Qilin ransomware còn được gọi là gì?

Qilin còn được gọi là Agenda. Đây là một chiến dịch ransomware-as-a-service nói tiếng Nga hoạt động từ năm 2022.

Tống tiền kép có nghĩa là gì trong các cuộc tấn công Qilin?

Kẻ tấn công trước tiên mã hóa hệ thống để nạn nhân không thể vận hành, sau đó đánh cắp dữ liệu và đe dọa công bố trên một trang web rò rỉ nếu tiền chuộc không được trả.

Tại sao ESXi và máy chủ ảo hóa là mục tiêu hàng đầu của Qilin?

Một kẻ tấn công tiếp cận được hypervisor có thể hạ gục nhiều máy chủ cùng lúc, vì email, chia sẻ tệp, cơ sở dữ liệu và ứng dụng có thể đều nằm trên các máy ảo trên cùng một máy chủ.

Mạng lưới chi nhánh của Qilin giúp lan truyền các cuộc tấn công như thế nào?

Qilin hoạt động như ransomware-as-a-service, trong đó nhóm cốt lõi phát triển phần mềm độc hại và cơ sở hạ tầng trong khi các chi nhánh thực hiện các vụ xâm nhập và chia sẻ lợi nhuận, làm giảm rào cản kỹ năng và mở rộng quy mô chiến dịch.

Các chi nhánh khác nhau của Qilin có sử dụng cùng phương thức tấn công không?

Không, các chi nhánh khác nhau sử dụng các cách thức xâm nhập khác nhau, chẳng hạn như thông tin đăng nhập bị đánh cắp, truy cập từ xa bị lộ hoặc phần mềm chưa được vá.

Mã độc tống tiền Qilin ESXi tống tiền kép: Hồ sơ mối đe dọa mới

Một hồ sơ mối đe dọa mới từ Threat Radar đưa Qilin trở lại tâm điểm. Còn được gọi là Agenda, Qilin là một chiến dịch ransomware-as-a-service (RaaS) nói tiếng Nga đã hoạt động từ năm 2022 và đã phát triển thành một trong những nhóm ransomware sung mãn nhất. Hồ sơ này đề cập đến ba phần trong kịch bản của nó: các cuộc tấn công vào máy chủ ESXi, mạng lưới chi nhánh, và tống tiền kép. Cùng nhau, các cuộc tấn công tống tiền kép Qilin ransomware ESXi cho thấy cách một máy chủ ảo hóa bị xâm phạm có thể trở thành cả một sự cố ngừng hoạt động hàng loạt và một vụ rò rỉ dữ liệu.

Bản tóm tắt công khai của hồ sơ rất ngắn gọn, vì vậy bài viết này chỉ giới hạn ở những gì nó nêu và các cơ chế chung mà nó đề cập.

Cách thức hoạt động của tống tiền kép Qilin ransomware ESXi

Tống tiền kép có nghĩa là kẻ tấn công áp dụng hai loại áp lực thay vì một. Đầu tiên, chúng mã hóa hệ thống để nạn nhân không thể vận hành. Thứ hai, chúng đánh cắp dữ liệu và đe dọa công bố trên một trang web rò rỉ nếu tiền chuộc không được trả. Bước thứ hai đó thay đổi bài toán đối với nạn nhân. Ngay cả một tổ chức có bản sao lưu vững chắc cũng có thể khôi phục hệ thống của mình và vẫn phải đối mặt với viễn cảnh các tệp nhạy cảm bị công bố.

Để có cái nhìn sâu hơn về mô hình này, hãy xem bài giải thích trước đây của chúng tôi về chiến lược tống tiền kép của Qilin.

Tại sao ESXi và máy chủ ảo hóa là mục tiêu hàng đầu

ESXi là một hypervisor, phần mềm cho phép một máy chủ vật lý duy nhất chạy nhiều máy ảo. Việc hợp nhất đó hiệu quả cho các quản trị viên, và đó cũng là điều khiến ESXi trở nên hấp dẫn đối với các nhà điều hành ransomware. Thay vì mã hóa từng máy trạm một, một kẻ tấn công tiếp cận được hypervisor có thể hạ gục nhiều máy chủ cùng lúc.

Đây là cách một máy chủ bị xâm phạm duy nhất trở thành một sự cố ngừng hoạt động hàng loạt. Email, chia sẻ tệp, cơ sở dữ liệu và các ứng dụng kinh doanh cốt lõi có thể đều nằm trên các máy ảo đặt trên cùng một máy chủ. Mã hóa các đĩa ảo và mọi thứ trên chúng sẽ dừng lại. Bởi vì quyền truy cập cho phép mã hóa thường cũng có thể được sử dụng để sao chép dữ liệu ra trước, sự cố ngừng hoạt động và mối đe dọa rò rỉ có xu hướng đến cùng nhau.

Điều này quan trọng không chỉ với các doanh nghiệp lớn. Các doanh nghiệp nhỏ, trường học, phòng khám và nhà cung cấp dịch vụ được quản lý thường vận hành một vài máy chủ ảo hóa mang toàn bộ hoạt động của họ, thường với đội ngũ bảo mật hạn chế giám sát chúng.

