Nowy profil zagrożenia od Threat Radar ponownie stawia Qilin w centrum uwagi. Znany również jako Agenda, Qilin to rosyjskojęzyczna operacja ransomware-as-a-service (RaaS), aktywna od 2022 roku, która wyrosła na jedną z najpłodniejszych grup ransomware. Profil obejmuje trzy elementy jej playbooka: ataki na serwery ESXi, sieć afiliantów oraz podwójne wymuszanie. Razem ataki Qilin ransomware ESXi z podwójnym wymuszaniem pokazują, jak jeden skompromitowany host wirtualizacyjny może stać się zarówno masową awarią, jak i wyciekiem danych.

Publiczne podsumowanie profilu jest krótkie, więc ten post trzyma się tego, co on stwierdza, oraz ogólnej mechaniki, na którą wskazuje.

Jak działa Qilin ransomware ESXi z podwójnym wymuszaniem

Podwójne wymuszanie oznacza, że atakujący stosują dwa rodzaje presji zamiast jednego. Po pierwsze, szyfrują systemy, aby ofiara nie mogła działać. Po drugie, kradną dane i grożą ich publikacją na stronie wycieków, jeśli okup nie zostanie zapłacony. Ten drugi krok zmienia kalkulację dla ofiar. Nawet organizacja z solidnymi kopiami zapasowymi może przywrócić swoje systemy i nadal stawać w obliczu perspektywy upublicznienia wrażliwych plików.

Aby głębiej przyjrzeć się temu modelowi, zobacz nasz wcześniejszy artykuł wyjaśniający o strategii podwójnego wymuszania Qilin.

Dlaczego ESXi i serwery wirtualizacyjne są głównymi celami

ESXi to hipervisor, oprogramowanie pozwalające jednemu fizycznemu serwerowi uruchamiać wiele maszyn wirtualnych. Ta konsolidacja jest wydajna dla administratorów i właśnie to czyni ESXi atrakcyjnym dla operatorów ransomware. Zamiast szyfrować jedną stację roboczą na raz, atakujący, który dotrze do hipervisora, może wyłączyć wiele serwerów jednocześnie.

W ten sposób jeden skompromitowany host staje się masową awarią. Poczta e-mail, udziały plików, bazy danych i aplikacje biznesowe mogą wszystkie znajdować się na maszynach wirtualnych na tym samym hoście. Zaszyfruj dyski wirtualne, a wszystko na nich przestaje działać. Ponieważ ten sam dostęp, który umożliwia szyfrowanie, często może być użyty do skopiowania danych wcześniej, awaria i groźba wycieku zwykle pojawiają się razem.

To ma znaczenie wykraczające poza duże przedsiębiorstwa. Małe firmy, szkoły, kliniki i dostawcy usług zarządzanych często obsługują kilka hostów wirtualizacyjnych, które carrying ich całą działalność, często z ograniczonym personelem bezpieczeństwa, który je monitoruje.

Jak sieć afiliantów rozprzestrzenia ataki Qilin

Qilin działa jako ransomware-as-a-service. Grupa rdzeniowa opracowuje malware i infrastrukturę wspierającą, podczas gdy afilianci przeprowadzają włamania i dzielą się zyskami. To obniża barierę umiejętności dla atakujących i pozwala operacji skalować się daleko poza to, co mogłaby zarządzać pojedyncza ekipa. Nasz artykuł wyjaśniający o tym, jak ransomware-as-a-service zamienia hakowanie w biznes rozkłada ten model ekonomiczny na części.

Dla obrońców praktyczną konsekwencją jest to, że żaden pojedynczy wzorzec ataku nie definiuje Qilin. Różni afilianci używają różnych dróg wejścia, czy to skradzionych danych uwierzytelniających, eksponowanego zdalnego dostępu, czy niezałatanych programów. Urządzenia brzegowe i narzędzia zarządzania są powracającym problemem w całej aktywności ransomware ogólnie; omówiliśmy jeden przykład, w którym krytyczna luka Cisco FMC została powiązana z aktywnością Qilin. Wspólnym wątkiem jest to, że atakujący sięgają po wszystko, co jest eksponowane i wolno łatane.

