Qilin (Agenda) Ransomware: Komplett veiledning

Qilin ransomware, også kjent som Agenda ransomware, er skrevet på Rust and Go-programmeringsspråk, noe som gjør den mer allsidig og vanskelig å analysere eller oppdage. Qilin løsepengevare ble kjent for å målrette mot bedrifter i kritiske sektorer, men det er en trussel mot organisasjoner på tvers av alle vertikaler. Løsevareoperatørens tilknyttede program legger ikke bare til nye medlemmer til nettverket sitt, men det bevæpner dem også med skadevare og støttetjenester for å målrette utdanning, helsevesen og andre kritiske sektorer av den verdensomspennende økonomien. retter seg spesielt mot Windows-baserte systemer. Gruppen som distribuerte skadevaren fokuserte på helse- og utdanningsorganisasjoner i Indonesia, Saudi-Arabia, Sør-Afrika og Thailand. Hver løsepengenotat som ble sendt av løsepengevaren, ble tilpasset det tiltenkte offeret. Undersøkelsen avdekket at prøvene inneholdt lekkede kontoer, kundepassord og unike firma-ID-er brukt som utvidelser av krypterte filer.

Hva slags skadelig programvare er Qilin?

Qilin ransomware er et Ransomware-as-a-Service (RaaS) tilknyttet program som bruker Rust-basert løsepengeprogram for å målrette mot ofrene. Qilin løsepenge-angrep tilpasses for hvert offer for å maksimere deres innvirkning, og trusselaktørene kan utnytte taktikker som å endre filnavnutvidelsene til krypterte filer og avslutte spesifikke prosesser og tjenester. Qilin løsepengevare bruker AES-256-kryptering for å kryptere filene på offerets system. Ransomware bruker også RSA-2048 for å kryptere den genererte nøkkelen. Etter vellykket kryptering, blir de krypterte filene tilføyd en ny tilfeldig filtype, for eksempel ".MmXReVIxLV".

Mer lesing:CloAk Ransomware: Komplett veiledning

Alt vi vet om Qilin (Agenda) løsepengevare

Denne listen inneholder grunnleggende informasjon om den nye løsepengevarestammen kjent som Qilin (Agenda).Bekreftet navn

• Agenda (Qilin) ​​virus

Type trussel

• Ransomware
• Stealthy skadelig programvare
• Kryptovirus
• Oppbevaringsboks for filer
• Dobbel utpressing

Utvidelse for krypterte filer

• Tilfeldig utvidelse

Løsepenger krevende melding

• [random_string]-RECOVER-README.txt

Deteksjonsnavn

• AvastWin64:Trojan-gen
• SophosMal/Generisk-S
• EmsisoftTrojan.Ransom.Babuk.F (B)
• KasperskyTrojan.Win32.DelShad.ivd
• MalwarebytesGenerisk.Malware/Mistenkelig
• MicrosoftLøsepenger:Win32/Babuk.SIB!MTB

Ransomware familie, type og variant

• Familie: Qilin ransomware er en del av Qilin ransomware-familien
• Type: Qilin ransomware er et Ransomware-as-a-Service (RaaS) tilknyttet program
• Variant: Qilin ransomware er også kjent som Agenda ransomware

Distribusjonsmetoder

• Formidling av infiserte filer
• Ondsinnede hyperkoblinger
• RDP-baserte overgrep
• Phishing
• Spam-e-postkampanjer

Konsekvenser

• Dataeksfiltrering
• Filkryptering

Er det en gratis dekryptering tilgjengelig?

Ingen.Det er ingen kjent offentlig dekryptering for Qilin (Agenda) løsepengevare tilgjengelig for øyeblikket.

Hva er Qilin ransomware sine IOCs?

