Nowo opublikowany profil aktora zagrożeń rzuca światło na Qilin – operację ransomware, która opiera swój model biznesowy na partnerskiej strukturze i bezwzględnej strategii podwójnego wymuszenia. Zamiast samodzielnie przeprowadzać ataki, Qilin udostępnia afiliantom narzędzia ransomware i wsparcie techniczne, a następnie pobiera prowizję od każdego okupu wyegzekwowanego przez tych afiliantów od ofiar. Jest to struktura coraz powszechniejsza w świecie ransomware, a zrozumienie jej działania to pierwszy krok do ochrony własnych danych.

Jak działa model afiliacyjny Qilin

Qilin działa jako dostawca Ransomware-as-a-Service (RaaS). Zamiast jednej grupy przeprowadzającej każdy atak, Qilin tworzy złośliwe oprogramowanie i infrastrukturę wsparcia, a następnie udostępnia je na zasadach licencji afiliantom, którzy zajmują się właściwym hakowaniem. Ci afilianci identyfikują cele, uzyskują dostęp do sieci, wdrażają ransomware i dzielą się zyskami z Qilin po opłaceniu okupu przez ofiarę.

Ten podział pracy sprawia, że operacje RaaS są tak trwałe i trudne do wyeliminowania. Nawet jeśli organy ścigania zakłócą działalność jednego afilianta lub przejmą fragment infrastruktury, główna grupa i jej zestaw narzędzi mogą nadal działać, a nowi afilianci mogą wkroczyć, by przeprowadzać kolejne ataki. Oznacza to również, że krąg osób zdolnych do przeprowadzenia ataku w stylu Qilin jest większy niż tradycyjna grupa hakerska – afilianci nie muszą budować ransomware od podstaw, potrzebują jedynie dostępu do sieci i gotowości do wykorzystania powierzonego im narzędzia.

Scenariusz podwójnego wymuszenia

Tym, co odróżnia Qilin od starszych, prostszych ransomware, jest podejście oparte na podwójnym wymuszeniu. W tradycyjnym ataku ransomware pliki są szyfrowane, a ofiara proszona jest o zapłacenie za klucz deszyfrujący. Qilin dodaje drugą warstwę presji: przed zaszyfrowaniem plików ofiary jej afilianci po cichu wykradają wrażliwe dane z sieci. Jeśli ofiara odmawia zapłaty, a nawet po jej dokonaniu, atakujący grożą publicznym ujawnieniem skradzionych danych lub sprzedażą ich innym przestępcom.

Ta taktyka dramatycznie podnosi stawkę dla ofiar. Nawet organizacje z solidnymi systemami kopii zapasowych, które mogłyby odtworzyć zaszyfrowane pliki bez płacenia okupu, wciąż stoją w obliczu groźby szkodliwego wycieku danych. Ta właśnie dźwignia sprawia, że podwójne wymuszenie stało się domyślnym scenariuszem w ekosystemie ransomware. Podobną dynamikę obserwowaliśmy w innych niedawnych incydentach, w tym próbie ataku ransomware na Ecopetrol, która ujawniła tysiące kont oraz roszczeniu grupy Genesis ransomware dotyczącym 700 GB danych agencji pośrednictwa pracy. W obu przypadkach zagrożenie ujawnieniem danych, a nie tylko zablokowanymi plikami, było prawdziwym punktem nacisku.

Dlaczego skradzione dane wciąż pojawiają się gdzie indziej

Gdy dane zostaną wykradzione w ataku typu double-extortion, niekoniecznie pozostają u pierwotnych atakujących. Skradzione rekordy często trafiają do obiegu na forach dark webu lub są przepakowywane przez innych aktorów zagrożeń chcących dalej na nich zarobić. To schemat odzwierciedlony w incydentach takich jak zbiór danych klientów Iliad Italia, który pojawił się na sprzedaż na forum dark webu, gdzie skompromitowane informacje znalazły drugie życie długo po początkowym naruszeniu. Warto również zauważyć, jak agresywne stały się niektóre grupy w wywieraniu presji na ofiary – przykład stanowi grupa ShinyHunters, która eskalowała kampanię Canvas, defacując szkolne portale logowania, by wymusić zapłatę. Model Qilin idealnie wpisuje się w ten szerszy trend: najpierw kradzież, potem szyfrowanie i wykorzystanie groźby publicznego ujawnienia jako dźwigni długo po początkowym włamaniu.

Co to oznacza dla Ciebie

Jeśli jesteś osobą prywatną, Qilin i podobne operacje ransomware przypominają, że Twoje dane osobowe są często przypadkową ofiarą ataków wymierzonych w organizacje, z którymi masz do czynienia – pracodawców, placówki opieki zdrowotnej, szkoły i firmy usługowe. Zwykle nie możesz samodzielnie powstrzymać tych ataków, ale możesz ograniczyć szkody, jakie wyrządzi Ci naruszenie, minimalizując ilość udostępnianych wrażliwych danych, używając unikalnych haseł do każdego konta i monitorując oznaki, że Twoje informacje pojawiły się w wycieku.

Jeśli zarządzasz IT w firmie, afiliacyjny charakter Qilin i stosowane przez niego podwójne wymuszenie oznaczają, że zapobieganie musi nastąpić, zanim dane w ogóle opuszczą Twoją sieć. Segmentacja sieci ogranicza zasięg ruchu atakującego po początkowym naruszeniu, zmniejszając ilość danych możliwych do kradzieży, nawet jeśli jeden system zostanie skompromitowany. Szyfrowanie wrażliwych danych w spoczynku i podczas transmisji dodaje kolejną warstwę ochrony – prawidłowo zaszyfrowane skradzione dane są znacznie mniej przydatne dla atakujących grożących ich publikacją.

Praktyczne wskazówki

Segmentuj sieć, aby pojedyncze skompromitowane urządzenie lub konto nie dawało dostępu do całej infrastruktury. Utrzymuj offline’owe, przetestowane kopie zapasowe, aby samo szyfrowanie nie wymuszało decyzji o zapłacie. Szyfruj wrażliwe pliki, aby skradzione dane miały mniejszą wartość, nawet jeśli zostaną wykradzione. I traktuj poważnie każde powiadomienie od dostawcy usług o incydencie ransomware, ponieważ grupy stosujące podwójne wymuszenie, takie jak Qilin, regularnie realizują groźby wycieku. Bycie na bieżąco z tym, jak działają grupy takie jak Qilin, to jeden z najbardziej praktycznych kroków, jakie możesz podjąć, by chronić swoje dane, zanim staną się częścią kolejnego wycieku.