Threat Radar'dan yeni bir tehdit profili Qilin'i yeniden gündeme taşıyor. Agenda olarak da bilinen Qilin, 2022'den bu yana faaliyet gösteren ve en üretken fidye yazılımı gruplarından biri haline gelen, Rusça konuşan bir hizmet olarak fidye yazılımı (RaaS) operasyonudur. Profil, oyun kitabının üç parçasını ele alıyor: ESXi sunucularına yönelik saldırılar, bir iştirak ağı ve çifte şantaj. Qilin fidye yazılımı ESXi çifte şantaj saldırıları birlikte ele alındığında, ele geçirilmiş tek bir sanallaştırma sunucusunun nasıl hem kitlesel bir kesintiye hem de bir veri sızıntısına dönüşebileceğini gösteriyor.

Profilin kamuya açık özeti kısa, bu nedenle bu yazı yalnızca belirtilenlerle ve işaret ettiği genel mekaniklerle sınırlı kalıyor.

Qilin fidye yazılımı ESXi çifte şantajı nasıl işler

Çifte şantaj, saldırganların tek yerine iki tür baskı uyguladığı anlamına gelir. Önce, mağdurun çalışamaması için sistemleri şifrelerler. İkinci olarak, verileri çalar ve fidye ödenmezse bunları bir sızıntı sitesinde yayımlamakla tehdit ederler. Bu ikinci adım, mağdurlar için hesabı değiştirir. Sağlam yedeklere sahip bir kuruluş bile sistemlerini geri yükleyebilir ve yine de hassas dosyaların kamuya açılması ihtimaliyle karşı karşıya kalabilir.

Bu model hakkında daha derin bir bakış için daha önceki Qilin'in çifte şantaj stratejisi açıklamamıza göz atın.

ESXi ve sanallaştırma sunucuları neden başlıca hedeflerdir

ESXi bir hipervizördür; tek bir fiziksel sunucunun birçok sanal makine çalıştırmasına olanak tanıyan yazılımdır. Bu birleştirme yöneticiler için verimlidir ve aynı zamanda ESXi'yi fidye yazılımı operatörleri için cazip kılan şeydir. Saldırgan, her seferinde bir iş istasyonunu şifrelemek yerine hipervizöre ulaştığında aynı anda birçok sunucuyu devre dışı bırakabilir.

Tek bir ele geçirilmiş sunucunun kitlesel bir kesintiye dönüşmesi işte böyle olur. E-posta, dosya paylaşımları, veritabanları ve iş uygulamaları aynı sunucuda bulunan sanal makinelerde yaşıyor olabilir. Sanal diskleri şifreleyin, üzerlerindeki her şey durur. Şifrelemeye izin veren aynı erişim genellikle önce verileri kopyalamak için de kullanılabildiğinden, kesinti ve sızıntı tehdidi birlikte gelme eğilimindedir.

Bu, büyük kuruluşların ötesinde de önemlidir. Küçük işletmeler, okullar, klinikler ve yönetilen hizmet sağlayıcıları genellikle tüm operasyonlarını taşıyan birkaç sanallaştırma sunucusu çalıştırır ve bunları izleyen güvenlik personeli sıklıkla sınırlıdır.

İştirak ağı Qilin saldırılarını nasıl yayar

Qilin, hizmet olarak fidye yazılımı olarak işler. Çekirdek grup kötü amaçlı yazılımı ve destekleyici altyapıyı geliştirirken, iştirakler ihlalleri gerçekleştirir ve gelirleri paylaşır. Bu, saldırganlar için beceri eşiğini düşürür ve operasyonun tek bir ekibin yönetebileceğinin çok ötesinde ölçeklenmesini sağlar. Hizmet olarak fidye yazılımının hacklemeyi nasıl bir işe dönüştürdüğü hakkındaki açıklamamız bu ekonomik modeli ayrıntılı olarak ele alıyor.