Indikatorer for kompromiss (IOCs) er artefakter observert på et nettverk eller i et operativsystem som indikerer en datamaskininntrengning med høy sikkerhet. IOC-er kan brukes til tidlig oppdagelse av fremtidige angrepsforsøk ved hjelp av inntrengningsdeteksjonssystemer og antivirusprogramvare. Qilin (Agenda) løsepengevares Indicators of Compromise (IOCs) inkluderer:

• Kryptering:Agenda ransomware krypterer filer ved hjelp av AES-256-kryptering
• Filtype:Agenda ransomware legger til en konfigurert filtype til filnavnene til krypterte filer
• Løsepengenotat:Agenda løsepengeprogram slipper en løsepengenota i hver kryptert katalogprogramvare
• Oppførsel:Agenda løsepengeprogramvare kan starte systemer på nytt i sikker modus, forsøke å stoppe mange serverspesifikke prosesser og tjenester, og har flere moduser å kjøre
• Nettverkskompromittering:Agenda løsepengevare er assosiert med kompromittering av et helt nettverk og dets delte drivere

Qilin (Agenda) løsepengeseddel

Løseseddelen etterlatt av Qilin løsepengeprogram informerer offeret om at filene deres er kryptert og krever løsepenger. Løsepengene kan også nevne at trusselaktørene har lastet ned data, som ansattes detaljer og legitimasjon, fra det infiserte systemet. Hvis offeret nekter å kommunisere med trusselaktørene, kan dataene bli publisert.Eksempel på løsepengenotat:

Hvordan spres Agenda/Qilin løsepengevare

Qilin løsepengeprogramvare er en farlig skadelig programvare som kan infisere en datamaskin eller nettverk på flere måter, inkludert:

• Formidling av infiserte filer.Qilin løsepengevare kan spres gjennom infiserte filer som lastes ned og installeres på offerets system uten deres viten.
• Ondsinnede hyperkoblinger.Qilin løsepengeprogramvare kan bruke ondsinnede hyperkoblinger for å infiltrere offerets system. Dette skjer når offeret ubevisst besøker et infisert nettsted, og deretter skadelig programvare lastes ned og installeres uten deres viten.
• RDP-baserte overgrep.Qilin løsepengevare kan bruke RDP-baserte overgrep for å infiltrere offerets system. Dette skjer når trusselaktørene utnytter sårbarheter i Remote Desktop Protocol (RDP) for å få tilgang til offerets system.
• Phishing.Qilin løsepengeprogramvare kan begynne med en phishing-e-post som inneholder et ondsinnet vedlegg eller lenke. Offeret blir lurt til å laste ned og installere skadelig programvare på systemet deres.

Hvordan infiserer Agenda ransomware en datamaskin eller nettverk

Agenda ransomware er en Go-basert løsepengevare som retter seg mot Windows-systemer og er tilpasset hvert offer. Løsepengevaren bruker flere taktikker og teknikker for å maksimere effekten, inkludert:

1. Utførelse av sikker modus.Agenda løsepengeprogramvare kan starte systemer på nytt i sikker modus for å unngå oppdagelse og hindre offeret fra å få tilgang til systemet sitt.
2. Prosess og tjenesteavslutning.Ransomware stopper serverspesifikke prosesser og tjenester for å maksimere effekten.
3. Fjerning av skyggevolumkopi.Agenda løsepengeprogramvare fjerner skyggevolumkopier for å hindre offeret i å gjenopprette systemet til en tidligere tilstand.
4. Antivirusprosess og tjenesteavslutning.Ransomware avslutter ulike antivirusprosesser og tjenester for å unngå oppdagelse.
5. Start oppretting av oppføring automatisk.Agenda ransomware oppretter en autostart-oppføring som peker på en kopi av seg selv for å sikre at den kjører hver gang systemet starter opp.
6. Passordendring.Løsepengevaren endrer standard brukerens passord og aktiverer deretter automatisk pålogging ved å bruke den endrede legitimasjonen.
7. Forfalsket brukerpålogging.Agenda løsepengeprogramvare utnytter lokale kontoer for å logge på som falske brukere og kjøre løsepengevare-binæren, og kryptere andre maskiner ytterligere hvis påloggingsforsøket er vellykket.
8. Utholdenhetsmekanisme.Ransomware bruker en utholdenhetsmekanisme som bruker DLL for å sikre at den forblir aktiv på offerets system.

