Группа программм-вымогателей Qilin расширяет список целей, включая федеральное агентство

Специалисты по киберугрозам выявили новую партию жертв, о которых заявила группа программм-вымогателей Qilin, также известная под именем Agenda. Согласно материалам, изученным для этой статьи, синдикат, действующий по модели «программное обеспечение-вымогатель как услуга» (RaaS), добавил пять организаций на свой сайт для вымогательства в даркнете, включая Бюро по контролю за алкоголем, табаком, огнестрельным оружием и взрывчатыми веществами США (ATF), а также частные компании Northern Leasing Systems и WireCo. Добавление федерального правоохранительного органа в криминальный сайт утечек знаменует заметную эскалацию масштаба целей, которые эти группы готовы преследовать.

Операции по модели «программное обеспечение-вымогатель как услуга», такие как Qilin, функционируют путём сдачи в аренду своей вредоносной инфраструктуры и инструментов для вымогательства хакерам-аффилиатам, которые осуществляют фактические вторжения и делят доходы с группой, стоящей за платформой. Эта бизнес-модель позволила Qilin быстро масштабировать свои операции, поражая широкий спектр секторов без необходимости проводить каждую атаку собственными силами. Группа активна в ландшафте угроз уже некоторое время, и её методы продолжают развиваться в поисках новых путей проникновения в корпоративные и государственные сети.

Как работает модель вымогательства Qilin

Qilin, как и многие современные группы программм-вымогателей, обычно полагается на стратегию двойного вымогательства. Злоумышленники проникают в сеть цели, похищают конфиденциальные данные, а затем шифруют внутренние системы. На жертв оказывается двойное давление: сначала для получения ключа расшифровки с целью восстановления работы, а затем — чтобы предотвратить публикацию или продажу украденных данных. Когда организации отказываются платить, группа вносит их в свой сайт утечек в даркнете как способ оказания публичного давления и сигнализирования другим потенциальным жертвам о том, что угроза реальна.

Эта схема была задокументирована и в других кампаниях Qilin. Ранее группа была связана с эксплуатацией уязвимостей в корпоративных устройствах безопасности, включая уязвимость обхода, затрагивающую программное обеспечение PAN-OS от Palo Alto Networks, которую программа-вымогатель Qilin эксплуатировала для получения первоначального доступа к корпоративным сетям. Этот инцидент иллюстрирует последовательную тенденцию в операциях Qilin: группа активно ищет слабые места в широко используемом инфраструктурном программном обеспечении, а затем сочетает этот доступ с кражей данных и шифрованием для максимального усиления рычагов давления на жертв.

Почему нацеливание на федеральное агентство имеет значение

Включение ATF в список утечек Qilin является значимым, поскольку это сигнализирует о том, что операторы программм-вымогателей не ограничивают себя частным сектором. Федеральные агентства располагают конфиденциальными правоохранительными данными, кадровыми записями и оперативной информацией, которые в случае раскрытия могут иметь последствия для национальной безопасности или общественной безопасности. Независимо от того, отражает ли включение ATF успешное проникновение в сеть, заявление, связанное со взломом стороннего поставщика, или неподтверждённую попытку вымогательства, его присутствие на сайте утечек программм-вымогателей привлекает внимание к тому, как эти преступные предприятия расширяют свои амбиции.

Частные организации, названные наряду с ATF, включая Northern Leasing Systems и WireCo, отражают сохраняющийся интерес Qilin к компаниям, которые располагают финансовыми, операционными или клиентскими данными, достаточно ценными для обоснования требования выкупа. Эта схема активности программм-вымогателей против широкого круга государственных и частных субъектов наблюдалась и в других местах. Аналогичный мониторинг даркнета, проведённый во Франции, показал, что активность программм-вымогателей увеличилась в четыре раза за двухлетний период, что способствовало более чем 145 миллионам зафиксированных случаев раскрытия данных. Тенденция указывает на глобальный рост частоты и охвата кампаний программм-вымогателей, а не на изолированный инцидент, связанный с какой-либо отдельной группой или регионом.

Что это значит для вас

Большинство читателей не работают напрямую в ATF, Northern Leasing Systems или WireCo, но подобные инциденты имеют более широкие последствия. Группы программм-вымогателей, успешно взламывающие федеральные агентства или крупные частные предприятия, часто получают персональные данные, принадлежащие сотрудникам, клиентам, подрядчикам или представителям общественности, которые взаимодействовали с этими организациями. Если какая-либо из названных организаций подтвердит утечку, связанную с персональными данными, затронутые лица могут в конечном итоге получить уведомления или им будет рекомендовано следить за своими счетами на предмет подозрительной активности.

В более широком смысле расширение списка целей Qilin служит напоминанием о том, что группы программм-вымогателей действуют оппортунистически. Они эксплуатируют любые существующие уязвимости — будь то в корпоративном программном обеспечении или в практиках безопасности организации — и не делают различий в зависимости от того, является ли цель государственным агентством или частной компанией. Это подчёркивает важность соблюдения хорошей цифровой гигиены независимо от того, с какими организациями вы взаимодействуете.

Практические выводы

Если вы взаимодействовали с какой-либо из названных организаций — как сотрудник, клиент или подрядчик — следите за официальными сообщениями относительно потенциального раскрытия данных. Включайте многофакторную аутентификацию везде, где это возможно, используйте уникальные пароли для чувствительных учётных записей и рассмотрите услугу кредитного мониторинга, если получите уведомление об утечке. Организациям, тем временем, следует рассматривать этот инцидент как очередное напоминание о необходимости своевременно устранять известные уязвимости, сегментировать чувствительные системы и поддерживать офлайн-резервные копии, недоступные для программм-вымогателей. Поскольку Qilin и подобные RaaS-группы продолжают расширять свои списки целей, информированность о том, какие организации затронуты, является одним из простейших способов для отдельных лиц защитить себя от последующих последствий.