Qilin (Agenda) Ransomware: Komplett guide

Qilin ransomware, även känd som Agenda ransomware, är skriven i Rust and Go-programmeringsspråk, vilket gör den mer mångsidig och svår att analysera eller upptäcka. Qilin ransomware blev känd för att rikta in sig på företag i kritisk sektor, men det är ett hot mot organisationer över alla vertikaler. Ransomware-operatörens affiliate-program lägger inte bara till nya medlemmar till sitt nätverk, utan det beväpnar dem också med skadlig programvara och stödtjänster för att rikta in sig på utbildning, sjukvård och andra kritiska sektorer av den världsomspännande ekonomin. riktar sig specifikt till Windows-baserade system. Gruppen som distribuerade skadlig programvara fokuserade på vård- och utbildningsorganisationer i Indonesien, Saudiarabien, Sydafrika och Thailand. Varje lösensumma som släpptes av ransomwaren var anpassad för sitt avsedda offer. Undersökningen avslöjade att proverna innehöll läckta konton, kundlösenord och unika företags-ID:n som används som förlängningar av krypterade filer.

Vilken typ av skadlig programvara är Qilin?

Qilin ransomware är ett Ransomware-as-a-Service (RaaS) affiliate-program som använder Rust-baserad ransomware för att rikta sig mot sina offer. Qilin ransomware-attacker anpassas för varje offer för att maximera deras effekt och hotaktörerna kan utnyttja taktik som att ändra filnamnstilläggen för krypterade filer och avsluta specifika processer och tjänster. Qilin ransomware använder AES-256-kryptering för att kryptera filerna på offrets system. Ransomware använder också RSA-2048 för att kryptera den genererade nyckeln. Efter lyckad kryptering läggs de krypterade filerna till med ett nytt slumpmässigt filtillägg, till exempel ".MmXReVIxLV".

Mer läsning:CloAk Ransomware: Komplett guide

Allt vi vet om Qilin (Agenda) ransomware

Den här listan innehåller grundläggande information om den nya ransomware-stammen som kallas Qilin (Agenda).Bekräftat namn

Agenda (Qilin) virus

Hottyp

Ransomware
Smygande skadlig programvara
Kryptovirus
Arkivskåp
Dubbel utpressning

Tillägg för krypterade filer

Slumpmässig förlängning

Lösenbelopp kräver meddelande

[random_string]-RECOVER-README.txt

Detektionsnamn

AvastWin64:Trojan-gen
SophosMal/Generisk-S
EmsisoftTrojan.Ransom.Babuk.F (B)
KasperskyTrojan.Win32.DelShad.ivd
MalwarebytesGeneric.Malware/Suspicious
MicrosoftLösen:Win32/Babuk.SIB!MTB

Ransomware-familj, typ och variant

Familj: Qilin ransomware är en del av Qilin ransomware-familjen
Typ: Qilin ransomware är ett Ransomware-as-a-Service (RaaS) affiliate-program
Variant: Qilin ransomware är även känd som Agenda ransomware

Distributionsmetoder

Spridning av infekterade filer
Skadliga hyperlänkar
RDP-baserade övergrepp
Nätfiske
Spam-e-postkampanjer

Konsekvenser

Dataexfiltrering
Filkryptering

Finns det en gratis dekryptering tillgänglig?

Inga.Det finns ingen känd offentlig dekryptering för Qilin (Agenda) ransomware tillgänglig för närvarande.

Vad är Qilin ransomwares IOC?

Indikatorer för kompromiss (IOC) är artefakter som observeras i ett nätverk eller i ett operativsystem som indikerar ett datorintrång med hög tillförsikt. IOC kan användas för att tidigt upptäcka framtida attackförsök med hjälp av system för intrångsdetektering och antivirusprogram. Qilin (Agenda) ransomwares Indicators of Compromise (IOC) inkluderar:

Kryptering:Agenda ransomware krypterar filer med AES-256-kryptering
Filtillägg:Agenda ransomware lägger till ett konfigurerat filtillägg till filnamnen på krypterade filer
Anmärkning om lösen:Agenda ransomware släpper en lösensumma i varje krypterad katalogprogramvara
Beteende:Agenda ransomware kan starta om system i säkert läge, försöker stoppa många serverspecifika processer och tjänster och har flera lägen att köra
Nätverkskompromiss:Agenda ransomware är associerad med kompromissen av ett helt nätverk och dess delade drivrutiner

Qilin (Agenda) ransomwares lösensumma

Lösenlappen som lämnats av Qilin ransomware informerar offret om att deras filer har krypterats och kräver en lösensumma. I lösennotan kan det också nämnas att hotaktörerna har laddat ner data, såsom personaluppgifter och referenser, från det infekterade systemet. Om offret vägrar att kommunicera med hotaktörerna kan uppgifterna publiceras.Exempel på Agenda lösensumma:

Hur sprids Agenda/Qilin ransomware

Qilin ransomware är en farlig skadlig programvara som kan infektera en dator eller nätverk på flera sätt, inklusive:

Spridning av infekterade filer.Qilin ransomware kan spridas genom infekterade filer som laddas ner och installeras på offrets system utan deras vetskap.
Skadliga hyperlänkar.Qilin ransomware kan använda skadliga hyperlänkar för att infiltrera offrets system. Detta inträffar när offret omedvetet besöker en infekterad webbplats och sedan skadlig programvara laddas ner och installeras utan deras vetskap.
RDP-baserade övergrepp.Qilin ransomware kan använda RDP-baserade övergrepp för att infiltrera offrets system. Detta inträffar när hotaktörerna utnyttjar sårbarheter i Remote Desktop Protocol (RDP) för att få tillgång till offrets system.
Nätfiske.Qilin ransomware kan börja med ett nätfiskemeddelande som innehåller en skadlig bilaga eller länk. Offret luras att ladda ner och installera skadlig programvara på sitt system.

Hur infekterar Agenda ransomware en dator eller nätverk

Agenda ransomware är en Go-baserad ransomware som riktar sig till Windows-system och är anpassad för varje offer. Ransomwaren använder flera taktiker och tekniker för att maximera sin effekt, inklusive:

Säkert lägesutförande.Agenda ransomware kan starta om system i säkert läge för att undvika upptäckt och förhindra offret från att komma åt sitt system.
Process och tjänsteavslutning.Ransomware stoppar serverspecifika processer och tjänster för att maximera dess inverkan.
Borttagning av skuggvolymkopiering.Agenda ransomware tar bort skuggvolymkopior för att förhindra att offret återställer sitt system till ett tidigare tillstånd.
Antivirusprocess och tjänstavslutning.Ransomware avslutar olika antivirusprocesser och tjänster för att undvika upptäckt.
Starta skapande av post automatiskt.Agenda ransomware skapar en autostartpost som pekar på en kopia av sig själv för att säkerställa att den körs varje gång systemet startar upp.
Lösenordsändring.Ransomwaren ändrar standardanvändarens lösenord och aktiverar sedan automatisk inloggning med de ändrade referenserna.
Förfalskad användarinloggning.Agenda ransomware utnyttjar lokala konton för att logga in som falska användare och köra ransomware binär, vilket ytterligare krypterar andra maskiner om inloggningsförsöket lyckas.
Persistensmekanism.Ransomwaren använder en beständighetsmekanism som använder DLL för att säkerställa att den förblir aktiv på offrets system.

Betala inte lösen eller förhandla med hotaktörerna. Kontakta omedelbart SalvageData-experter för att återställa dina filer och rapportera ransomware till lokala myndigheter.

Hur man hanterar en Qilin (Agenda) ransomware-attack

Viktig:Det första steget är att tillgripa din Incident Response Plan (IRP). Helst har du en Incident Response Retainer (IRR) med ett pålitligt team av yrkesverksamma som kan kontaktas 24/7/365, och de kan vidta omedelbara åtgärder som förhindrar dataförlust, minskar eller eliminerar lösensumman och hjälper dig genom eventuella juridiska skyldigheter. Så vitt vi vet med informationen vi har när den här artikeln publiceras, är det första steget för att återställa ett team av experter. infekterad dator genom att koppla bort den från internet och ta bort alla anslutna enheter. Samtidigt kommer detta team att hjälpa dig att kontakta ditt lands lokala myndigheter. För invånare i USA och företag är detlokala FBI fältkontoroch denInternet Crime Complaint Center (IC3). För att rapportera en ransomware-attack måste du samla all information du kan om den, inklusive:

Skärmdumpar av lösensumman
Kommunikation med Qilin-skådespelare (om du har dem)
Ett exempel på en krypterad fil

Men om du inte har en IRP eller IRR kan du fortfarandekontakta proffs för borttagning och återställning av ransomware. Detta är det bästa tillvägagångssättet och ökar avsevärt chanserna att framgångsrikt ta bort ransomware, återställa data och förhindra framtida attacker. Vi rekommenderar att dulämna alla infekterade maskiner som de äroch ring ennödtjänst för återställning av ransomware.Omstart eller avstängning av systemet kan äventyra återställningsprocessen. Att fånga RAM-minnet i ett livesystem kan hjälpa till att få krypteringsnyckeln, och att fånga en dropperfil kan vara omvänd konstruerad och leda till dekryptering av data eller förståelse för hur den fungerar.Vad man INTE ska göra för att återhämta sig från en Qilin (Agenda) ransomware-attackDu måsteinte ta bort ransomwareoch behålla alla bevis på attacken. Det är viktigt fördigital kriminalteknikså att experter kan spåra tillbaka till hackergruppen och identifiera dem. Det är genom att använda data på ditt infekterade system som myndigheter kanundersöka attacken och hitta den ansvarige.En cyberattacksutredning skiljer sig inte från någon annan brottsutredning: den behöver bevis för att hitta angriparna.