Ikke betal løsepenger eller forhandle med trusselaktørene. Kontakt SalvageData-eksperter umiddelbart for å gjenopprette filene dine og rapportere løsepengevaren til lokale myndigheter.

Hvordan håndtere et Qilin (Agenda) løsepengevareangrep

Viktig:Det første trinnet er å ty til din Incident Response Plan (IRP). Ideelt sett har du en Incident Response Retainer (IRR) med et pålitelig team av fagfolk som kan kontaktes 24/7/365, og de kan iverksette umiddelbare tiltak som vil forhindre tap av data, redusere eller eliminere løsepenger, og hjelpe deg gjennom eventuelle juridiske forpliktelser. Så vidt vi vet med informasjonen vi har på tidspunktet denne artikkelen publiseres, er det første skrittet for å gjenopprette en ekspert. infisert datamaskin ved å koble den fra internett og fjerne eventuelle tilkoblede enheter. Samtidig vil dette teamet hjelpe deg med å kontakte landets lokale myndigheter. For amerikanske innbyggere og bedrifter er detlokale FBI feltkontorog denInternet Crime Complaint Center (IC3). For å rapportere et løsepenge-angrep må du samle all informasjon du kan om det, inkludert:

• Skjermbilder av løsepengene
• Kommunikasjon med Qilin-skuespillere (hvis du har dem)
• Et eksempel på en kryptert fil

Men hvis du ikke har en IRP eller IRR, kan du fortsattkontakt fagfolk for fjerning og gjenoppretting av løsepenger. Dette er den beste handlingen og øker sjansene for å lykkes med å fjerne løsepengevaren, gjenopprette dataene og forhindre fremtidige angrep. Vi anbefaler at dula alle infiserte maskiner være som de erog ring ennødløsningstjeneste for gjenoppretting av løsepenger. Omstart eller avslutning av systemet kan kompromittere gjenopprettingsprosessen. Å fange RAM-en til et live-system kan bidra til å få krypteringsnøkkelen, og å fange en dropper-fil kan bli omvendt og føre til dekryptering av dataene eller forståelse av hvordan den fungerer.Hva du IKKE skal gjøre for å komme deg etter et Qilin (Agenda) løsepengeangrepDu måikke slette løsepengevaren, og ta vare på alle bevis på angrepet. Det er viktig fordigital etterforskningslik at eksperter kan spore tilbake til hackergruppen og identifisere dem. Det er ved å bruke dataene på det infiserte systemet myndighetene kanundersøke angrepet og finne den ansvarlige.En etterforskning av cyberangrep er ikke forskjellig fra enhver annen kriminell etterforskning: den trenger bevis for å finne angriperne.

1. Ta kontakt med leverandøren av Incident Response

En Cyber ​​Incident Response er å svare på og håndtere en cybersikkerhetshendelse. An Incident Response Retainer er en tjenesteavtale med en leverandør av cybersikkerhet som lar organisasjoner få ekstern hjelp med cybersikkerhetshendelser. Det gir organisasjoner en strukturert form for ekspertise og støtte gjennom en sikkerhetspartner, noe som gjør dem i stand til å reagere raskt og effektivt i tilfelle en cyberhendelse. En hendelsesretainer gir trygghet til organisasjoner, og tilbyr ekspertstøtte før og i etterkant av en cybersikkerhetshendelse. Den spesifikke arten og strukturen til en hendelsesresponsholder vil variere i henhold til leverandøren og organisasjonens krav. En god hendelsesreaksjonsholder bør være robust, men fleksibel, og tilby utprøvde tjenester for å forbedre en organisasjons langsiktige sikkerhetsstilling. Hvis du kontakter IR-tjenesteleverandøren din, vil de ta seg av alt annet. Men hvis du bestemmer deg for å fjerne løsepengevaren og gjenopprette filene med IT-teamet ditt, kan du følge de neste trinnene.

