โปรไฟล์ภัยคุกคามฉบับใหม่จาก Threat Radar ทำให้ Qilin กลับมาเป็นที่จับตามองอีกครั้ง หรือที่รู้จักในชื่อ Agenda Qilin คือปฏิบัติการแรนซัมแวร์-as-a-service (RaaS) ที่พูดภาษารัสเซีย ซึ่งเคลื่อนไหวมาตั้งแต่ปี 2022 และเติบโตขึ้นเป็นหนึ่งในกลุ่มแรนซัมแวร์ที่ก่อเหตุมากที่สุด โปรไฟล์นี้ครอบคลุมสามส่วนของกลยุทธ์การโจมตี ได้แก่ การโจมตีเซิร์ฟเวอร์ ESXi เครือข่ายพันธมิตร และการกรรโชกทรัพย์สองชั้น เมื่อรวมกันแล้ว การโจมตีแบบกรรโชกทรัพย์สองชั้นผ่านแรนซัมแวร์ Qilin บน ESXi แสดงให้เห็นว่าโฮสต์เสมือนเครื่องเดียวที่ถูกบุกรุกสามารถกลายเป็นทั้งเหตุขัดข้องเป็นวงกว้างและการรั่วไหลของข้อมูลได้อย่างไร

บทสรุปสาธารณะของโปรไฟล์นี้สั้น บทความนี้จึงยึดตามสิ่งที่ระบุไว้และกลไกทั่วไปที่ชี้ให้เห็น

การกรรโชกทรัพย์สองชั้นของแรนซัมแวร์ Qilin บน ESXi ทำงานอย่างไร

การกรรโชกทรัพย์สองชั้นหมายความว่าผู้โจมตีใช้แรงกดดันสองรูปแบบแทนที่จะเป็นหนึ่งรูปแบบ ขั้นแรก พวกเขาเข้ารหัสระบบเพื่อให้เหยื่อไม่สามารถดำเนินงานได้ ขั้นที่สอง พวกเขาขโมยข้อมูลและขู่ว่าจะเผยแพร่บนเว็บไซต์รั่วไหลหากไม่จ่ายค่าไถ่ ขั้นที่สองนี้เปลี่ยนสมการสำหรับเหยื่อ แม้องค์กรที่มีระบบสำรองข้อมูลที่แข็งแกร่งก็สามารถกู้คืนระบบได้ แต่ยังคงเผชิญกับความเป็นไปได้ที่ไฟล์ละเอียดอ่อนจะถูกเปิดเผยต่อสาธารณะ

สำหรับมุมมองที่ลึกซึ้งยิ่งขึ้นเกี่ยวกับรูปแบบนี้ โปรดดูคำอธิบายก่อนหน้าของเราเกี่ยวกับกลยุทธ์การกรรโชกทรัพย์สองชั้นของ Qilin

ทำไม ESXi และเซิร์ฟเวอร์เสมือนจึงเป็นเป้าหมายหลัก

ESXi คือไฮเปอร์ไวเซอร์ ซึ่งเป็นซอฟต์แวร์ที่ทำให้เซิร์ฟเวอร์ทางกายภาพเครื่องเดียวสามารถรันเครื่องเสมือนได้หลายเครื่อง การรวมศูนย์นี้มีประสิทธิภาพสำหรับผู้ดูแลระบบ และนั่นก็เป็นสิ่งที่ทำให้ ESXi น่าสนใจสำหรับผู้ดำเนินการแรนซัมแวร์ แทนที่จะเข้ารหัสเวิร์กสเตชันทีละเครื่อง ผู้โจมตีที่เข้าถึงไฮเปอร์ไวเซอร์สามารถทำให้เซิร์ฟเวอร์หลายเครื่องล่มพร้อมกันได้

นี่คือวิธีที่โฮสต์เดียวที่ถูกบุกรุกกลายเป็นเหตุขัดข้องเป็นวงกว้าง อีเมล การแชร์ไฟล์ ฐานข้อมูล และแอปพลิเคชันทางธุรกิจอาจอยู่บนเครื่องเสมือนที่ตั้งอยู่บนโฮสต์เดียวกันทั้งหมด เข้ารหัสดิสก์เสมือนแล้วทุกอย่างที่อยู่เหนือขึ้นไปก็หยุดทำงาน เนื่องจากการเข้าถึงเดียวกันที่อนุญาตให้เข้ารหัสมักถูกใช้เพื่อคัดลอกข้อมูลออกไปก่อนได้ เหตุขัดข้องและภัยคุกคามจากการรั่วไหลจึงมักมาพร้อมกัน

