Търсене
Close this search box.

Qilin Ransomware отвътре: Партньорите прибират 85% от плащанията за откуп

Според нови констатации на Group-IB свързаните с рансъмуера Qilin филиали на схемата „рансъмуер като услуга“ (RaaS) печелят между 80 и 85 % от всяко плащане на откуп.

Фирмата за киберсигурност заяви, че е успяла да проникне в групата през март 2023 г., разкривайки подробности за структурата на плащанията на филиалите и вътрешната работа на програмата RaaS след частен разговор с вербовчик на Qilin, който се подвизава под онлайн псевдонима Haise.

„Много от атаките на Qilin с цел получаване на откуп се персонализират за всяка жертва, за да се увеличи максимално въздействието им“, се казва в изчерпателния доклад на компанията със седалище в Сингапур. „За да направят това, извършителите могат да използват такива тактики като промяна на разширенията на имената на криптираните файлове и прекратяване на конкретни процеси и услуги.“

Qilin, известен също като Agenda, е документиран за първи път от Trend Micro през август 2022 г., като започва като рансъмуер, базиран на Go, преди да премине към Rust през декември 2022 г.

 

Възприемането на Rust също е важно не само заради възможностите за откриване на заобикаляне, но и поради факта, че позволява на  заплахите да се насочват към сървъри с Windows, Linux и VMware ESXi.

Атаките, организирани от групата, използват фишинг имейли, съдържащи злонамерени връзки, като средство за получаване на първоначален достъп и криптиране на чувствителни данни, но не и преди да ги ексфилтрират като част от модела на двойно изнудване.

В периода между юли 2022 г. и май 2023 г. в портала за изтичане на данни на Qilin в тъмната мрежа са публикувани данни от цели 12 различни компании.

Жертвите, които обхващат основно секторите на критичната инфраструктура, образованието и здравеопазването, се намират в Австралия, Бразилия, Канада, Колумбия, Франция, Япония, Холандия, Сърбия, Великобритания и САЩ.

Group-IB заяви, че  Qilin също така предоставят на филиалите – които са наети да идентифицират цели от интерес и да организират атаките – административен панел, за да контролират ефективно различни части от техните операции.

„Групата Qilin ransomware разполага с панел за партньори, разделен на секции като Targets (Цели), Blogs (Блогове), Stuffers (Пълнители), News (Новини), Payments (Плащания) и FAQs (Често задавани въпроси), за да управлява и координира мрежата си от филиали“, заяви изследователят по сигурността Николай Кичатов.

  • Цели – раздел за конфигуриране на бележки за откуп, файлове, директории и разширения, които да бъдат пропуснати, разширения, които да бъдат криптирани, процеси, които да бъдат прекратени, и режим на криптиране, наред с други.
  • Блогове – Раздел за партньори за създаване на публикации в блогове с информация за атакувани компании, които не са платили откупа
  • Stuffers  – раздел, в който хакерите могат да създават акаунти за други членове на екипа и да управляват техните привилегии
  • Новини – раздел за публикуване на актуализации, свързани с партньорствата им за получаване на откуп (в момента е празен)
  • Плащания – Раздел, който съдържа подробности за трансакциите, салдата в портфейла на партньорите и опции за изтегляне на незаконните приходи
  • Често задавани въпроси – Раздел, съдържащ информация за поддръжка и документация, в която подробно са описани стъпките за използване на рансъмуера

„Въпреки че рансъмуерът Qilin стана известен с това, че е насочен към компании от критичния сектор, той представлява заплаха за организации от всички вертикали“, казва Кичатов.

„Нещо повече, партньорската програма на оператора на ransomware не само добавя нови членове към мрежата си, но и ги въоръжава с модернизирани инструменти, техники и дори предоставяне на услуги.“

Източник: The Hacker News

Подобни публикации

28 февруари 2024

Китай стартира нов план за киберзащита на индус...

Тази седмица Министерството на промишлеността и информационните тех...
28 февруари 2024

Уязвимостта на плъгина WordPress LiteSpeed изла...

В плъгина LiteSpeed Cache за WordPress е разкрита уязвимост в сигур...
28 февруари 2024

Xeno RAT се превръща в мощна заплаха в GitHub

В GitHub е публикуван „сложно проектиран“ троянски кон ...
28 февруари 2024

Хакването на Optum е свързано с рансъмуера Blac...

Кибератаката срещу дъщерното дружество на UnitedHealth Group Optum,...
28 февруари 2024

Новата версия на IDAT loader използва стеганогр...

Хакерска група, проследена като „UAC-0184“, е забелязан...
28 февруари 2024

DOOM идва в интелигентните косачки Husqvarna

Ако някога сте искали да играете DOOM на косачка за трева, скоро ще...
28 февруари 2024

Белият дом призовава да се премине към езици за...

Службата на националния кибердиректор на Белия дом (ONCD) призова д...
28 февруари 2024

Предимства на включването на услугата MDR в офе...

Кибератаките се развиват и стават все по-усъвършенствани, а организ...
27 февруари 2024

Севернокорейските хакери атакуват разработчици ...

Нови данни на Phylum показват, че набор от фалшиви пакети npm, откр...
Бъдете социални
Още по темата
28/02/2024

Хакването на Optum е свърза...

Кибератаката срещу дъщерното дружество на UnitedHealth...
26/02/2024

Малави спря издаването на п...

Съобщава се, че правителството на Малави...
26/02/2024

LockBit се завърна

По-малко от седмица след като правоохранителните...
Последно добавени
28/02/2024

Китай стартира нов план за ...

Тази седмица Министерството на промишлеността и...
28/02/2024

Уязвимостта на плъгина Word...

В плъгина LiteSpeed Cache за WordPress...
28/02/2024

Xeno RAT се превръща в мощ...

В GitHub е публикуван „сложно проектиран“...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!