Qilin Ransomware legger til ATF på mørkenett-lekkasjelisten

Qilin-ransomware-gruppen utvider mållisten til å inkludere et føderalt byrå

Trusseletterretningsovervåkere har identifisert en ny gruppe ofre som Qilin-ransomware-gruppen, også kjent under navnet Agenda, hevder å ha rammet. Ifølge rapporter gjennomgått for denne artikkelen, la ransomware-som-en-tjeneste (RaaS)-syndikatet til fem organisasjoner på sitt utpressingsnettsted på mørkenettet, inkludert det amerikanske Bureau of Alcohol, Tobacco, Firearms and Explosives (ATF), sammen med private selskaper som Northern Leasing Systems og WireCo. At et føderalt rettshåndhevelsesbyrå legges til på et kriminelt lekkasjenettsted markerer en betydelig opptrapping i omfanget av mål disse gruppene er villige til å forfølge.

Ransomware-som-en-tjeneste-operasjoner som Qilin fungerer ved å lease ut sin ondsinnede infrastruktur og utpressingsverktøy til tilknyttede hackere, som utfører selve inntrengningene og deler inntektene med gruppen bak plattformen. Denne forretningsmodellen har gjort det mulig for Qilin å skalere operasjonene raskt, og ramme et bredt spekter av sektorer uten å måtte gjennomføre hvert angrep internt. Gruppen har vært aktiv i trussellandskapet en stund, og metodene dens fortsetter å utvikle seg etter hvert som den leter etter nye veier inn i bedrifts- og offentlige nettverk.

Slik fungerer Qilins utpressingsmodell

Qilin, som mange moderne ransomware-grupper, stoler typisk på en dobbel utpressingsstrategi. Angripere infiltrerer et målnettverk, eksfiltrerer sensitive data, og krypterer deretter interne systemer. Ofre presses to ganger: én gang for å betale for en dekrypteringsnøkkel for å gjenopprette driften, og igjen for å forhindre at stjålne data publiseres eller selges. Når organisasjoner nekter å betale, lister gruppen dem på sitt lekkasjenettsted på mørkenettet som en måte å legge på offentlig press og signalisere til andre potensielle ofre at trusselen er troverdig.

Dette mønsteret er også dokumentert i andre Qilin-kampanjer. Gruppen har tidligere blitt knyttet til utnyttelse av sårbarheter i sikkerhetsapparater for bedrifter, inkludert en omgåelsesfeil som påvirket Palo Alto Networks' PAN-OS-programvare som Qilin-ransomware utnyttet for å få innledende tilgang til bedriftsnettverk. Den hendelsen illustrerer et konsekvent tema i Qilins operasjoner: Gruppen jakter aktivt på svakheter i mye brukt infrastrukturprogramvare, og kombinerer deretter den tilgangen med datatyveri og kryptering for å maksimere innflytelsen over ofrene.

Hvorfor det å målrette et føderalt byrå betyr noe

Inkluderingen av ATF på Qilins lekkasjeliste er betydningsfull fordi det signaliserer at ransomware-operatører ikke begrenser seg til privat industri. Føderale byråer innehar sensitiv rettshåndhevelsesdata, personaljournaler og operasjonell informasjon som kan ha nasjonale sikkerhets- eller offentlighetssikkerhetsimplikasjoner dersom de blir eksponert. Enten ATF-oppføringen reflekterer en vellykket nettverksinntrengning, et krav knyttet til et tredjepartsleverandørbrudd, eller et ubekreftet utpressingsforsøk, trekker dens tilstedeværelse på et ransomware-lekkasjenettsted oppmerksomhet til hvordan disse kriminelle virksomhetene utvider ambisjonene sine.

De private sektororganisasjonene som er nevnt sammen med ATF, inkludert Northern Leasing Systems og WireCo, reflekterer Qilins fortsatte interesse i selskaper som har finansielle, operasjonelle eller kundedata som er verdifulle nok til å rettferdiggjøre et løsepengekrav. Dette mønsteret av ransomware-aktivitet mot en bred blanding av offentlige og private enheter har også blitt observert andre steder. Lignende mørkenettsovervåking gjennomført i Frankrike fant at ransomware-aktiviteten firedoblet seg over en toårsperiode, noe som bidro til mer enn 145 millioner registrerte dataeksponeringer. Trenden peker på en global økning i hyppigheten og rekkevidden av ransomware-kampanjer, snarere enn en isolert hendelse knyttet til en enkelt gruppe eller region.

Hva dette betyr for deg

De fleste lesere vil ikke jobbe direkte for ATF, Northern Leasing Systems eller WireCo, men hendelser som dette har bredere implikasjoner. Ransomware-grupper som lykkes med å bryte gjennom føderale byråer eller større private virksomheter, får ofte tak i personopplysninger som tilhører ansatte, kunder, entreprenører eller medlemmer av offentligheten som har interagert med disse organisasjonene. Hvis noen av de navngitte organisasjonene bekrefter et brudd som involverer personlig informasjon, kan berørte enkeltpersoner til slutt motta varslingsbrev eller bli rådet til å overvåke kontoene sine for mistenkelig aktivitet.

Mer bredt sett er utvidelsen av Qilins målliste en påminnelse om at ransomware-grupper er opportunistiske. De utnytter alle sårbarheter som finnes, enten i bedriftsprogramvare eller i en organisasjons sikkerhetspraksis, og de skiller ikke mellom om et mål er et offentlig byrå eller et privat selskap. Dette understreker viktigheten av å praktisere god digital hygiene uavhengig av hvilke organisasjoner du interagerer med.

Handlingsrettede råd

Hvis du har interagert med noen av de navngitte organisasjonene, enten som ansatt, kunde eller entreprenør, følg med på offisielle kommunikasjoner angående potensiell dataeksponering. Aktiver flerfaktorautentisering der det er mulig, bruk unike passord for sensitive kontoer, og vurder en kredittovervåkingstjeneste hvis du mottar et bruddvarsel. Organisasjoner bør på sin side behandle denne hendelsen som enda en påminnelse om å lappe kjente sårbarheter raskt, segmentere sensitive systemer, og opprettholde offline sikkerhetskopier som ransomware ikke kan nå. Ettersom Qilin-ransomware og lignende RaaS-grupper fortsetter å utvide mållistene sine, er det å holde seg informert om hvilke organisasjoner som er berørt en av de enkleste måtene enkeltpersoner kan beskytte seg mot konsekvenser i etterkant.