เรื่องนี้มีความสำคัญเกินกว่าองค์กรขนาดใหญ่ ธุรกิจขนาดเล็ก โรงเรียน คลินิก และผู้ให้บริการจัดการ (MSP) มักรันโฮสต์เสมือนเพียงไม่กี่เครื่องที่รองรับการดำเนินงานทั้งหมด โดยมักมีเจ้าหน้าที่รักษาความปลอดภัยจำกัดในการเฝ้าระวัง

เครือข่ายพันธมิตรแพร่กระจายการโจมตี Qilin อย่างไร

Qilin ดำเนินงานในรูปแบบแรนซัมแวร์-as-a-service กลุ่มแกนหลักพัฒนา malware และโครงสร้างพื้นฐานสนับสนุน ขณะที่พันธมิตรดำเนินการบุกรุกและแบ่งปันผลประโยชน์ สิ่งนี้ลดกำแพงทักษะสำหรับผู้โจมตีและทำให้ปฏิบัติการขยายขนาดได้ไกลเกินกว่าที่ทีมเดียวจะจัดการได้ คำอธิบายของเราเกี่ยวกับวิธีที่แรนซัมแวร์-as-a-service เปลี่ยนการแฮ็กให้เป็นธุรกิจ ได้แยกย่อยรูปแบบเศรษฐกิจนั้น

สำหรับฝ่ายป้องกัน ผลที่ตามมาในทางปฏิบัติคือไม่มีรูปแบบการโจมตีใดรูปแบบเดียวที่นิยาม Qilin พันธมิตรแต่ละรายใช้วิธีเข้าที่แตกต่างกัน ไม่ว่าจะเป็นข้อมูลรับรองที่ถูกขโมย การเข้าถึงระยะไกลที่เปิดเผย หรือซอฟต์แวร์ที่ไม่ได้แพตช์ อุปกรณ์ปลายขอบและเครื่องมือจัดการเป็นข้อกังวลที่เกิดซ้ำ throughout กิจกรรมแรนซัมแวร์โดยทั่วไป เราได้ครอบคลุมตัวอย่างหนึ่งที่ช่องโหว่ร้ายแรงของ Cisco FMC ถูกเชื่อมโยงกับกิจกรรมของ Qilin เส้นด้ายร่วมคือผู้โจมตีเลือกโจมตีสิ่งที่เปิดเผยและแพตช์ช้า

การป้องกัน: สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ผู้อ่านส่วนใหญ่ไม่ได้รันคลัสเตอร์ ESXi แต่บทเรียนสามารถนำไปใช้ได้ในทุกระดับ เป้าหมายคือทำให้ความผิดพลาดครั้งเดียวสามารถอยู่รอดได้

หากคุณรันระบบเสมือนหรือเซิร์ฟเวอร์:

  • เก็บอินเทอร์เฟซการจัดการให้ห่างจากอินเทอร์เน็ตสาธารณะ คอนโซลไฮเปอร์ไวเซอร์และการดูแลระบบควรเข้าถึงได้ผ่านเส้นทางที่ได้รับการป้องกันและจำกัดเท่านั้น
  • แพตช์อย่างทันท่วงที ให้ความสำคัญกับระบบที่หันหน้าเข้าหาอินเทอร์เน็ตและซอฟต์แวร์การจัดการ
  • แบ่งส่วนเครือข่ายของคุณ แยกการจัดการไฮเปอร์ไวเซอร์ ระบบสำรองข้อมูล และอุปกรณ์ผู้ใช้ทั่วไปไว้ออกจากกัน เพื่อให้การเข้าถึงส่วนหนึ่งไม่ส่งมอบทั้งสามส่วน
  • ปกป้องระบบสำรองข้อมูลของคุณ เก็บสำเนาอย่างน้อยหนึ่งชุดแบบออฟไลน์หรือไม่สามารถแก้ไขได้ และตรวจสอบว่าข้อมูลรับรองที่จัดการระบบโปรดักชันไม่สามารถลบระบบสำรองข้อมูลได้เช่นกัน
  • ใช้การตรวจสอบสิทธิ์หลายปัจจัย กับการเข้าถึงระยะไกลและบัญชีผู้ดูแลระบบ