2. Identifiser løsepengevareinfeksjonen

Du kanidentifisere hvilken løsepengevareinfiserte maskinen din med filtypen (noen løsepengeprogrammer bruker filtypen som navn), ellers vil den stå på løsepengene. Med denne informasjonen kan du se etter en offentlig dekrypteringsnøkkel. Du kan også sjekke løsepengevaretypen etter IOC-ene. Indicators of Compromise (IOCs) er digitale ledetråder cybersikkerhetsfagfolk bruker for å identifisere systemkompromisser og ondsinnede aktiviteter innenfor et nettverk eller IT-miljø. De er i hovedsak digitale versjoner av bevis som er igjen på et åsted, og potensielle IOC-er inkluderer uvanlig nettverkstrafikk, privilegerte brukerpålogginger fra fremmede land, merkelige DNS-forespørsler, systemfilendringer og mer. Når en IOC oppdages, evaluerer sikkerhetsteam mulige trusler eller validerer dens autentisitet. IOC-er gir også bevis på hva en angriper hadde tilgang til hvis de infiltrerte nettverket.

3. Fjern løsepengevare og eliminer utnyttelsessett

Før du gjenoppretter dataene dine, må du garantere at enheten din er fri for løsepengevare og at angriperne ikke kan gjøre et nytt angrep gjennom utnyttelsessett eller andre sårbarheter. En tjeneste for fjerning av løsepengeprogramvare kan slette løsepengevaren, lage et rettsmedisinsk dokument for etterforskning, eliminere sårbarheter og gjenopprette dataene dine. Bruk anti-malware/anti-ransomware-programvare for å sette i karantene og fjerne den skadelige programvaren.

Viktig:Ved å kontakte tjenester for fjerning av løsepengeprogramvare kan du sikre at maskinen og nettverket ikke har spor etter Qilin (Agenda) løsepengeprogramvare. Disse tjenestene kan også lappe systemet ditt og forhindre nye angrep.

4. Bruk en sikkerhetskopi for å gjenopprette dataene

Sikkerhetskopier er den mest effektive måten å gjenopprette data på. Sørg for å ta daglige eller ukentlige sikkerhetskopier, avhengig av databruken din.

5. Kontakt en tjeneste for gjenoppretting av løsepenger

Hvis du ikke har en sikkerhetskopi eller trenger hjelp til å fjerne løsepengevaren og eliminere sårbarheter, bør du kontakte en datagjenopprettingstjeneste. Å betale løsepengene garanterer ikke at dataene dine blir returnert til deg. Den eneste garanterte måten du kan gjenopprette hver fil er hvis du har en sikkerhetskopi. Hvis du ikke gjør det, kan løsepengedatagjenopprettingstjenester hjelpe deg med å dekryptere og gjenopprette filene. SalvageData-eksperter kan trygt gjenopprette filene dine og forhindre at Qilin (Agenda) løsepengeprogramvare angriper nettverket ditt igjen. Vi tilbyr også endigital rettsmedisinsk rapportsom du kan bruke for videre etterforskning og for å forstå hvordan cyberangrepet skjedde. Kontakt ekspertene våre døgnet rundt for nødhjelp.

Forhindre Qilin (Agenda) løsepenge-angrep

Å forhindre løsepengevare er den beste løsningen for datasikkerhet. er enklere og billigere enn å komme seg fra dem. Qilin løsepengevare kan koste bedriftens fremtid og til og med lukke dørene. Dette er noen tips for å sikre at du kanunngå ransomware-angrep:

• Installer antivirus og anti-malware programvare.
• Bruk pålitelige cybersikkerhetsløsninger.
• Bruk sterke og sikre passord.
• Hold programvare og operativsystemer oppdatert.
• Implementer brannmurer for ekstra beskyttelse.
• Lag en datagjenopprettingsplan.
• Planlegg sikkerhetskopier regelmessig for å beskytte dataene dine.
• Vær forsiktig med e-postvedlegg og nedlastinger fra ukjente eller mistenkelige kilder.
• Bekreft sikkerheten til annonser før du klikker på dem.
• Få tilgang til nettsteder kun fra pålitelige kilder.

Ved å følge disse praksisene kan du styrke din online sikkerhet og beskytte deg mot potensielle trusler.