1. Kontakta din Incident Response-leverantör

A Cyber Incident Response är att svara på och hantera en cybersäkerhetsincident. An Incident Response Retainer är ett serviceavtal med en cybersäkerhetsleverantör som tillåter organisationer att få extern hjälp med cybersäkerhetsincidenter. Det ger organisationer en strukturerad form av expertis och stöd genom en säkerhetspartner, vilket gör att de kan reagera snabbt och effektivt i händelse av en cyberincident. En incidentresponsretainer erbjuder sinnesro till organisationer och erbjuder expertstöd före och i efterdyningarna av en cybersäkerhetsincident. Den specifika karaktären och strukturen för en incidentresponsretainer kommer att variera beroende på leverantören och organisationens krav. En bra hantering av incidenter bör vara robust men flexibel och tillhandahålla beprövade tjänster för att förbättra en organisations långsiktiga säkerhetsställning. Om du kontaktar din IR-tjänsteleverantör kommer de att ta hand om allt annat. Men om du bestämmer dig för att ta bort ransomware och återställa filerna med ditt IT-team kan du följa nästa steg.

2. Identifiera ransomware-infektionen

Du kanidentifiera vilken ransomwareinfekterade din maskin med filtillägget (vissa ransomware använder filtillägget som sitt namn), eller så kommer det att finnas på lösensumman. Med den här informationen kan du leta efter en offentlig dekrypteringsnyckel. Du kan också kontrollera ransomware-typen efter dess IOC. Indikatorer för kompromisser (IOC) är digitala ledtrådar cybersäkerhetsproffs använder för att identifiera systemkompromisser och skadliga aktiviteter inom ett nätverk eller IT-miljö. De är i huvudsak digitala versioner av bevis som finns kvar på en brottsplats, och potentiella IOC inkluderar ovanlig nätverkstrafik, privilegierade användarinloggningar från främmande länder, konstiga DNS-förfrågningar, systemfiländringar och mer. När en IOC upptäcks utvärderar säkerhetsteam möjliga hot eller validerar dess äkthet. IOC ger också bevis på vad en angripare hade tillgång till om de infiltrerade nätverket.

3. Ta bort ransomware och eliminera exploateringssatser

Innan du återställer din data måste du garantera att din enhet är fri från ransomware och att angriparna inte kan göra en ny attack genom exploateringssatser eller andra sårbarheter. En tjänst för borttagning av ransomware kan ta bort ransomware, skapa ett kriminaltekniskt dokument för undersökning, eliminera sårbarheter och återställa dina data. Använd anti-malware/anti-ransomware-programvara för att karantänsätta och ta bort den skadliga programvaran.

Viktig:Genom att kontakta tjänster för borttagning av ransomware kan du säkerställa att din maskin och nätverk inte har några spår av Qilin (Agenda) ransomware. Dessa tjänster kan också patcha ditt system och förhindra nya attacker.

4. Använd en säkerhetskopia för att återställa data

Säkerhetskopiering är det mest effektiva sättet att återställa data. Se till att ha dagliga eller veckovisa säkerhetskopior, beroende på din dataanvändning.

5. Kontakta en ransomware-återställningstjänst

Om du inte har en säkerhetskopia eller behöver hjälp med att ta bort ransomware och eliminera sårbarheter bör du kontakta en dataåterställningstjänst. Att betala lösensumman garanterar inte att din data kommer att returneras till dig. Det enda garanterade sättet att återställa varje fil är om du har en säkerhetskopia. Om du inte gör det kan ransomware-dataåterställningstjänsterna hjälpa dig att dekryptera och återställa filerna.SalvageData-experter kan säkert återställa dina filer och förhindra Qilin (Agenda) ransomware från att attackera ditt nätverk igen. Vi erbjuder också endigital rättsmedicinsk rapportsom du kan använda för vidare utredning och för att förstå hur cyberattacken inträffade.Kontakta våra experter 24/7 för akut återställningstjänst.

Förhindra Qilin (Agenda) ransomware-attack

Att förhindra ransomware är den bästa lösningen för datasäkerhet. är lättare och billigare än att återhämta sig från dem. Qilin ransomware kan kosta ditt företags framtid och till och med stänga dess dörrar. Det här är några tips för att säkerställa att du kanundvika ransomware-attacker:

Installera antivirus och anti-malware programvara.
Använd pålitliga cybersäkerhetslösningar.
Använd starka och säkra lösenord.
Håll programvara och operativsystem uppdaterade.
Implementera brandväggar för extra skydd.
Skapa en dataåterställningsplan.
Schemalägg regelbundet säkerhetskopior för att skydda dina data.
Var försiktig med e-postbilagor och nedladdningar från okända eller misstänkta källor.
Verifiera säkerheten för annonser innan du klickar på dem.
Få endast tillgång till webbplatser från pålitliga källor.

Genom att följa dessa metoder kan du stärka din onlinesäkerhet och skydda dig mot potentiella hot.