Qilin.B Ransomware

Đến năm Mezo năm Phần mềm tống tiền

Dịch sang:

Các chuyên gia an ninh mạng đã xác định được phiên bản nâng cao của Qilin Ransomware, có độ phức tạp cao hơn và các chiến lược tinh vi hơn để tránh bị phát hiện.

Biến thể này hiện được các chuyên gia phân loại là Qilin.B. Điều đáng chú ý là Qilin.B sử dụng mã hóa AES-256-CTR trên các hệ thống có hỗ trợ AESNI, trong khi vẫn duy trì việc sử dụng Chacha20 trên các hệ thống không có khả năng này. Để bảo vệ khóa mã hóa, nó tích hợp RSA-4096 với đệm OAEP, đảm bảo rằng giải mã là không khả thi nếu không có khóa riêng của kẻ tấn công hoặc không nắm bắt được các giá trị hạt giống cụ thể.

Mục lục

Mối đe dọa Qilin được cung cấp thông qua chương trình RaaS

Ban đầu được gọi là Agenda, Qilin Ransomware đã thu hút sự chú ý của cộng đồng an ninh mạng vào tháng 7 và tháng 8 năm 2022. Các phiên bản đầu tiên được phát triển bằng Golang nhưng sau đó chuyển sang Rust.

Theo báo cáo tháng 5 năm 2023, mô hình Ransomware-as-a-Service (RaaS) dành cho Qilin phân bổ từ 80% đến 85% mỗi khoản tiền chuộc cho các chi nhánh của nó. Các cuộc tấn công gần đây được cho là do hoạt động ransomware này đã tập trung vào việc thu thập thông tin đăng nhập được lưu trữ trong Google Chrome trên một số ít hệ thống bị xâm phạm, đánh dấu sự thay đổi so với các chiến thuật tống tiền kép thông thường.

Phần mềm tống tiền Qilin.B thể hiện khả năng độc hại mở rộng

Phân tích biến thể Qilin.B cho thấy nó được xây dựng dựa trên các phiên bản trước đó với các tùy chọn mã hóa mở rộng và chiến thuật hoạt động tinh vi hơn.

Điều này bao gồm việc tận dụng mã hóa AES-256-CTR hoặc Chacha20 trong khi chủ động chống lại việc phân tích và phát hiện bằng cách tắt các dịch vụ được liên kết với các công cụ bảo mật, thường xuyên xóa Nhật ký sự kiện Windows và tự xóa sau khi thực thi. Ngoài ra, nó được trang bị để chấm dứt các quy trình liên quan đến các công cụ sao lưu và ảo hóa như Veeam, SQL và SAP và xóa Shadow Volume Copies, khiến việc khôi phục trở nên khó khăn hơn.

Khả năng mã hóa tiên tiến, kỹ thuật trốn tránh tinh vi và khả năng phá hoại có chủ đích các dịch vụ sao lưu của Qilin.B khiến nó trở thành một biến thể ransomware đặc biệt đáng gờm.

Mối nguy hiểm của Ransomware

Ransomware vẫn là một trong những mối đe dọa mạng gây gián đoạn nhất, ảnh hưởng đến cả cá nhân và doanh nghiệp. Loại mối đe dọa này hoạt động bằng cách mã hóa các tệp trên hệ thống mục tiêu, khóa người dùng khỏi dữ liệu của chính họ trừ khi trả tiền chuộc. Yêu cầu tiền chuộc có thể dao động từ vài trăm đô la đến hàng triệu đô la, tùy thuộc vào mức độ giá trị của thông tin bị xâm phạm đối với nạn nhân. Tuy nhiên, ngay cả khi trả tiền chuộc, vẫn không có gì chắc chắn rằng kẻ tấn công sẽ thực hiện bằng khóa giải mã, khiến nạn nhân chịu tổn thất gấp đôi—về mặt tài chính và khả năng truy cập dữ liệu.

Ngoài tổn thất về tài chính, các cuộc tấn công ransomware có thể làm gián đoạn nghiêm trọng hoạt động. Các công ty có thể phải chịu thời gian ngừng hoạt động kéo dài, mất lòng tin của khách hàng và có khả năng phải đối mặt với hậu quả pháp lý nếu dữ liệu nhạy cảm bị lộ. Căng thẳng và sự không chắc chắn khi đối phó với ransomware cũng có thể gây ra tổn thất về mặt cảm xúc có ý nghĩa cho cả cá nhân và tổ chức.

Chiến lược phòng thủ Ransomware hiệu quả

Sao lưu thường xuyên : Một trong những biện pháp phòng thủ mạnh nhất là sao lưu thường xuyên các tệp tin quan trọng. Một kế hoạch sao lưu có tổ chức, bao gồm ảnh chụp nhanh ngoài trang web hoặc lưu trữ trên đám mây, đảm bảo rằng các tệp tin có thể được khôi phục nếu xảy ra tấn công, loại bỏ nhu cầu phải trả tiền chuộc.
Phần mềm bảo mật đáng tin cậy : Sử dụng các công cụ bảo mật được đánh giá cao cung cấp khả năng bảo vệ theo thời gian thực có thể giúp phát hiện và chặn phần mềm tống tiền trước khi nó có thể xâm phạm hệ thống của bạn. Các bản cập nhật thường xuyên cho các công cụ này đảm bảo chúng có thể nhận ra các mối đe dọa mới nổi.
Đào tạo nhận thức cho nhân viên : Các cuộc tấn công ransomware thường khai thác lỗi của con người thông qua lừa đảo hoặc kỹ thuật xã hội. Đào tạo thường xuyên cho nhân viên về cách xác định email và liên kết đáng ngờ có thể giảm đáng kể nguy cơ nhiễm ransomware vô tình.
Cập nhật phần mềm và hệ thống : Tội phạm mạng thường khai thác lỗ hổng trong phần mềm lỗi thời để triển khai ransomware. Việc cập nhật tất cả các hệ thống và ứng dụng có thể giúp ngăn chặn các lỗ hổng này bị khai thác.
Phân đoạn mạng : Đối với các tổ chức, phân đoạn mạng có thể làm giảm sự lây lan của ransomware bằng cách cô lập các tài sản quan trọng. Bằng cách đó, các công ty có thể ngăn chặn một cuộc tấn công, bảo vệ dữ liệu nhạy cảm và giảm thiểu thiệt hại tiềm ẩn.
Kiểm soát truy cập : Thực thi các giới hạn quyền truy cập nghiêm ngặt đối với những người có thể xem hoặc sửa đổi các tệp nhạy cảm. Điều này làm giảm khả năng xảy ra các hành động trái phép có thể dẫn đến tấn công ransomware.

Bằng cách kết hợp các biện pháp bảo mật chủ động này, người dùng có thể tăng cường khả năng phòng thủ trước phần mềm tống tiền và giảm khả năng trở thành nạn nhân của những cuộc tấn công gây thiệt hại này.