Microsoft твърди, че бандата за киберпрестъпления Scattered Spider е добавила ransomware Qilin към арсенала си и вече го използва при атаки.

„През второто тримесечие на 2024 г. финансово мотивираният извършител на киберпрестъпления, Octo Tempest, нашият най-внимателно проследяван изпълнител на атаки с  рансъмуер, добави RansomHub и Qilin към полезните товари на рансъмуера в кампаниите си“, заяви Microsoft в понеделник.

След като се появи в началото на 2022 г., тази група за заплахи (проследявана също като Octo Tempest, UNC3944 и 0ktapus) придоби известност след кампанията си 0ktapus, която беше насочена към над 130 високопоставени организации, включително Microsoft, Binance, CoinBase, T-Mobile, Verizon Wireless, AT&T, Slack, Twitter, Epic Games, Riot Games и Best Buy.

Англоговорящата банда също така е криптирала системите на MGM Resorts, след като се е присъединила към BlackCat/ALPHV ransomware като филиал в средата на 2023 г. и е била свързана от Symantec с RansomHub ransomware-as-a-service.

През ноември ФБР и CISA издадоха консултация, в която се изтъкват тактиките, техниките и процедурите (TTPs) на Scattered Spider. Те включват представянето за ИТ служители, за да измамят служителите за обслужване на клиенти да им предоставят идентификационни данни, или придобиване на устойчивост в мрежите на целите с помощта на инструменти за отдалечен достъп.

Други тактики, които са известни, че използват за първоначален достъп до мрежата, включват фишинг, бомбардиране на MFA (известно още като умора на MFA) и размяна на SIM карти.

Операцията на Qilin ransomware, към която Scattered Spider току-що се присъедини, се появява през август 2022 г. под името „Agenda“, но само един месец по-късно е ребрандирана като Qilin.

През последните две години бандата Qilin е заявила над 130 компании на своя сайт за изтичане на информация в тъмната мрежа; техните оператори обаче не са били активни, докато атаките не са се засилили към края на 2023 г.

От декември 2023 г. насам Qilin разработва и един от най-усъвършенстваните и приспособими Linux криптори за насочване към виртуални машини VMware ESXi, които корпоративните организации предпочитат за нуждите си от леки ресурси.

Подобно на много други групи за рансъмуер, насочени към бизнеса, операторите на Qilin проникват в мрежите на компанията и извличат данни, докато се движат из системите на жертвата.

След като получат администраторски пълномощия и съберат всички чувствителни данни, те разгръщат полезния товар на ransomware, за да криптират всички мрежови устройства и да използват откраднатите данни за извършване на атаки с двойно изнудване.

Миналия месец главният изпълнителен директор на Националния център за киберсигурност (NCSC) на Обединеното кралство свърза Qilin с атаката за откуп, която засегна доставчика на патологични услуги Synnovis в началото на юни и засегна няколко големи болници на NHS в Лондон, като ги принуди да отменят стотици операции и назначения, за корто многократно писахме..