Qilin.B рансъмуер

До Mezo през Ransomwareг

Превод на:

Специалистите по киберсигурност идентифицираха подобрена версия на рансъмуера Qilin, демонстрираща по-голяма сложност и усъвършенствани стратегии за избягване на откриване.

Този вариант сега е каталогизиран от експерти като Qilin.B. Показателно е, че Qilin.B използва криптиране AES-256-CTR на системи с поддръжка на AESNI, като същевременно поддържа използването на Chacha20 на системи без тази възможност. За да защити ключовете за шифроване, той интегрира RSA-4096 с OAEP подложка, гарантирайки, че декриптирането е невъзможно без частния ключ на атакуващия или улавянето на специфични начални стойности.

Съдържание

Заплахата Qilin се предлага чрез RaaS схема

Първоначално известен като Agenda, рансъмуерът Qilin привлече вниманието на общността за киберсигурност през юли и август 2022 г. Първите версии бяха разработени в Golang, но по-късно преминаха към Rust.

Според доклад от май 2023 г. моделът Ransomware-as-a-Service (RaaS) за Qilin разпределя между 80% и 85% от всяко плащане на откуп на своите филиали. Скорошните атаки, приписвани на тази операция за рансъмуер, се фокусираха върху събиране на идентификационни данни, съхранявани в Google Chrome на избрани няколко компрометирани системи, отбелязвайки промяна от обичайните тактики за двойно изнудване.

Рансъмуерът Qilin.B показва разширени злонамерени възможности

Анализът на варианта Qilin.B разкрива, че той надгражда предишни версии с разширени опции за криптиране и усъвършенствани оперативни тактики.

Това включва използване на криптиране AES-256-CTR или Chacha20, като същевременно активно се противопоставя на анализа и откриването чрез изключване на услуги, свързани с инструменти за сигурност, рутинно изчистване на регистрационни файлове на събития на Windows и самоизтриване след изпълнение. Освен това той е оборудван да прекрати процеси, свързани с инструменти за архивиране и виртуализация като Veeam, SQL и SAP и да премахне копията на томове в сянка, което прави възстановяването по-предизвикателно.

Усъвършенстваното криптиране на Qilin.B, усъвършенстваните техники за избягване и целенасоченото прекъсване на услугите за архивиране го позиционират като особено страхотен вариант на ransomware.

Опасностите от Ransomware

Рансъмуерът все още е една от най-разрушителните киберзаплахи, засягащи както физически лица, така и фирми. Този тип заплаха работи чрез криптиране на файлове в целевата система, блокирайки потребителите от техните собствени данни, освен ако не бъде платен откуп. Исканията за откуп могат да варират от няколкостотин долара до милиони в зависимост от това колко ценна е компрометираната информация за жертвата. Въпреки това, дори и да бъде платен откуп, няма сигурност, че нападателите ще го последват с ключ за декриптиране, оставяйки жертвите на двойна загуба — финансова и достъпна до данни.

Освен финансовите загуби, атаките на ransomware могат сериозно да нарушат операциите. Компаниите могат да страдат от продължителен престой, загуба на доверие на клиентите и потенциално да се изправят пред правни последици, ако чувствителните данни бъдат разкрити. Стресът и несигурността от справянето с ransomware също могат да причинят значителни емоционални щети както на отделни лица, така и на организации.

Ефективни стратегии за защита от рансъмуер

Рутинни резервни копия : Една от най-силните защити е поддържането на чести архиви на основни файлове. Организиран план за архивиране, включително моментни снимки извън сайта или съхранени в облака, гарантира, че файловете могат да бъдат възстановени, ако възникне атака, елиминирайки необходимостта от плащане на откуп.
Надежден софтуер за сигурност : Използването на добре оценени инструменти за сигурност, които предлагат защита в реално време, може да помогне за откриване и блокиране на рансъмуер, преди да компрометира вашата система. Редовните актуализации на тези инструменти гарантират, че те могат да разпознават възникващи заплахи.
Обучение за повишаване на осведомеността на служителите : Атаките на рансъмуер често използват човешка грешка чрез фишинг или социално инженерство. Осигуряването на редовно обучение за служители за идентифициране на подозрителни имейли и връзки може значително да намали риска от случайни инфекции с ransomware.
Софтуерни и системни актуализации : Киберпрестъпниците обикновено използват уязвимостите в остарелия софтуер, за да разположат ransomware. Поддържането на всички системи и приложения актуални може да помогне за предотвратяване на експлоатирането на тези уязвимости.
Мрежово сегментиране : За организациите сегментирането на мрежи може да намали разпространението на ransomware чрез изолиране на критични активи. По този начин компаниите могат да сдържат атака, защитавайки чувствителните данни и минимизирайки потенциалните щети.
Контроли за достъп : Налагане на строги ограничения за разрешения за достъп, които могат да преглеждат или променят чувствителни файлове. Това намалява вероятността от неразрешени действия, които могат да доведат до атака на ransomware.

Чрез включването на тези проактивни мерки за сигурност потребителите могат да засилят защитата си срещу ransomware и да намалят вероятността да станат жертва на тези вредни атаки.