Threat Radar发布的一份新威胁画像让Qilin再次成为焦点。Qilin又名Agenda，是一个自2022年以来一直活跃的俄语勒索软件即服务（RaaS）组织，已发展成为最多产的勒索软件团伙之一。该画像涵盖了其攻击手法的三个方面：对ESXi服务器的攻击、附属网络以及双重勒索。综合来看，Qilin勒索软件ESXi双重勒索攻击表明，一台被攻陷的虚拟化主机如何同时演变为大规模停机和数据泄露。

该画像的公开摘要篇幅较短，因此本文仅围绕其所述内容及其所指的一般机制展开。

Qilin勒索软件ESXi双重勒索如何运作

双重勒索意味着攻击者施加两种压力而非一种。首先，他们加密系统，使受害者无法运营。其次，他们窃取数据并威胁称，若赎金未付，将在泄露网站上公开数据。第二步改变了受害者的处境。即使一个拥有可靠备份的组织能够恢复其系统，仍可能面临敏感文件被公开的前景。

如需深入了解这一模式，请参阅我们早前的解析文章Qilin的双重勒索策略。

为何ESXi和虚拟化服务器是首要目标

ESXi是一种虚拟机管理程序，即让单台物理服务器运行多台虚拟机的软件。这种整合对管理员而言效率很高，也正是这一点使ESXi对勒索软件运营者具有吸引力。攻击者无需逐台加密工作站，只要触及虚拟机管理程序，就能一次性瘫痪多台服务器。

这就是单台被攻陷主机如何演变为大规模停机的原因。电子邮件、文件共享、数据库和业务应用程序可能都运行在同一主机上的虚拟机中。加密虚拟磁盘后，其上的一切都会停止运行。由于允许加密的同一访问权限通常也可用于先复制数据，停机与泄露威胁往往同时到来。

这不仅关乎大型企业。小型企业、学校、诊所和托管服务提供商通常运行少量承载其全部业务的虚拟化主机，而监视它们的安全人员往往有限。

附属网络如何扩散Qilin攻击

Qilin以勒索软件即服务模式运作。核心团体开发恶意软件和配套基础设施，而附属成员执行入侵并分享收益。这降低了攻击者的技术门槛，并使该组织能够扩展到单一团队无法管理的规模。我们关于勒索软件即服务如何将黑客行为变成一门生意的解析文章详细阐述了这一经济模式。

对防御者而言，实际后果是没有任何单一攻击模式可以定义Qilin。不同的附属成员使用不同的入侵方式，无论是窃取的凭据、暴露的远程访问还是未打补丁的软件。边缘设备和管理工具在勒索软件活动中普遍是反复出现的隐患；我们曾报道过一个案例，其中一个关键的Cisco FMC漏洞与Qilin活动有关联。共同点是攻击者会瞄准任何暴露且修补迟缓的目标。

防御措施：这对你意味着什么

大多数读者并不运行ESXi集群，但这些经验教训适用于各种规模。目标是让一次失误变得可以承受。

如果你运行虚拟化或服务器：

  • 将管理接口远离开放互联网。 虚拟机管理程序和管理控制台应仅通过受保护的受限路径访问。
  • 及时打补丁。 优先处理面向互联网的系统和管理软件。
  • 对网络进行分段。 将虚拟机管理程序管理、备份和日常用户设备保持在不同的网段，这样对其中之一的访问就不会同时交出全部三者。
  • 保护你的备份。 至少保留一份离线或不可变的副本，并确保管理生产环境的凭据无法同时删除备份。
  • 在远程访问和管理员账户上使用多因素认证。

如果你是个人或小型组织：

  • 遵循3-2-1原则。 将重要数据保留多份副本，存储在不同介质上，其中一份离线保存。
  • 使用唯一密码并开启MFA，这样单一被盗凭据就不会打开所有入口。
  • 了解你的供应商。 如果服务提供商持有你的数据或管理你的系统，询问他们如何保护虚拟化主机和备份。

我们的家庭用户勒索软件防护指南更详细地介绍了家庭层面的基础知识。

如果你的数据出现在泄露网站上

在泄露网站上发现你的名字或组织的数据令人压力很大，但有几个步骤有所帮助。在得出结论之前，先确认实际暴露了什么。更改密码并撤销任何可能受影响账户的会话。通知信息涉及的人员，并检查是否有法律或监管通知规则适用于你。如果系统受影响，请引入事件响应专业人员，并保留日志而非匆忙擦除机器。泄露的数据无法收回，因此优先事项是减少攻击者可以利用它做的事情，如钓鱼、欺诈或凭据复用。

关键要点

Qilin勒索软件ESXi双重勒索模式之所以奏效，是因为它叠加了杠杆效应：一个立足点就可能意味着大范围加密和公开数据泄露。你无法控制附属成员尝试什么，但你可以控制一次入侵造成多大损害。本周审查你的备份，确认有一份副本处于离线状态。检查你的系统是否已打补丁、管理工具是否未暴露、网络是否已分段。如需更多背景信息，请阅读我们的Qilin双重勒索解析和家庭用户勒索软件防护指南，然后在他人在你之前测试这些基本措施之前逐一落实。