Qilin.B Ransomware

Kyberturvallisuusasiantuntijat ovat tunnistaneet Qilin Ransomwaren parannellun version, joka esittelee monimutkaisempaa ja hienostuneempia strategioita havaitsemisen välttämiseksi.

Asiantuntijat ovat nyt luetteloineet tämän muunnelman nimellä Qilin.B. Merkittävää on, että Qilin.B käyttää AES-256-CTR-salausta järjestelmissä, joissa on AESNI-tuki, mutta säilyttää Chacha20:n käytön järjestelmissä, joissa tätä ominaisuutta ei ole. Salausavaimien suojaamiseksi se integroi RSA-4096:n OAEP-täytteellä varmistaen, että salauksen purkaminen on mahdotonta ilman hyökkääjän yksityistä avainta tai tiettyjen siemenarvojen kaappausta.

Qilin-uhka tarjotaan RaaS-järjestelmän kautta

Alun perin Agenda-nimellä tunnettu Qilin Ransomware kiinnitti kyberturvallisuusyhteisön huomion heinä- ja elokuussa 2022. Ensimmäiset versiot kehitettiin Golangissa, mutta siirrettiin myöhemmin Rustiin.

Toukokuussa 2023 julkaistun raportin mukaan Qilinin Ransomware-as-a-Service (RaaS) -malli jakaa 80–85 % kustakin lunnaista sen tytäryhtiöille. Viimeaikaiset hyökkäykset, joiden syynä on tämä kiristysohjelma, ovat keskittyneet Google Chromeen tallennettujen valtuustietojen keräämiseen muutamassa valituissa vaarantuneissa järjestelmissä, mikä on merkinnyt muutosta tavanomaisesta kaksoiskiristystaktiikista.

Qilin.B Ransomware näyttää laajennettuja pahanlaatuisia ominaisuuksia

Qilin.B-variantin analyysi paljastaa, että se perustuu aikaisempiin versioihin laajennetuilla salausvaihtoehdoilla ja hienostuneella toimintataktiikalla.

Tämä sisältää AES-256-CTR- tai Chacha20-salauksen hyödyntämisen samalla, kun vastustat aktiivisesti analysointia ja havaitsemista sulkemalla suojaustyökaluihin liittyvät palvelut, tyhjentämällä Windowsin tapahtumalokit rutiininomaisesti ja poistamalla itsensä suorituksen jälkeen. Lisäksi se on varustettu lopettamaan varmuuskopiointi- ja virtualisointityökaluihin, kuten Veeam, SQL ja SAP, liittyvät prosessit ja poistamaan Shadow Volume Copies, mikä tekee palautumisesta haastavampaa.

Qilin.B:n edistynyt salaus, kehittyneet evaasiotekniikat ja kohdennettu varmuuskopiointipalveluiden keskeytys asettavat sen erityisen mahtavaksi kiristysohjelmaversioksi.

Ransomwaren vaarat

Ransomware on edelleen yksi haitallisimmista kyberuhkista, joka vaikuttaa niin yksilöihin kuin yrityksiinkin. Tämäntyyppinen uhka toimii salaamalla kohteena olevan järjestelmän tiedostot ja sulkemalla käyttäjät pois omista tiedoistaan, ellei lunnaita makseta. Lunnaspyynnöt voivat vaihdella muutamasta sadasta dollarista miljooniin riippuen siitä, kuinka arvokasta vaarantunut tieto on uhrille. Vaikka lunnaat maksettaisiinkin, ei ole kuitenkaan varmuutta, että hyökkääjät jatkavat salauksenpurkuavaimella, jolloin uhrit joutuvat kaksinkertaiseen tappioon – taloudellisesti ja tietojen saatavuudessa.

Taloudellisten tappioiden lisäksi ransomware-hyökkäykset voivat häiritä toimintaa vakavasti. Yritykset voivat kärsiä pitkittyneistä seisokeista, asiakkaiden luottamuksen menettämisestä ja mahdollisesti oikeudellisista seurauksista, jos arkaluonteisia tietoja paljastetaan. Kiristyshaittaohjelmien käsittelyyn liittyvä stressi ja epävarmuus voivat myös aiheuttaa mielekästä henkistä kärsimystä sekä yksilöille että organisaatioille.

Tehokkaat Ransomware-puolustusstrategiat

• Rutiinivarmuuskopiot : Yksi vahvimmista suojakeinoista on tärkeiden tiedostojen säännöllinen varmuuskopiointi. Järjestetty varmuuskopiointisuunnitelma, mukaan lukien ulkopuoliset tai pilveen tallennetut tilannevedokset, varmistaa, että tiedostot voidaan palauttaa hyökkäyksen sattuessa, jolloin lunnaita ei tarvitse maksaa.
• Luotettava suojausohjelmisto : Kun käytät hyvin arvostettuja tietoturvatyökaluja, jotka tarjoavat reaaliaikaisen suojan, voit havaita ja estää kiristysohjelmat ennen kuin ne voivat vaarantaa järjestelmän. Näiden työkalujen säännölliset päivitykset varmistavat, että ne tunnistavat uusia uhkia.
• Työntekijöiden tietoisuuskoulutus : Ransomware-hyökkäykset käyttävät usein hyväkseen inhimillistä virhettä tietojenkalastelun tai sosiaalisen manipuloinnin avulla. Säännöllisen koulutuksen tarjoaminen työntekijöille epäilyttävien sähköpostien ja linkkien tunnistamisesta voi merkittävästi vähentää tahattomien kiristysohjelmatartuntojen riskiä.
• Ohjelmisto- ja järjestelmäpäivitykset : Kyberrikolliset käyttävät yleensä vanhentuneiden ohjelmistojen haavoittuvuuksia käyttöönsä kiristysohjelmia. Kaikkien järjestelmien ja sovellusten pitäminen ajan tasalla voi auttaa estämään näiden haavoittuvuuksien hyödyntämisen.
• Verkon segmentointi : Organisaatioille verkkojen segmentointi voi vähentää kiristysohjelmien leviämistä eristämällä kriittisiä resursseja. Näin toimimalla yritykset voivat estää hyökkäyksen, suojata arkaluonteisia tietoja ja minimoimalla mahdolliset vahingot.
• Pääsyn hallinta : tiukat käyttöoikeusrajoitukset, jotka voivat tarkastella tai muokata arkaluonteisia tiedostoja. Tämä vähentää luvattomien toimien todennäköisyyttä, jotka voivat johtaa kiristysohjelmahyökkäykseen.

Ottamalla käyttöön nämä ennakoivat turvatoimenpiteet käyttäjät voivat vahvistaa puolustustaan kiristysohjelmia vastaan ja vähentää todennäköisyyttä joutua näiden vahingollisten hyökkäysten uhriksi.

Qilin.B Ransomware Video

Vinkki: Ota ääni käyttöön ja katso video koko näytön tilassa .