หากคุณเป็นบุคคลทั่วไปหรือองค์กรขนาดเล็ก:

  • ปฏิบัติตามแนวคิด 3-2-1 เก็บสำเนาข้อมูลสำคัญหลายชุดบนสื่อที่แตกต่างกัน โดยหนึ่งชุดเก็บแบบออฟไลน์
  • ใช้รหัสผ่านที่ไม่ซ้ำกันและเปิดใช้ MFA เพื่อให้ข้อมูลรับรองที่ถูกขโมยเพียงชุดเดียวไม่เปิดทุกอย่าง
  • รู้จักผู้ให้บริการของคุณ หากผู้ให้บริการถือข้อมูลของคุณหรือจัดการระบบของคุณ ให้ถามว่าพวกเขาปกป้องโฮสต์เสมือนและระบบสำรองข้อมูลอย่างไร

คู่มือของเราเกี่ยวกับการป้องกันแรนซัมแวร์สำหรับผู้ใช้ในบ้าน ครอบคลุมพื้นฐานระดับครัวเรือนโดยละเอียดยิ่งขึ้น

หากข้อมูลของคุณปรากฏบนเว็บไซต์รั่วไหล

การพบชื่อของคุณหรือข้อมูลขององค์กรบนเว็บไซต์รั่วไหลเป็นเรื่องเครียด แต่มีขั้นตอนสองสามข้อที่ช่วยได้ ยืนยันสิ่งที่ถูกเปิดเผยจริงก่อนสรุปผล เปลี่ยนรหัสผ่านและเพิกถอนเซสชันสำหรับบัญชีที่อาจได้รับผลกระทบ แจ้งให้ผู้ที่ข้อมูลเกี่ยวข้องทราบ และตรวจสอบว่ากฎการแจ้งเตือนทางกฎหมายหรือกฎระเบียบใช้กับคุณหรือไม่ นำผู้เชี่ยวชาญด้านการตอบสนองต่อเหตุการณ์เข้ามาหากระบบได้รับผลกระทบ และเก็บรักษาบันทึกแทนการล้างเครื่องอย่างเร่งรีบ ข้อมูลที่รั่วไหลไม่สามารถเรียกคืนได้ ดังนั้นลำดับความสำคัญคือการลดสิ่งที่ผู้โจมตีสามารถทำได้กับข้อมูลนั้น เช่น ฟิชชิง การฉ้อโกง หรือการใช้ข้อมูลรับรองซ้ำ

ประเด็นสำคัญ

รูปแบบการกรรโชกทรัพย์สองชั้นของแรนซัมแวร์ Qilin บน ESXi ทำงานได้เพราะมันซ้อนทับแรงกดดัน จุดยึดเหนี่ยวหนึ่งจุดสามารถหมายถึงการเข้ารหัสเป็นวงกว้างและการรั่วไหลของข้อมูลต่อสาธารณะ คุณไม่สามารถควบคุมสิ่งที่พันธมิตรพยายามทำได้ แต่คุณสามารถควบคุมได้ว่าการบุกรุกครั้งเดียวจะก่อความเสียหายมากเพียงใด ตรวจสอบระบบสำรองข้อมูลของคุณในสัปดาห์นี้และยืนยันว่ามีสำเนาหนึ่งชุดแบบออฟไลน์ ตรวจสอบว่าระบบของคุณได้รับการแพตช์แล้ว เครื่องมือการจัดการไม่ถูกเปิดเผย และเครือข่ายของคุณถูกแบ่งส่วนแล้ว สำหรับข้อมูลเพิ่มเติม โปรดอ่านคำอธิบายการกรรโชกทรัพย์สองชั้นของ Qilin และคู่มือการป้องกันแรนซัมแวร์สำหรับผู้ใช้ในบ้าน จากนั้นทำความเข้าใจพื้นฐานก่อนที่ผู้โจมตีจะทดสอบ它們แทนคุณ