En ny trusselprofil fra Threat Radar setter Qilin tilbake i søkelyset. Også kjent som Agenda er Qilin en russisktalende ransomware-as-a-service (RaaS)-operasjon som har vært aktiv siden 2022 og har vokst til å bli en av de mest produktive ransomware-gruppene. Profilen dekker tre deler av deres fremgangsmåte: angrep på ESXi-servere, et nettverk av tilknyttede aktører og dobbelt utpressing. Til sammen viser Qilin ransomware ESXi dobbelt utpressing-angrep hvordan én kompromittert virtualiseringsvert kan bli både en massiv nedetid og en datalekkasje.

Profilens offentlige sammendrag er kort, så dette innlegget holder seg til det den oppgir og den generelle mekanikken den peker på.

Hvordan Qilin ransomware ESXi dobbelt utpressing fungerer

Dobbelt utpressing betyr at angriperne bruker to typer press i stedet for én. Først krypterer de systemer slik at offeret ikke kan operere. Deretter stjeler de data og truer med å publisere dem på en lekkasjeside hvis løsepengene ikke betales. Det andre trinnet endrer regnestykket for ofrene. Selv en organisasjon med solide sikkerhetskopier kan gjenopprette systemene sine og likevel stå overfor utsikten til at sensitive filer blir offentlige.

For en dypere titt på denne modellen, se vår tidligere forklaring om Qilins dobbelt-utpressingsstrategi.

Hvorfor ESXi og virtualiseringsservere er hovedmål

ESXi er en hypervisor, programvaren som lar én fysisk server kjøre mange virtuelle maskiner. Denne konsolideringen er effektiv for administratorer, og det er også det som gjør ESXi attraktivt for ransomware-operatører. I stedet for å kryptere én arbeidsstasjon om gangen, kan en angriper som når hypervisoren, ta ned mange servere samtidig.

Dette er hvordan én kompromittert vert blir en massiv nedetid. E-post, filressurser, databaser og forretningsapplikasjoner kan alle ligge på virtuelle maskiner på samme vert. Krypter de virtuelle diskene, og alt oppå dem stopper. Fordi den samme tilgangen som muliggjør kryptering ofte kan brukes til å kopiere data ut først, har nedetiden og lekkasjetrusselen en tendens til å komme sammen.

Dette er viktig utover store virksomheter. Små bedrifter, skoler, klinikker og administrerte tjenesteleverandører kjører ofte noen få virtualiseringsverter som bærer hele driften, ofte med begrenset sikkerhetspersonale som overvåker dem.

Hvordan tilknyttet-nettverket sprer Qilin-angrep

Qilin drives som ransomware-as-a-service. Kjerneteamet utvikler skadevaren og støtteinfrastrukturen, mens tilknyttede aktører utfører inntrengingene og deler utbyttet. Dette senker kompetansebarrieren for angripere og lar operasjonen skalere langt utover hva et enkelt team kunne håndtere. Vår forklaring om hvordan ransomware-as-a-service gjør hacking til en forretning bryter ned den økonomiske modellen.

For forsvarere er den praktiske konsekvensen at ingen enkelt angrepsmønster definerer Qilin. Ulike tilknyttede aktører bruker ulike inngangsveier, enten det er stjålne legitimasjoner, eksponert fjern tilgang eller uoppdatert programvare. Kantenheter og administrasjonsverktøy er en tilbakevendende bekymring på tvers av ransomware-aktivitet generelt; vi dekket ett eksempel der en kritisk Cisco FMC-sårbarhet ble knyttet til Qilin-aktivitet. Den røde tråden er at angripere går etter det som er eksponert og sent å oppdatere.

Forsvar: hva dette betyr for deg

De fleste lesere kjører ikke ESXi-klynger, men lærdommen gjelder i alle skalaer. Målet er å gjøre én feil overlevbar.

Hvis du kjører virtualisering eller servere:

  • Hold administrasjonsgrensesnitt borte fra det åpne internett. Hypervisor- og administrasjonskonsoller bør bare være tilgjengelige gjennom en beskyttet, begrenset tilgangsvei.
  • Oppdater raskt. Prioriter internettvendte systemer og administrasjonsprogramvare.
  • Segmenter nettverket ditt. Hold hypervisor-administrasjon, sikkerhetskopier og daglige brukerenheter på separate segmenter slik at tilgang til ett ikke gir tilgang til alle tre.
  • Beskytt sikkerhetskopiene dine. Hold minst én kopi offline eller uforanderlig, og sørg for at legitimasjonen som administrerer produksjonen ikke også kan slette sikkerhetskopier.
  • Bruk flerfaktorautentisering på fjern tilgang og administratorkontoer.

Hvis du er en enkeltperson eller liten organisasjon:

  • Følg 3-2-1-ideen. Hold flere kopier av viktige data, på ulike medier, med én lagret offline.
  • Bruk unike passord og aktiver MFA slik at én stjålet legitimasjon ikke åpner alt.
  • Kjenn leverandørene dine. Hvis en tjenesteleverandør har dataene dine eller administrerer systemene dine, spør hvordan de beskytter virtualiseringsverter og sikkerhetskopier.

Vår guide til ransomware-beskyttelse for hjemmebrukere dekker det grunnleggende på husholdningsnivå mer detaljert.

Hvis dataene dine dukker opp på en lekkasjeside

Å finne navnet ditt eller organisasjonens data på en lekkasjeside er stressende, men noen få trinn hjelper. Bekreft hva som faktisk ble eksponert før du trekker konklusjoner. Endre passord og tilbakekall økter for kontoer som kan være berørt. Varsle personene hvis informasjon var involvert, og sjekk om juridiske eller regulatoriske varslingsregler gjelder for deg. Tilkalder hendelsesrespons-profesjonelle hvis systemer er berørt, og bevar logger i stedet for å slette maskiner i all hast. Lekkede data kan ikke tas tilbake, så prioriteten er å redusere hva angripere kan gjøre med dem, som phishing, svindel eller gjenbruk av legitimasjon.

Hovedpunkter

Qilin ransomware ESXi dobbelt utpressing-modellen fungerer fordi den stablet innflytelse: ett fotfeste kan bety omfattende kryptering og en offentlig datalekkasje. Du kan ikke kontrollere hva tilknyttede aktører prøver på, men du kan kontrollere hvor mye skade ett enkelt innbrudd forårsaker. Gjennomgå sikkerhetskopiene dine denne uken og bekreft at én kopi er offline. Sjekk at systemene dine er oppdatert, at administrasjonsverktøy ikke er eksponert, og at nettverket ditt er segmentert. For mer bakgrunn, les vår Qilin dobbelt-utpressing forklaring og guiden til ransomware-beskyttelse for hjemmebrukere, og arbeid deg gjennom det grunnleggende før en angriper tester det for deg.