랜섬웨어 ESXi 이중 갈취는 어떻게 작동하는가

이중 갈취는 공격자가 한 가지가 아닌 두 가지 압박을 가한다는 뜻입니다. 첫째, 시스템을 암호화하여 피해자가 운영할 수 없게 만듭니다. 둘째, 데이터를 탈취하고 몸값이 지불되지 않으면 유출 사이트에 공개하겠다고 협박합니다. 두 번째 단계는 피해자의 계산을 바꿔 놓습니다. 탄탄한 백업을 갖춘 조직조차 시스템을 복구할 수는 있어도 민감한 파일이 공개될 가능성과 마주해야 합니다.

이 모델에 대한 더 자세한 내용은 Qilin의 이중 갈취 전략에 관한 이전 설명 글을 참고하십시오.

ESXi와 가상화 서버가 주요 표적인 이유

ESXi는 하이퍼바이저, 즉 물리적 서버 한 대에서 여러 가상 머신을 실행할 수 있게 해 주는 소프트웨어입니다. 이러한 통합은 관리자에게 효율적이며, 바로 이것이 ESXi를 랜섬웨어 운영자에게 매력적으로 만듭니다. 워크스테이션을 하나씩 암호화하는 대신, 하이퍼바이저에 접근한 공격자는 여러 서버를 한 번에 마비시킬 수 있습니다.

이렇게 해서 침해된 호스트 하나가 대규모 서비스 중단으로 이어집니다. 이메일, 파일 공유, 데이터베이스, 업무용 애플리케이션이 모두 같은 호스트에 있는 가상 머신에 존재할 수 있습니다. 가상 디스크를 암호화하면 그 위에 있는 모든 것이 멈춥니다. 암호화를 가능하게 하는 동일한 접근 권한이 흔히 데이터를 먼저 복사해 빼내는 데에도 사용될 수 있기 때문에, 서비스 중단과 유출 협박은 함께 찾아오는 경향이 있습니다.

이는 대기업에만 해당하는 문제가 아닙니다. 중소기업, 학교, 진료소, 관리형 서비스 제공업체는 전체 운영을 떠받치는 소수의 가상화 호스트를 운영하는 경우가 많으며, 이를 감시하는 보안 인력은 흔히 제한적입니다.

제휴사 네트워크가 Qilin 공격을 확산하는 방식

Qilin은 랜섬웨어 서비스로 운영됩니다. 핵심 그룹은 악성코드와 지원 인프라를 개발하고, 제휴사는 침해를 실행하고 수익을 공유합니다. 이는 공격자의 기술 진입 장벽을 낮추고, 단일 조직이 감당할 수 있는 범위를 훨씬 넘어서도록 운영을 확장시킵니다. 랜섬웨어 서비스가 해킹을 비즈니스로 바꾸는 방법에 관한 설명 글에서 그 경제 모델을 자세히 다룹니다.

방어자 입장에서 실질적인 결과는 Qilin을 정의하는 단일한 공격 패턴이 없다는 것입니다. 제휴사마다 탈취된 자격 증명, 노출된 원격 접속, 패치되지 않은 소프트웨어 등 서로 다른 침입 경로를 사용합니다. 엣지 장치와 관리 도구는 일반적으로 랜섬웨어 활동 전반에서 반복적으로 문제가 되는 지점입니다. 치명적인 Cisco FMC 취약점이 Qilin 활동과 연관된 사례를 다룬 적이 있습니다. 공통점은 공격자들이 노출되어 있고 패치가 느린 대상을 노린다는 것입니다.

방어: 이것이 당신에게 의미하는 것

대부분의 독자는 ESXi 클러스터를 운영하지 않지만, 교훈은 모든 규모에 적용됩니다. 목표는 한 번의 실수를 견딜 수 있게 만드는 것입니다.

가상화 또는 서버를 운영하는 경우:

  • 관리 인터페이스를 개방된 인터넷에서 차단하십시오. 하이퍼바이저와 관리 콘솔은 보호되고 제한된 경로를 통해서만 접근 가능해야 합니다.
  • 신속히 패치하십시오. 인터넷에 노출된 시스템과 관리 소프트웨어를 우선시하십시오.
  • 네트워크를 분할하십시오. 하이퍼바이저 관리, 백업, 일상적인 사용자 장치를 별도 세그먼트에 두어 하나에 대한 접근이 셋 모두를 넘겨주지 않도록 하십시오.
  • 백업을 보호하십시오. 최소 한 개의 사본을 오프라인 또는 불변 상태로 유지하고, 운영 환경을 관리하는 자격 증명으로 백업을 삭제할 수 없도록 하십시오.
  • 원격 접속과 관리자 계정에 다중 인증을 사용하십시오.

개인 또는 소규모 조직인 경우:

  • 3-2-1 원칙을 따르십시오. 중요한 데이터의 여러 사본을 서로 다른 매체에 보관하고, 하나는 오프라인에 저장하십시오.
  • 고유한 비밀번호를 사용하고 MFA를 활성화하십시오. 탈취된 자격 증명 하나로 모든 것이 열리지 않도록 하기 위해서입니다.
  • 공급업체를 파악하십시오. 서비스 제공업체가 귀하의 데이터를 보관하거나 시스템을 관리한다면, 가상화 호스트와 백업을 어떻게 보호하는지 물어보십시오.

가정 사용자를 위한 랜섬웨어 보호 가이드에서 가정 수준의 기본 사항을 더 자세히 다룹니다.

데이터가 유출 사이트에 나타난 경우

유출 사이트에서 귀하의 이름이나 조직의 데이터를 발견하는 것은 스트레스가 크지만, 몇 가지 단계가 도움이 됩니다. 결론을 내리기 전에 실제로 무엇이 노출되었는지 확인하십시오. 영향을 받을 수 있는 모든 계정의 비밀번호를 변경하고 세션을 취소하십시오. 정보가 관련된 사람들에게 알리고, 법적 또는 규제상의 통지 규칙이 적용되는지 확인하십시오. 시스템이 영향을 받았다면 사고 대응 전문가를 불러들이고, 서둘러 기기를 지우기보다 로그를 보존하십시오. 유출된 데이터는 되돌릴 수 없으므로, 우선순위는 공격자가 그 데이터로 할 수 있는 일, 즉 피싱, 사기, 자격 증명 재사용 등을 줄이는 것입니다.

핵심 요점

Qilin 랜섬웨어 ESXi 이중 갈취 모델이 작동하는 이유는 지렛대를 겹겹이 쌓기 때문입니다. 발판 하나가 광범위한 암호화와 공개 데이터 유출을 의미할 수 있습니다. 제휴사가 무엇을 시도할지는 통제할 수 없지만, 한 번의 침입이 얼마나 큰 피해를 일으키는지는 통제할 수 있습니다. 이번 주에 백업을 점검하고 한 개의 사본이 오프라인에 있는지 확인하십시오. 시스템이 패치되었는지, 관리 도구가 노출되지 않았는지, 네트워크가 분할되었는지 확인하십시오. 더 많은 배경 정보는 Qilin 이중 갈취 설명 글과 가정 사용자 랜섬웨어 보호 가이드를 읽은 뒤, 공격자가 직접 시험하기 전에 기본 사항을 점검하십시오.