Savunucular için pratik sonuç, Qilin'i tanımlayan tek bir saldırı modelinin olmamasıdır. Farklı iştirakler farklı giriş yolları kullanır: çalınmış kimlik bilgileri, açıkta bırakılmış uzaktan erişim veya yamalanmamış yazılım. Uç cihazlar ve yönetim araçları genel olarak fidye yazılımı faaliyetlerinde sürekli bir endişe kaynağıdır; kritik bir Cisco FMC kusurunun Qilin faaliyetleriyle ilişkilendirildiği bir örneği ele almıştık. Ortak nokta, saldırganların açıkta olan ve yamalanması yavaş olan ne varsa peşine düşmesidir.

Savunmalar: bu sizin için ne anlama geliyor

Çoğu okuyucu ESXi kümeleri çalıştırmaz, ancak dersler her ölçekte geçerlidir. Amaç, tek bir hatanın atlatılabilir olmasını sağlamaktır.

Sanallaştırma veya sunucu çalıştırıyorsanız:

  • Yönetim arayüzlerini açık internetten uzak tutun. Hipervizör ve yönetim konsollarına yalnızca korumalı, kısıtlı bir yoldan erişilebilmelidir.
  • Hızlı yamalayın. İnternete açık sistemlere ve yönetim yazılımına öncelik verin.
  • Ağınızı segmentlere ayırın. Hipervizör yönetimini, yedekleri ve günlük kullanıcı cihazlarını ayrı segmentlerde tutun, böylece birine erişim üçünün tamamını teslim etmesin.
  • Yedeklerinizi koruyun. En az bir kopyayı çevrimdışı veya değiştirilemez tutun ve üretimi yöneten kimlik bilgilerinin yedekleri de silemediğinden emin olun.
  • Uzaktan erişim ve yönetici hesaplarında çok faktörlü kimlik doğrulama kullanın.

Bireysel veya küçük bir kuruluşsanız:

  • 3-2-1 fikrini izleyin. Önemli verilerin birden fazla kopyasını farklı ortamlarda, biri çevrimdışı olacak şekilde tutun.
  • Benzersiz parolalar kullanın ve MFA'yı açın, böylece tek bir çalınmış kimlik bilgisi her şeyi açmasın.
  • Satıcılarınızı bilin. Bir hizmet sağlayıcı verilerinizi tutuyor veya sistemlerinizi yönetiyorsa, sanallaştırma sunucularını ve yedekleri nasıl koruduklarını sorun.

Ev kullanıcıları için fidye yazılımı koruması rehberimiz, ev düzeyindeki temelleri daha ayrıntılı olarak ele alıyor.

Verileriniz bir sızıntı sitesinde görünürse

Adınızı veya kuruluşunuzun verilerini bir sızıntı sitesinde bulmak streslidir, ancak birkaç adım yardımcı olur. Sonuç çıkarmadan önce gerçekte neyin açığa çıktığını doğrulayın. Etkilenmiş olabilecek tüm hesaplar için parolaları değiştirin ve oturumları iptal edin. Bilgileri söz konusu olan kişileri bilgilendirin ve yasal veya düzenleyici bildirim kurallarının sizin için geçerli olup olmadığını kontrol edin. Sistemler etkilenmişse olay müdahale uzmanlarını devreye sokun ve makineleri aceleyle silmek yerine günlükleri koruyun. Sızdırılan veriler geri alınamaz, bu nedenle öncelik, saldırganların bunlarla yapabileceklerini (kimlik avı, dolandırıcılık veya kimlik bilgisi yeniden kullanımı gibi) azaltmaktır.

Önemli çıkarımlar

Qilin fidye yazılımı ESXi çifte şantaj modeli işe yarar çünkü kaldıraçları üst üste bindirir: tek bir dayanak noktası, yaygın şifreleme ve kamuya açık bir veri sızıntısı anlamına gelebilir. İştiraklerin ne deneyeceğini kontrol edemezsiniz, ancak tek bir ihlalin ne kadar hasara yol açacağını kontrol edebilirsiniz. Bu hafta yedeklerinizi gözden geçirin ve bir kopyanın çevrimdışı olduğunu doğrulayın. Sistemlerinizin yamalı olduğunu, yönetim araçlarının açıkta olmadığını ve ağınızın segmentlere ayrıldığını kontrol edin. Daha fazla bilgi için Qilin çifte şantaj açıklamamızı ve ev kullanıcısı fidye yazılımı koruma rehberini okuyun, ardından bir saldırgan bunları sizin için test etmeden önce temelleri gözden geçirin.