Um novo perfil de ameaça do Threat Radar coloca o Qilin de volta em destaque. Também conhecido como Agenda, o Qilin é uma operação de ransomware-as-a-service (RaaS) de língua russa que está ativa desde 2022 e se tornou um dos grupos de ransomware mais prolíficos. O perfil aborda três elementos do seu modus operandi: ataques a servidores ESXi, uma rede de afiliados e a dupla extorsão. Juntos, os ataques de dupla extorsão do ransomware Qilin em ESXi mostram como um único host de virtualização comprometido pode se transformar tanto em uma paralisação em massa quanto em um vazamento de dados.

O resumo público do perfil é curto, então este post se atém ao que ele declara e à mecânica geral que ele indica.

Como funciona a dupla extorsão do ransomware Qilin em ESXi

Dupla extorsão significa que os atacantes aplicam dois tipos de pressão em vez de um. Primeiro, eles criptografam os sistemas para que a vítima não consiga operar. Segundo, eles roubam dados e ameaçam publicá-los em um site de vazamento caso o resgate não seja pago. Essa segunda etapa muda o cálculo para as vítimas. Mesmo uma organização com backups sólidos pode restaurar seus sistemas e ainda assim enfrentar a perspectiva de arquivos sensíveis se tornarem públicos.

Para uma análise mais aprofundada desse modelo, veja nosso explicador anterior sobre a estratégia de dupla extorsão do Qilin.

Por que ESXi e servidores de virtualização são alvos privilegiados

ESXi é um hypervisor, o software que permite que um único servidor físico execute muitas máquinas virtuais. Essa consolidação é eficiente para os administradores, e é também o que torna o ESXi atraente para operadores de ransomware. Em vez de criptografar uma estação de trabalho por vez, um atacante que alcança o hypervisor pode derrubar muitos servidores de uma só vez.

É assim que um único host comprometido se transforma em uma paralisação em massa. E-mail, compartilhamentos de arquivos, bancos de dados e aplicações de negócio podem todos residir em máquinas virtuais no mesmo host. Criptografe os discos virtuais e tudo o que está sobre eles para. Como o mesmo acesso que permite a criptografia frequentemente pode ser usado para copiar dados primeiro, a paralisação e a ameaça de vazamento tendem a chegar juntas.

Isso importa além das grandes empresas. Pequenos negócios, escolas, clínicas e provedores de serviços gerenciados frequentemente operam um punhado de hosts de virtualização que carregam toda a sua operação, muitas vezes com equipe de segurança limitada os monitorando.

Como a rede de afiliados propaga os ataques do Qilin

O Qilin opera como ransomware-as-a-service. O grupo central desenvolve o malware e a infraestrutura de suporte, enquanto os afiliados realizam as intrusões e compartilham os lucros. Isso reduz a barreira de habilidade para os atacantes e permite que a operação escale muito além do que uma única equipe conseguiria gerenciar. Nosso explicador sobre como o ransomware-as-a-service transforma hacking em negócio detalha esse modelo econômico.

Para os defensores, a consequência prática é que nenhum padrão de ataque único define o Qilin. Diferentes afiliados usam diferentes formas de entrada, seja credenciais roubadas, acesso remoto exposto ou software sem patch. Dispositivos de borda e ferramentas de gerenciamento são uma preocupação recorrente em toda a atividade de ransomware em geral; cobrimos um exemplo em que uma falha crítica no Cisco FMC foi vinculada à atividade do Qilin. O fio condutor é que os atacantes buscam tudo o que está exposto e demora a ser corrigido.

Defesas: o que isso significa para você

A maioria dos leitores não opera clusters ESXi, mas as lições se aplicam em todas as escalas. O objetivo é tornar um erro sobrevivível.

Se você opera virtualização ou servidores:

  • Mantenha as interfaces de gerenciamento fora da internet aberta. Consoles de hypervisor e administração devem ser acessíveis apenas por um caminho protegido e restrito.
  • Aplique patches prontamente. Priorize sistemas voltados para a internet e softwares de gerenciamento.
  • Segmente sua rede. Mantenha o gerenciamento do hypervisor, os backups e os dispositivos diários dos usuários em segmentos separados, para que o acesso a um não entregue todos os três.
  • Proteja seus backups. Mantenha pelo menos uma cópia offline ou imutável, e certifique-se de que as credenciais que gerenciam a produção não possam também excluir backups.
  • Use autenticação multifator no acesso remoto e nas contas de administrador.

Se você é um indivíduo ou uma pequena organização:

  • Siga a ideia 3-2-1. Mantenha múltiplas cópias de dados importantes, em mídias diferentes, com uma armazenada offline.
  • Use senhas únicas e ative o MFA para que uma única credencial roubada não abra tudo.
  • Conheça seus fornecedores. Se um provedor de serviços mantém seus dados ou gerencia seus sistemas, pergunte como eles protegem os hosts de virtualização e os backups.

Nosso guia de proteção contra ransomware para usuários domésticos cobre os fundamentos em nível doméstico com mais detalhes.

Se seus dados aparecerem em um site de vazamento

Encontrar seu nome ou os dados da sua organização em um site de vazamento é estressante, mas algumas etapas ajudam. Confirme o que foi realmente exposto antes de tirar conclusões. Altere senhas e revogue sessões de quaisquer contas que possam ter sido afetadas. Notifique as pessoas cujas informações foram envolvidas e verifique se regras de notificação legal ou regulatória se aplicam a você. Traga profissionais de resposta a incidentes se os sistemas forem afetados e preserve os logs em vez de apagar máquinas com pressa. Dados vazados não podem ser recuperados, então a prioridade é reduzir o que os atacantes podem fazer com eles, como phishing, fraude ou reutilização de credenciais.

Principais conclusões

O modelo de dupla extorsão do ransomware Qilin em ESXi funciona porque empilha vantagens: um único ponto de apoio pode significar criptografia generalizada e um vazamento público de dados. Você não pode controlar o que os afiliados tentam, mas pode controlar quantos danos uma única invasão causa. Revise seus backups esta semana e confirme que uma cópia está offline. Verifique se seus sistemas estão com patches aplicados, se as ferramentas de gerenciamento não estão expostas e se sua rede está segmentada. Para mais contexto, leia nosso explicador sobre a dupla extorsão do Qilin e o guia de proteção contra ransomware para usuários domésticos, depois trabalhe os fundamentos antes que um atacante os teste por você.