Новий профіль загрози від Threat Radar знову привертає увагу до Qilin. Відома також як Agenda, Qilin — це російськомовна операція ransomware-as-a-service (RaaS), що діє з 2022 року і виросла в одну з найбільш плідних груп програм-вимагачів. Профіль охоплює три складові її арсеналу: атаки на сервери ESXi, мережу афіліатів і подвійне вимагання. Разом атаки Qilin ransomware ESXi з подвійним вимаганням демонструють, як один скомпрометований хост віртуалізації може стати одночасно масовим збоєм і витоком даних.

Публічне резюме профілю коротке, тому цей пост обмежується тим, що в ньому зазначено, та загальними механізмами, на які він вказує.

Як працює подвійне вимагання Qilin ransomware ESXi

Подвійне вимагання означає, що зловмисники застосовують два види тиску замість одного. По-перше, вони шифрують системи, щоб жертва не могла працювати. По-друге, вони викрадають дані та погрожують опублікувати їх на сайті витоків, якщо викуп не буде сплачено. Цей другий крок змінює розрахунки для жертв. Навіть організація з надійними резервними копіями може відновити свої системи й усе одно зіткнутися з перспективою публікації конфіденційних файлів.

Щоб глибше розглянути цю модель, дивіться наш попередній пояснювальний матеріал про стратегію подвійного вимагання Qilin.

Чому ESXi та сервери віртуалізації є головними цілями

ESXi — це гіпервізор, програмне забезпечення, яке дозволяє одному фізичному серверу запускати багато віртуальних машин. Така консолідація ефективна для адміністраторів, і саме вона робить ESXi привабливим для операторів програм-вимагачів. Замість шифрування однієї робочої станції за раз зловмисник, який досягає гіпервізора, може вивести з ладу багато серверів одразу.

Ось як один скомпрометований хост стає масовим збоєм. Електронна пошта, файлові ресурси, бази даних і бізнес-додатки можуть усі розміщуватися на віртуальних машинах, що працюють на одному й тому ж хості. Зашифруйте віртуальні диски — і все, що на них працює, зупиниться. Оскільки той самий доступ, який дозволяє шифрування, часто можна використати для копіювання даних, збій і загроза витоку зазвичай приходять разом.

Це важливо не лише для великих підприємств. Малі підприємства, школи, клініки та постачальники керованих послуг часто запускають кілька хостів віртуалізації, які несуть всю їхню діяльність, нерідко з обмеженим персоналом з безпеки, що за ними стежить.

Як мережа афіліатів поширює атаки Qilin

Qilin працює як ransomware-as-a-service. Основна група розробляє шкідливе програмне забезпечення та допоміжну інфраструктуру, тоді як афіліати здійснюють вторгнення й ділять доходи. Це знижує бар'єр навичок для зловмисників і дозволяє операції масштабуватися далеко за межі того, що могла б охопити одна команда. Наш пояснювальний матеріал про те, як ransomware-as-a-service перетворює хакерство на бізнес, розбирає цю економічну модель.

Для захисників практичний наслідок полягає в тому, що жоден єдиний шаблон атаки не визначає Qilin. Різні афіліати використовують різні шляхи проникнення: викрадені облікові дані, відкритий віддалений доступ або невиправлене програмне забезпечення. Периферійні пристрої та інструменти управління є постійною проблемою в усій діяльності програм-вимагачів загалом; ми висвітлювали один приклад, де критична вразливість Cisco FMC була пов'язана з активністю Qilin. Спільна риса — зловмисники полюють на все, що відкрите й повільно виправляється.

Захист: що це означає для вас

Більшість читачів не керують кластерами ESXi, але уроки застосовні в будь-якому масштабі. Мета — зробити одну помилку такою, яку можна пережити.

Якщо ви керуєте віртуалізацією або серверами:

  • Тримайте інтерфейси управління поза відкритим інтернетом. Консолі гіпервізора та адміністрування повинні бути доступні лише через захищений, обмежений шлях.
  • Виправляйте вчасно. Надавайте пріоритет системам, зверненим до інтернету, та програмному забезпеченню для управління.
  • Сегментуйте свою мережу. Тримайте управління гіпервізором, резервні копії та повсякденні пристрої користувачів на окремих сегментах, щоб доступ до одного не передавав усі три.
  • Захищайте свої резервні копії. Тримайте принаймні одну копію офлайн або незмінною та переконайтеся, що облікові дані, які керують виробничим середовищем, не можуть також видаляти резервні копії.
  • Використовуйте багатофакторну автентифікацію для віддаленого доступу та облікових записів адміністраторів.

Якщо ви є окремою особою або невеликою організацією:

  • Дотримуйтеся принципу 3-2-1. Тримайте кілька копій важливих даних на різних носіях, одна з яких зберігається офлайн.
  • Використовуйте унікальні паролі та вмикайте MFA, щоб один викрадений обліковий запис не відкривав усе.
  • Знайте своїх постачальників. Якщо постачальник послуг зберігає ваші дані або керує вашими системами, запитайте, як він захищає хости віртуалізації та резервні копії.

Наш посібник із захисту від програм-вимагачів для домашніх користувачів детальніше охоплює основи побутового рівня.

Якщо ваші дані з'явилися на сайті витоків

Виявити своє ім'я або дані вашої організації на сайті витоків — це стрес, але кілька кроків допоможуть. Підтвердьте, що саме було розкрито, перш ніж робити висновки. Змініть паролі та відкличте сесії для будь-яких облікових записів, які можуть бути порушені. Повідомте людей, чия інформація була задіяна, і перевірте, чи застосовуються до вас правила юридичного або регуляторного повідомлення. Залучіть фахівців із реагування на інциденти, якщо системи постраждали, і зберігайте журнали, а не стирайте машини в поспіху. Витік даних не можна відкликати, тому пріоритет — зменшити те, що зловмисники можуть з ними зробити, наприклад фішинг, шахрайство або повторне використання облікових даних.

Ключові висновки

Модель подвійного вимагання Qilin ransomware ESXi працює, бо вона накопичує важелі впливу: один плацдарм може означати широкомасштабне шифрування та публічний витік даних. Ви не можете контролювати, що намагаються зробити афіліати, але ви можете контролювати, скільки шкоди завдасть один злом. Перегляньте свої резервні копії цього тижня та переконайтеся, що одна копія знаходиться офлайн. Перевірте, що ваші системи виправлені, що інструменти управління не відкриті та що ваша мережа сегментована. Для отримання додаткової інформації прочитайте наш пояснювальний матеріал про подвійне вимагання Qilin та посібник із захисту від програм-вимагачів для домашніх користувачів, а потім опрацюйте основи, перш ніж зловмисник перевірить їх за вас.