Новый профиль угроз от Threat Radar вновь выводит Qilin в центр внимания. Также известная как Agenda, Qilin — это русскоязычная операция ransomware-as-a-service (RaaS), активная с 2022 года и выросшая в одну из самых плодовитых групп программ-вымогателей. Профиль охватывает три элемента её тактики: атаки на серверы ESXi, сеть аффилиатов и двойное вымогательство. Вместе атаки Qilin ransomware ESXi с двойным вымогательством показывают, как один скомпрометированный хост виртуализации может превратиться одновременно в массовый простой и утечку данных.

Публичное резюме профиля короткое, поэтому этот пост придерживается того, что в нём сказано, и общей механики, на которую он указывает.

Как работают атаки Qilin ransomware ESXi с двойным вымогательством

Двойное вымогательство означает, что злоумышленники оказывают два вида давления вместо одного. Сначала они шифруют системы, чтобы жертва не могла работать. Затем они похищают данные и угрожают опубликовать их на сайте утечек, если выкуп не будет выплачен. Этот второй шаг меняет расчёт для жертв. Даже организация с надёжными резервными копиями может восстановить свои системы и всё равно столкнуться с перспективой публикации конфиденциальных файлов.

Для более глубокого рассмотрения этой модели см. наше более раннее объяснение стратегии двойного вымогательства Qilin.

Почему ESXi и серверы виртуализации — главные цели

ESXi — это гипервизор, программное обеспечение, позволяющее одному физическому серверу запускать множество виртуальных машин. Такая консолидация эффективна для администраторов, и именно она делает ESXi привлекательным для операторов программ-вымогателей. Вместо шифрования одной рабочей станции за раз злоумышленник, получивший доступ к гипервизору, может вывести из строя множество серверов сразу.

Именно так один скомпрометированный хост становится массовым простоем. Электронная почта, файловые ресурсы, базы данных и бизнес-приложения могут размещаться на виртуальных машинах, находящихся на одном и том же хосте. Зашифруйте виртуальные диски — и всё, что на них работает, остановится. Поскольку тот же доступ, который позволяет шифрование, часто может быть использован для предварительного копирования данных, простой и угроза утечки обычно приходят вместе.

Это важно не только для крупных предприятий. Малый бизнес, школы, клиники и поставщики управляемых услуг часто используют несколько хостов виртуализации, на которых держится вся их деятельность, зачастую с ограниченным штатом безопасности, наблюдающим за ними.

Как сеть аффилиатов распространяет атаки Qilin

Qilin работает как ransomware-as-a-service. Основная группа разрабатывает вредоносное ПО и вспомогательную инфраструктуру, а аффилиаты осуществляют вторжения и делят доходы. Это снижает порог навыков для злоумышленников и позволяет операции масштабироваться далеко за пределы возможностей одной команды. Наше объяснение того, как ransomware-as-a-service превращает хакерство в бизнес, разбирает эту экономическую модель.

Для защитников практическое следствие состоит в том, что никакой единый шаблон атаки не определяет Qilin. Разные аффилиаты используют разные пути проникновения: украденные учётные данные, открытый удалённый доступ или неисправленное программное обеспечение. Пограничные устройства и инструменты управления являются постоянной проблемой во всей активности программ-вымогателей в целом; мы рассмотрели один пример, когда критическая уязвимость Cisco FMC была связана с активностью Qilin. Общая нить в том, что злоумышленники нацеливаются на всё, что открыто и медленно патчится.

Защита: что это значит для вас

Большинство читателей не управляют кластерами ESXi, но уроки применимы в любом масштабе. Цель — сделать одну ошибку выживаемой.

Если вы управляете виртуализацией или серверами:

  • Держите интерфейсы управления вне открытого интернета. Консоли гипервизора и администрирования должны быть доступны только через защищённый, ограниченный путь.
  • Своевременно устанавливайте патчи. В первую очередь приоритизируйте системы, доступные из интернета, и программное обеспечение для управления.
  • Сегментируйте сеть. Держите управление гипервизором, резервные копии и повседневные пользовательские устройства в отдельных сегментах, чтобы доступ к одному не давал доступа ко всем трём.
  • Защищайте резервные копии. Держите хотя бы одну копию офлайн или неизменяемой и убедитесь, что учётные данные, управляющие производственной средой, не могут также удалить резервные копии.
  • Используйте многофакторную аутентификацию для удалённого доступа и учётных записей администратора.

Если вы частное лицо или небольшая организация:

  • Следуйте принципу 3-2-1. Держите несколько копий важных данных на разных носителях, причём одна хранится офлайн.
  • Используйте уникальные пароли и включите MFA, чтобы одна украденная учётная запись не открывала всё.
  • Знайте своих поставщиков. Если поставщик услуг хранит ваши данные или управляет вашими системами, спросите, как он защищает хосты виртуализации и резервные копии.

Наше руководство по защите от программ-вымогателей для домашних пользователей подробнее охватывает базовые меры на уровне домохозяйства.

Если ваши данные появились на сайте утечек

Обнаружение своего имени или данных вашей организации на сайте утечек — это стресс, но несколько шагов помогут. Прежде чем делать выводы, подтвердите, что именно было раскрыто. Смените пароли и отзовите сессии для всех учётных записей, которые могли быть затронуты. Уведомите людей, чья информация была затронута, и проверьте, применяются ли к вам правила юридического или регуляторного уведомления. Привлеките специалистов по реагированию на инциденты, если системы затронуты, и сохраняйте журналы, а не стирайте машины в спешке. Утёкшие данные нельзя вернуть, поэтому приоритет — сократить то, что злоумышленники могут с ними сделать, например фишинг, мошенничество или повторное использование учётных данных.

Ключевые выводы

Модель Qilin ransomware ESXi с двойным вымогательством работает, потому что накапливает рычаги: одна точка опоры может означать широкомасштабное шифрование и публичную утечку данных. Вы не можете контролировать, что пытаются сделать аффилиаты, но вы можете контролировать, какой ущерб причиняет одно взлом. Проверьте свои резервные копии на этой неделе и убедитесь, что одна копия находится офлайн. Проверьте, что ваши системы пропатчены, инструменты управления не открыты, а сеть сегментирована. Для получения дополнительной информации прочитайте наше объяснение двойного вымогательства Qilin и руководство по защите от программ-вымогателей для домашних пользователей, затем проработайте основы, прежде чем злоумышленник проверит их за вас.