Een nieuw dreigingsprofiel van Threat Radar zet Qilin weer in de schijnwerpers. Qilin, ook bekend als Agenda, is een Russischtalige ransomware-as-a-service (RaaS)-operatie die actief is sinds 2022 en is uitgegroeid tot een van de meest productieve ransomwaregroepen. Het profiel behandelt drie onderdelen van zijn playbook: aanvallen op ESXi-servers, een netwerk van affiliates en dubbele afpersing. Samen laten Qilin-ransomware-aanvallen met ESXi en dubbele afpersing zien hoe één gecompromitteerde virtualisatiehost zowel een massale storing als een datalek kan worden.

De openbare samenvatting van het profiel is kort, dus dit bericht houdt zich aan wat erin staat en de algemene mechanismen waarnaar het verwijst.

Hoe Qilin-ransomware ESXi dubbele afpersing werkt

Dubbele afpersing betekent dat de aanvallers twee soorten druk uitoefenen in plaats van één. Eerst versleutelen ze systemen zodat het slachtoffer niet kan opereren. Vervolgens stelen ze data en dreigen ze die op een leaksite te publiceren als het losgeld niet wordt betaald. Die tweede stap verandert de rekensom voor slachtoffers. Zelfs een organisatie met solide back-ups kan haar systemen herstellen en toch het vooruitzicht hebben dat gevoelige bestanden openbaar worden.

Voor een diepere blik op dit model, zie onze eerdere uitleg over Qilins strategie van dubbele afpersing.

Waarom ESXi en virtualisatieservers aantrekkelijke doelen zijn

ESXi is een hypervisor, de software waarmee één fysieke server vele virtuele machines kan draaien. Die consolidatie is efficiënt voor beheerders, en dat is ook wat ESXi aantrekkelijk maakt voor ransomware-operators. In plaats van één werkstation tegelijk te versleutelen, kan een aanvaller die de hypervisor bereikt vele servers tegelijk uitschakelen.

Zo wordt één gecompromitteerde host een massale storing. E-mail, bestandsshares, databases en bedrijfsapplicaties kunnen allemaal op virtuele machines staan die op dezelfde host draaien. Versleutel de virtuele schijven en alles daarboven stopt. Omdat dezelfde toegang die versleuteling mogelijk maakt vaak ook kan worden gebruikt om eerst data te kopiëren, komen de storing en de dreiging van een lek doorgaans samen.

Dit is niet alleen van belang voor grote ondernemingen. Kleine bedrijven, scholen, klinieken en managed service providers draaien vaak een handvol virtualisatiehosts waarop hun hele operatie rust, vaak met beperkt beveiligingspersoneel dat erop let.

Hoe het affiliatenetwerk Qilin-aanvallen verspreidt

Qilin werkt als ransomware-as-a-service. De kerngroep ontwikkelt de malware en de ondersteunende infrastructuur, terwijl affiliates de inbraken uitvoeren en de opbrengsten delen. Dit verlaagt de vaardigheidsdrempel voor aanvallers en laat de operatie veel verder opschalen dan één enkele groep zou kunnen beheren. Onze uitleg over hoe ransomware-as-a-service hacken omzet in een bedrijf ontleedt dat economische model.

Voor verdedigers is het praktische gevolg dat geen enkel aanvalspatroon Qilin definieert. Verschillende affiliates gebruiken verschillende manieren om binnen te komen, of het nu gestolen inloggegevens, blootgestelde remote access of niet-gepatchte software is. Edge-apparaten en beheertools zijn in het algemeen een terugkerend zorgpunt bij ransomware-activiteit; we behandelden één voorbeeld waarin een kritieke Cisco FMC-kwetsbaarheid werd gelinkt aan Qilin-activiteit. De rode draad is dat aanvallers gaan voor alles wat blootgesteld is en traag wordt gepatcht.

Verdediging: wat dit voor u betekent

De meeste lezers draaien geen ESXi-clusters, maar de lessen gelden op elke schaal. Het doel is om één fout overleefbaar te maken.

Als u virtualisatie of servers draait:

  • Houd beheerinterfaces van het open internet. Hypervisor- en beheerconsoles mogen alleen bereikbaar zijn via een beschermd, beperkt pad.
  • Patch tijdig. Geef prioriteit aan internettelijkende systemen en beheersoftware.
  • Segmenteer uw netwerk. Houd hypervisorbeheer, back-ups en alledaagse gebruikersapparaten op gescheiden segmenten, zodat toegang tot één niet alle drie overdraagt.
  • Bescherm uw back-ups. Houd ten minste één kopie offline of onveranderlijk, en zorg ervoor dat de inloggegevens die productie beheren niet ook back-ups kunnen verwijderen.
  • Gebruik multi-factorauthenticatie voor remote access en beheerdersaccounts.

Als u een individu of kleine organisatie bent:

  • Volg het 3-2-1-idee. Houd meerdere kopieën van belangrijke data, op verschillende media, met één offline opgeslagen.
  • Gebruik unieke wachtwoorden en schakel MFA in, zodat één gestolen inloggegeven niet alles openstelt.
  • Ken uw leveranciers. Als een dienstverlener uw data beheert of uw systemen beheert, vraag dan hoe zij virtualisatiehosts en back-ups beschermen.

Onze gids voor ransomwarebescherming voor thuisgebruikers behandelt de basis op huishoudniveau in meer detail.

Als uw data op een leaksite verschijnt

Uw naam of de data van uw organisatie op een leaksite vinden is stressvol, maar een paar stappen helpen. Bevestig wat er daadwerkelijk is blootgesteld voordat u conclusies trekt. Wijzig wachtwoorden en trek sessies in voor alle accounts die mogelijk zijn getroffen. Informeer de mensen wier informatie betrokken was, en controleer of wettelijke of regelgevende meldingsregels op u van toepassing zijn. Schakel incident response-professionals in als systemen zijn getroffen, en bewaar logs in plaats van machines in een haast te wissen. Gelekte data kunnen niet worden teruggenomen, dus de prioriteit is beperken wat aanvallers ermee kunnen doen, zoals phishing, fraude of hergebruik van inloggegevens.

Belangrijkste punten

Het Qilin-ransomware ESXi-model met dubbele afpersing werkt omdat het hefbomen stapelt: één voet aan de grond kan wijdverspreide versleuteling en een publiek datalek betekenen. U kunt niet controleren wat affiliates proberen, maar u kunt wel controleren hoeveel schade één inbraak veroorzaakt. Controleer deze week uw back-ups en bevestig dat één kopie offline is. Controleer of uw systemen gepatcht zijn, of beheertools niet zijn blootgesteld en of uw netwerk gesegmenteerd is. Voor meer achtergrond leest u onze uitleg over Qilins dubbele afpersing en de gids voor ransomwarebescherming voor thuisgebruikers, en werk vervolgens de basis door voordat een aanvaller die voor u test.