Obrony: co to oznacza dla ciebie

Większość czytelników nie prowadzi klastrów ESXi, ale lekcje mają zastosowanie w każdej skali. Celem jest uczynienie jednego błędu możliwym do przetrwania.

Jeśli prowadzisz wirtualizację lub serwery:

  • Trzymaj interfejsy zarządzania poza otwartym internetem. Konsole hipervisora i administracyjne powinny być osiągalne tylko przez chronioną, ograniczoną ścieżkę.
  • Łataj szybko. Priorytetowo traktuj systemy wystawione na internet i oprogramowanie zarządzające.
  • Segmentuj swoją sieć. Trzymaj zarządzanie hipervisorem, kopie zapasowe i codzienne urządzenia użytkowników w oddzielnych segmentach, aby dostęp do jednego nie oddawał wszystkich trzech.
  • Chroń swoje kopie zapasowe. Trzymaj co najmniej jedną kopię offline lub niezmienną i upewnij się, że dane uwierzytelniające zarządzające produkcją nie mogą również usunąć kopii zapasowych.
  • Używaj uwierzytelniania wieloskładnikowego przy zdalnym dostępie i kontach administratorów.

Jeśli jesteś osobą prywatną lub małą organizacją:

  • Kieruj się zasadą 3-2-1. Trzymaj wiele kopii ważnych danych, na różnych nośnikach, z jedną przechowywaną offline.
  • Używaj unikalnych haseł i włącz MFA, aby jedno skradzione poświadczenie nie otwierało wszystkiego.
  • Znaj swoich dostawców. Jeśli dostawca usług przechowuje twoje dane lub zarządza twoimi systemami, zapytaj, jak chroni hosty wirtualizacyjne i kopie zapasowe.

Nasz przewodnik po ochronie przed ransomware dla użytkowników domowych omawia podstawy na poziomie gospodarstwa domowego bardziej szczegółowo.

Jeśli twoje dane pojawią się na stronie wycieków

Znalezienie swojej nazwy lub danych swojej organizacji na stronie wycieków jest stresujące, ale kilka kroków pomaga. Potwierdź, co faktycznie zostało ujawnione, zanim wyciągniesz wnioski. Zmień hasła i unieważnij sesje dla wszelkich kont, które mogą być dotknięte. Powiadom osoby, których informacje były zaangażowane, i sprawdź, czy dotyczą cię przepisy o powiadamianiu prawne lub regulacyjne. Zaangażuj profesjonalistów ds. reagowania na incydenty, jeśli systemy są dotknięte, i zachowaj logi zamiast wycierać maszyny w pośpiechu. Wyciekłych danych nie można cofnąć, więc priorytetem jest ograniczenie tego, co atakujący mogą z nimi zrobić, takie jak phishing, oszustwo lub ponowne użycie poświadczeń.

Kluczowe wnioski

Model Qilin ransomware ESXi z podwójnym wymuszaniem działa, ponieważ kumuluje dźwignię: jedno przyczółek może oznaczać powszechne szyfrowanie i publiczny wyciek danych. Nie możesz kontrolować, czego próbują afilianci, ale możesz kontrolować, jak duże szkody powoduje jedno włamanie. Przejrzyj swoje kopie zapasowe w tym tygodniu i potwierdź, że jedna kopia jest offline. Sprawdź, czy twoje systemy są załatane, czy narzędzia zarządzania nie są eksponowane i czy twoja sieć jest segmentowana. Aby uzyskać więcej kontekstu, przeczytaj nasz artykuł wyjaśniający o podwójnym wymuszaniu Qilin i przewodnik po ochronie przed ransomware dla użytkowników domowych, a następnie przejdź przez podstawy, zanim atakujący przetestuje je za ciebie.