Um perfil recém-publicado de ator de ameaças está lançando luz sobre o Qilin, uma operação de ransomware que construiu seu negócio em torno de um modelo de parceria e uma implacável estratégia de dupla extorsão. Em vez de lançar ataques por conta própria, o Qilin fornece aos afiliados ferramentas de ransomware e suporte técnico e, em seguida, fica com uma fatia de qualquer resgate que esses afiliados consigam extrair de suas vítimas. É uma estrutura que se tornou cada vez mais comum no mundo do ransomware, e entender como ela funciona é o primeiro passo para proteger seus próprios dados.

Como Funciona o Modelo de Afiliados do Qilin

O Qilin opera como um provedor de Ransomware como Serviço (RaaS). Em vez de um único grupo realizar cada ataque, o Qilin constrói o software malicioso e a infraestrutura de suporte e, em seguida, licencia-os para afiliados que realizam a invasão de fato. Esses afiliados identificam alvos, obtêm acesso às redes e implantam o ransomware, dividindo os lucros com o Qilin quando a vítima paga.

Essa divisão de trabalho é o que torna as operações de RaaS tão persistentes e difíceis de desmantelar. Mesmo que as autoridades interrompam um afiliado ou derrubem parte da infraestrutura, o grupo principal e seu kit de ferramentas podem continuar operando, e novos afiliados podem surgir para lançar novos ataques. Isso também significa que o grupo de pessoas capazes de executar um ataque no estilo Qilin é maior do que uma equipe de hackers tradicional, pois os afiliados não precisam criar ransomware do zero; eles só precisam de acesso a uma rede e da disposição para implantar a ferramenta que recebem.

O Manual da Dupla Extorsão

O que diferencia o Qilin dos ransomwares mais antigos e simples é sua abordagem de dupla extorsão. Em um ataque de ransomware tradicional, os arquivos são criptografados e a vítima é solicitada a pagar por uma chave de descriptografia. O Qilin adiciona uma segunda camada de pressão: antes de criptografar os arquivos da vítima, seus afiliados roubam silenciosamente dados confidenciais da rede. Se a vítima se recusar a pagar, ou mesmo depois que o fizer, os atacantes ameaçam publicar esses dados roubados publicamente ou vendê-los a outros criminosos.

Essa tática eleva dramaticamente as apostas para as vítimas. Mesmo organizações com sistemas de backup sólidos, capazes de restaurar arquivos criptografados sem pagar resgate, ainda enfrentam a ameaça de um vazamento de dados prejudicial. Essa alavancagem é exatamente o motivo pelo qual a dupla extorsão se tornou o manual padrão em todo o ecossistema de ransomware. Vimos dinâmicas semelhantes em outros incidentes recentes, incluindo a tentativa de ransomware da Ecopetrol que expôs milhares de contas e a reivindicação de 700 GB de dados do grupo de ransomware Genesis mirando uma agência de recrutamento. Em ambos os casos, a ameaça de dados expostos, não apenas arquivos bloqueados, foi o verdadeiro ponto de pressão.

Por que Dados Roubados Continuam Aparecendo em Outros Lugares

Depois que os dados são exfiltrados em um ataque de dupla extorsão, eles não permanecem necessariamente com os atacantes originais. Registros roubados muitas vezes acabam circulando em fóruns da dark web ou são reempacotados por outros atores de ameaças que buscam lucrar ainda mais. Esse é um padrão refletido em incidentes como o conjunto de dados de clientes da Iliad Italia que apareceu à venda em um fórum da dark web, onde informações comprometidas ganharam uma segunda vida bem depois da violação inicial. Também vale notar o quão agressivos alguns grupos se tornaram ao pressionar as vítimas, como visto quando o grupo ShinyHunters escalou sua campanha Canvas ao desfigurar portais de login de escolas para forçar o pagamento. O modelo do Qilin se encaixa perfeitamente nessa tendência mais ampla: roubar primeiro, criptografar depois e usar a ameaça de exposição pública como alavancagem muito depois da intrusão inicial.

O Que Isso Significa Para Você

Se você é um indivíduo, o Qilin e operações de ransomware semelhantes são um lembrete de que seus dados pessoais muitas vezes são danos colaterais em ataques direcionados às organizações com as quais você faz negócios, empregadores, prestadores de serviços de saúde, escolas e empresas de serviços. Geralmente, você não pode impedir esses ataques por conta própria, mas pode limitar o dano que uma violação causa a você pessoalmente, minimizando os dados confidenciais que compartilha, usando senhas exclusivas para cada conta e monitorando sinais de que suas informações apareceram em um vazamento.

Se você gerencia TI para uma empresa, a natureza baseada em afiliados e de dupla extorsão do Qilin significa que a prevenção precisa acontecer antes que os dados saiam da sua rede. A segmentação de rede limita o quão longe um invasor pode se mover após uma violação inicial, reduzindo a quantidade de dados disponíveis para roubo, mesmo se um sistema estiver comprometido. Criptografar dados confidenciais em repouso e em trânsito adiciona outra camada de proteção, já que dados roubados devidamente criptografados são muito menos úteis para atacantes que ameaçam publicá-los.

Recomendações Práticas

Segmente sua rede para que um único dispositivo ou conta comprometida não conceda acesso a toda a sua infraestrutura. Mantenha backups offline e testados para que a criptografia por si só não force uma decisão de pagamento. Criptografe arquivos confidenciais para que os dados roubados tenham menos valor, mesmo se forem exfiltrados. E trate com seriedade qualquer notificação de um provedor de serviços sobre um incidente de ransomware, pois grupos de dupla extorsão como o Qilin costumam cumprir as ameaças de vazamento. Manter-se informado sobre como grupos como o Qilin operam é uma das medidas mais práticas que você pode tomar para proteger seus dados antes que eles se tornem parte do próximo vazamento.