Cách mạng lưới chi nhánh lan truyền các cuộc tấn công Qilin

Qilin hoạt động như ransomware-as-a-service. Nhóm cốt lõi phát triển phần mềm độc hại và cơ sở hạ tầng hỗ trợ, trong khi các chi nhánh thực hiện các vụ xâm nhập và chia sẻ lợi nhuận. Điều này làm giảm rào cản kỹ năng cho kẻ tấn công và cho phép chiến dịch mở rộng vượt xa những gì một nhóm đơn lẻ có thể quản lý. Bài giải thích của chúng tôi về cách ransomware-as-a-service biến tin tặc thành một doanh nghiệp phân tích mô hình kinh tế đó.

Đối với các nhà phòng thủ, hậu quả thực tế là không có một mô hình tấn công duy nhất nào định nghĩa Qilin. Các chi nhánh khác nhau sử dụng các cách thức xâm nhập khác nhau, có thể là thông tin đăng nhập bị đánh cắp, truy cập từ xa bị lộ hoặc phần mềm chưa được vá. Các thiết bị biên và công cụ quản lý là mối quan tâm thường xuyên trong hoạt động ransomware nói chung; chúng tôi đã đề cập đến một ví dụ trong đó một lỗ hổng nghiêm trọng của Cisco FMC có liên quan đến hoạt động của Qilin. Điểm chung là kẻ tấn công nhắm vào bất cứ thứ gì bị lộ và chậm được vá.

Phòng thủ: điều này có ý nghĩa gì với bạn

Hầu hết độc giả không vận hành cụm ESXi, nhưng các bài học áp dụng ở mọi quy mô. Mục tiêu là làm cho một sai lầm có thể sống sót được.

Nếu bạn vận hành ảo hóa hoặc máy chủ:

Giữ các giao diện quản lý ngoài internet công cộng. Bảng điều khiển hypervisor và quản trị chỉ nên được truy cập thông qua một đường dẫn được bảo vệ và hạn chế.
Vá kịp thời. Ưu tiên các hệ thống hướng internet và phần mềm quản lý.
Phân đoạn mạng của bạn. Giữ quản lý hypervisor, sao lưu và thiết bị người dùng hàng ngày trên các phân đoạn riêng biệt để quyền truy cập vào một phân đoạn không trao quyền truy cập cả ba.
Bảo vệ bản sao lưu của bạn. Giữ ít nhất một bản sao ngoại tuyến hoặc bất biến, và đảm bảo rằng thông tin đăng nhập quản lý môi trường sản xuất không thể xóa bản sao lưu.
Sử dụng xác thực đa yếu tố trên truy cập từ xa và tài khoản quản trị viên.

Nếu bạn là cá nhân hoặc tổ chức nhỏ:

Tuân theo nguyên tắc 3-2-1. Giữ nhiều bản sao dữ liệu quan trọng, trên các phương tiện khác nhau, với một bản được lưu ngoại tuyến.
Sử dụng mật khẩu duy nhất và bật MFA để một thông tin đăng nhập bị đánh cắp không mở được mọi thứ.
Hiểu rõ nhà cung cấp của bạn. Nếu một nhà cung cấp dịch vụ giữ dữ liệu của bạn hoặc quản lý hệ thống của bạn, hãy hỏi cách họ bảo vệ máy chủ ảo hóa và bản sao lưu.

Hướng dẫn của chúng tôi về bảo vệ chống ransomware cho người dùng gia đình đề cập chi tiết hơn những điều cơ bản ở cấp hộ gia đình.

Nếu dữ liệu của bạn xuất hiện trên trang web rò rỉ

Việc tìm thấy tên của bạn hoặc dữ liệu của tổ chức bạn trên một trang web rò rỉ là điều căng thẳng, nhưng một vài bước sẽ giúp ích. Xác nhận những gì thực sự bị lộ trước khi đưa ra kết luận. Thay đổi mật khẩu và thu hồi phiên cho bất kỳ tài khoản nào có thể bị ảnh hưởng. Thông báo cho những người có thông tin bị liên quan, và kiểm tra xem các quy tắc thông báo pháp lý hoặc quy định có áp dụng cho bạn hay không. Mời các chuyên gia ứng phó sự cố nếu hệ thống bị ảnh hưởng, và bảo toàn nhật ký thay vì xóa máy một cách vội vàng. Dữ liệu bị rò rỉ không thể lấy lại được, vì vậy ưu tiên là giảm những gì kẻ tấn công có thể làm với nó, chẳng hạn như lừa đảo, gian lận hoặc tái sử dụng thông tin đăng nhập.

Những điểm chính cần ghi nhớ

Mô hình tống tiền kép Qilin ransomware ESXi hoạt động vì nó xếp chồng đòn bẩy: một điểm tựa có thể có nghĩa là mã hóa lan rộng và rò rỉ dữ liệu công khai. Bạn không thể kiểm soát những gì các chi nhánh cố gắng, nhưng bạn có thể kiểm soát mức độ thiệt hại mà một vụ xâm nhập duy nhất gây ra. Hãy xem lại bản sao lưu của bạn trong tuần này và xác nhận một bản là ngoại tuyến. Kiểm tra rằng hệ thống của bạn đã được vá, rằng các công cụ quản lý không bị lộ, và rằng mạng của bạn được phân đoạn. Để biết thêm bối cảnh, hãy đọc bài giải thích về tống tiền kép của Qilin và hướng dẫn bảo vệ chống ransomware cho người dùng gia đình, sau đó thực hiện các bước cơ bản trước khi kẻ tấn công kiểm tra chúng thay bạn.