Un nou profil de amenințare de la Threat Radar readuce Qilin în prim-plan. Cunoscut și sub numele de Agenda, Qilin este o operațiune ransomware-as-a-service (RaaS) vorbitor de limbă rusă, activă din 2022 și care a devenit unul dintre cele mai prolifice grupuri de ransomware. Profilul acoperă trei elemente din modul său de operare: atacurile asupra serverelor ESXi, o rețea de afiliați și dubla extorcare. Împreună, atacurile Qilin ransomware ESXi cu dublă extorcare arată cum un singur host de virtualizare compromis poate deveni atât o întrerupere masivă, cât și o scurgere de date.

Rezumatul public al profilului este scurt, așa că această postare se limitează la ceea ce afirmă acesta și la mecanismele generale la care face referire.

Cum funcționează ransomware-ul Qilin ESXi cu dublă extorcare

Dubla extorcare înseamnă că atacatorii aplică două tipuri de presiune în loc de unul. Mai întâi, criptează sistemele astfel încât victima să nu poată opera. Apoi, fură date și amenință că le vor publica pe un site de scurgeri dacă răscumpărarea nu este plătită. Al doilea pas schimbă calculele pentru victime. Chiar și o organizație cu backup-uri solide își poate restaura sistemele și totuși se poate confrunta cu perspectiva ca fișiere sensibile să devină publice.

Pentru o analiză mai detaliată a acestui model, consultați explicația noastră anterioară despre strategia de dublă extorcare a Qilin.

De ce ESXi și serverele de virtualizare sunt ținte principale

ESXi este un hypervisor, software-ul care permite unui singur server fizic să ruleze mai multe mașini virtuale. Această consolidare este eficientă pentru administratori și este totodată ceea ce face ESXi atractiv pentru operatorii de ransomware. În loc să cripteze o stație de lucru pe rând, un atacator care ajunge la hypervisor poate scoate din funcțiune multe servere simultan.

Astfel, un singur host compromis devine o întrerupere masivă. E-mailul, partajările de fișiere, bazele de date și aplicațiile de business pot locui toate pe mașini virtuale aflate pe același host. Criptați discurile virtuale și tot ce se află deasupra lor se oprește. Deoarece același acces care permite criptarea poate fi adesea folosit pentru a copia date mai întâi, întreruperea și amenințarea cu scurgerea tind să apară împreună.

Acest lucru contează dincolo de marile întreprinderi. IMM-urile, școlile, clinicile și furnizorii de servicii gestionate rulează adesea câteva hosturi de virtualizare care susțin întreaga lor operațiune, frecvent cu personal de securitate limitat care le supraveghează.

Cum rețeaua de afiliați răspândește atacurile Qilin

Qilin funcționează ca ransomware-as-a-service. Grupul central dezvoltă malware-ul și infrastructura de suport, în timp ce afiliații efectuează intruziunile și împart veniturile. Acest lucru coboară bariera de competențe pentru atacatori și permite operațiunii să se scaleze mult dincolo de ceea ce ar putea gestiona o singură echipă. Explicația noastră despre cum transformă ransomware-as-a-service hackingul într-o afacere detaliază acest model economic.

Pentru apărători, consecința practică este că niciun tipar unic de atac nu definește Qilin. Diferiți afiliați folosesc căi diferite de intrare, fie credențiale furate, acces la distanță expus sau software neactualizat. Dispozitivele de la marginea rețelei și instrumentele de management sunt o preocupare recurentă în activitatea ransomware în general; am acoperit un exemplu în care o vulnerabilitate critică Cisco FMC a fost asociată cu activitatea Qilin. Firul comun este că atacatorii vizează orice este expus și lent la actualizare.

Apărări: ce înseamnă acest lucru pentru dvs.

Cei mai mulți cititori nu administrează clustere ESXi, dar lecțiile se aplică la orice scară. Scopul este de a face o singură greșeală supraviețuibilă.

Dacă administrați virtualizare sau servere:

  • Țineți interfețele de management în afara internetului deschis. Consolele hypervisorului și cele administrative ar trebui să fie accesibile doar printr-o cale protejată și restricționată.
  • Aplicați patch-urile prompt. Prioritizați sistemele expuse la internet și software-ul de management.
  • Segmentați-vă rețeaua. Țineți managementul hypervisorului, backup-urile și dispozitivele obișnuite ale utilizatorilor pe segmente separate, astfel încât accesul la unul să nu le predea pe toate trei.
  • Protejați-vă backup-urile. Păstrați cel puțin o copie offline sau imuabilă și asigurați-vă că credențialele care administrează producția nu pot șterge și backup-urile.
  • Folosiți autentificarea multi-factor pentru accesul la distanță și conturile de administrator.

Dacă sunteți o persoană fizică sau o organizație mică:

  • Urmați ideea 3-2-1. Păstrați mai multe copii ale datelor importante, pe medii diferite, cu una stocată offline.
  • Folosiți parole unice și activați MFA, astfel încât o singură credențială furată să nu deschidă totul.
  • Cunoașteți-vă furnizorii. Dacă un furnizor de servicii deține datele dvs. sau administrează sistemele dvs., întrebați cum protejează hosturile de virtualizare și backup-urile.

Ghidul nostru despre protecția împotriva ransomware pentru utilizatorii casnici acoperă mai detaliat elementele de bază la nivel de gospodărie.

Dacă datele dvs. apar pe un site de scurgeri

Găsirea numelui dvs. sau a datelor organizației dvs. pe un site de scurgeri este stresantă, dar câțiva pași ajută. Confirmați ce a fost expus de fapt înainte de a trage concluzii. Schimbați parolele și revocați sesiunile pentru orice conturi care ar putea fi afectate. Notificați persoanele ale căror informații au fost implicate și verificați dacă vi se aplică reguli de notificare legală sau de reglementare. Apelați la profesioniști în răspuns la incidente dacă sistemele sunt afectate și păstrați jurnalele în loc să ștergeți mașinile în grabă. Datele scurse nu pot fi recuperate, așa că prioritatea este reducerea a ceea ce atacatorii pot face cu ele, cum ar fi phishing, fraudă sau reutilizarea credențialelor.

Concluzii cheie

Modelul Qilin ransomware ESXi cu dublă extorcare funcționează pentru că acumulează leverage: un singur punct de sprijin poate însemna criptare pe scară largă și o scurgere publică de date. Nu puteți controla ce încearcă afiliații, dar puteți controla cât de mult damage produce o singură spargere. Revizuiți-vă backup-urile săptămâna aceasta și confirmați că o copie este offline. Verificați dacă sistemele dvs. sunt actualizate, dacă instrumentele de management nu sunt expuse și dacă rețeaua dvs. este segmentată. Pentru mai mult context, citiți explicația noastră despre dubla extorcare Qilin și ghidul de protecție împotriva ransomware pentru utilizatorii casnici, apoi parcurgeți elementele de bază înainte ca un atacator să le testeze pentru dvs.