Qilin-ransomwaregroep verbreedt zijn doelwitlijst met een federaal agentschap

Threat intelligence-monitors hebben een nieuwe reeks slachtoffers geïdentificeerd die door de Qilin-ransomwaregroep, ook bekend onder de naam Agenda, zijn opgeëist. Volgens rapportages die voor dit artikel zijn beoordeeld, heeft het ransomware-as-a-service-syndicaat (RaaS) vijf organisaties toegevoegd aan zijn dark web-afpersingssite, waaronder het Amerikaanse Bureau of Alcohol, Tobacco, Firearms and Explosives (ATF), samen met de particuliere bedrijven Northern Leasing Systems en WireCo. De toevoeging van een federaal wetshandhavingsagentschap aan een criminele leksite markeert een opmerkelijke escalatie in de reikwijdte van doelwitten die deze groepen bereid zijn na te streven.

Ransomware-as-a-service-operaties zoals Qilin werken door hun kwaadaardige infrastructuur en afpersingstools te verhuren aan aangesloten hackers, die de daadwerkelijke inbraken uitvoeren en de opbrengsten delen met de groep achter het platform. Dit bedrijfsmodel heeft Qilin in staat gesteld om zijn operaties snel op te schalen en een breed scala aan sectoren te raken zonder elke aanval intern te hoeven uitvoeren. De groep is al enige tijd actief in het dreigingslandschap en zijn methoden blijven evolueren terwijl het zoekt naar nieuwe manieren om bedrijfs- en overheidsnetwerken binnen te dringen.

Hoe het afpersingsmodel van Qilin werkt

Qilin vertrouwt, net als veel moderne ransomwaregroepen, doorgaans op een dubbele afpersingsstrategie. Aanvallers dringen een netwerk van een doelwit binnen, exfiltreren gevoelige gegevens en versleutelen vervolgens interne systemen. Slachtoffers worden tweemaal onder druk gezet: eenmaal om te betalen voor een decoderingssleutel om de operaties te herstellen, en opnieuw om te voorkomen dat gestolen gegevens worden gepubliceerd of verkocht. Wanneer organisaties weigeren te betalen, plaatst de groep hen op zijn dark web-leksite als een manier om publieke druk uit te oefenen en andere potentiële slachtoffers te laten zien dat de dreiging geloofwaardig is.

Dit patroon is ook gedocumenteerd in andere Qilin-campagnes. De groep is eerder in verband gebracht met de exploitatie van kwetsbaarheden in enterprise-beveiligingsapparatuur, waaronder een bypassfout die van invloed is op de PAN-OS-software van Palo Alto Networks die Qilin-ransomware exploiteerde om initiële toegang tot bedrijfsnetwerken te verkrijgen. Dat incident illustreert een consistent thema in de operaties van Qilin: de groep jaagt actief op zwakheden in veelgebruikte infrastructuursoftware en combineert die toegang vervolgens met gegevensdiefstal en versleuteling om maximale hefboomwerking op slachtoffers te verkrijgen.

Waarom het targeten van een federaal agentschap ertoe doet

De opname van de ATF op de leklijst van Qilin is significant omdat het signaleert dat ransomware-operators zich niet beperken tot de particuliere sector. Federale agentschappen beschikken over gevoelige wetshandhavingsgegevens, personeelsdossiers en operationele informatie die, indien blootgesteld, nationale veiligheids- of openbare veiligheidsimplicaties kunnen hebben. Of de ATF-notering nu een succesvolle netwerkinbraak weerspiegelt, een claim die verband houdt met een inbreuk via een externe leverancier, of een ongeverifieerde afpersingspoging, de aanwezigheid ervan op een ransomware-leksite vestigt de aandacht op hoe deze criminele ondernemingen hun ambities verbreden.

De particuliere sectororganisaties die naast de ATF worden genoemd, waaronder Northern Leasing Systems en WireCo, weerspiegelen Qilins voortdurende belangstelling voor bedrijven die financiële, operationele of klantgegevens bezitten die waardevol genoeg zijn om een losgeldcis te rechtvaardigen. Dit patroon van ransomware-activiteit tegen een brede mix van publieke en private entiteiten is ook elders waargenomen. Vergelijkbare dark web-monitoring in Frankrijk toonde aan dat ransomware-activiteit verviervoudigde over een periode van twee jaar, wat bijdroeg aan meer dan 145 miljoen geregistreerde gegevensblootstellingen. De trend wijst op een wereldwijde toename in de frequentie en het bereik van ransomware-campagnes, in plaats van een geïsoleerd incident dat aan een enkele groep of regio is gebonden.

Wat dit voor u betekent

De meeste lezers zullen niet direct voor de ATF, Northern Leasing Systems of WireCo werken, maar incidenten zoals deze hebben bredere implicaties. Ransomwaregroepen die met succes federale agentschappen of grote particuliere ondernemingen binnendringen, verkrijgen vaak persoonlijke gegevens van werknemers, klanten, aannemers of leden van het publiek die met die organisaties hebben gecommuniceerd. Als een van de genoemde organisaties een inbreuk met persoonlijke informatie bevestigt, kunnen getroffen individuen uiteindelijk meldingsbrieven ontvangen of het advies krijgen om hun accounts op verdachte activiteiten te controleren.

Meer in het algemeen is de uitbreiding van de doelwitlijst van Qilin een herinnering dat ransomwaregroepen opportunistisch zijn. Ze exploiteren welke kwetsbaarheden er ook bestaan, of die nu in bedrijfssoftware of in de beveiligingspraktijken van een organisatie zitten, en ze maken geen onderscheid op basis van of een doelwit een overheidsinstantie of een particulier bedrijf is. Dit benadrukt het belang van het toepassen van goede digitale hygiëne, ongeacht met welke organisaties u communiceert.

Praktische aanbevelingen

Als u met een van de genoemde organisaties heeft gecommuniceerd, hetzij als werknemer, klant of aannemer, houd dan officiële communicatie over mogelijke gegevensblootstelling in de gaten. Schakel waar mogelijk multi-factorauthenticatie in, gebruik unieke wachtwoorden voor gevoelige accounts en overweeg een kredietbewakingsdienst als u een melding van een inbreuk ontvangt. Organisaties moeten dit incident op hun beurt behandelen als een nieuwe herinnering om bekende kwetsbaarheden snel te patchen, gevoelige systemen te segmenteren en offline back-ups te onderhouden die ransomware niet kan bereiken. Nu Qilin-ransomware en vergelijkbare RaaS-groepen hun doelwitlijsten blijven verbreden, is op de hoogte blijven van welke organisaties zijn getroffen een van de eenvoudigste manieren waarop individuen zichzelf kunnen beschermen tegen gevolgen stroomafwaarts.