Qilin (Agenda) Ransomware: повний посібник

Програма-вимагач Qilin, також відома як програма-вимагач Agenda, написана на мовах програмування Rust and Go, що робить її більш універсальною та складною для аналізу чи виявлення. Програмне забезпечення-вимагач Qilin стало відомим через націлювання на компанії критичного сектору, але воно становить загрозу для організацій у всіх галузях. Партнерська програма оператора програм-вимагачів не лише додає нових учасників до своєї мережі, але й озброює їх шкідливим програмним забезпеченням і допоміжними службами для націлювання на освіту, охорону здоров’я та інші важливі сектори світової економіки. Програмне забезпечення-вимагач – це 64-розрядні файли Windows PE (Portable Executable). у Go та спеціально для систем на базі Windows. Група, яка розповсюджувала зловмисне програмне забезпечення, була зосереджена на організаціях охорони здоров’я та освіти в Індонезії, Саудівській Аравії, Південній Африці та Таїланді. Кожна записка про викуп, яку скидає програма-вимагач, була налаштована для передбачуваної жертви. Розслідування показало, що зразки містили витік облікових записів, паролі клієнтів і унікальні ідентифікатори компаній, які використовувалися як розширення зашифрованих файлів.

Програмне забезпечення-вимагач Qilin — це партнерська програма Ransomware-as-a-Service (RaaS), яка використовує програми-вимагачі на основі Rust для націлювання на своїх жертв. Атаки програм-вимагачів Qilin налаштовуються для кожної жертви, щоб максимізувати їхній вплив, а суб’єкти загрози можуть використовувати такі тактики, як зміна розширень імен файлів у зашифрованих файлах і припинення певних процесів і служб. Програми-вимагачі Qilin використовують шифрування AES-256 для шифрування файлів у системі жертви. Програма-вимагач також використовує RSA-2048 для шифрування згенерованого ключа. Після успішного шифрування до зашифрованих файлів додається нове випадкове розширення, наприклад «.MmXReVIxLV».

Більше читання:Програма-вимагач CloAk: повний посібник

Усе, що ми знаємо про програму-вимагач Qilin (Agenda).

Цей список містить основну інформацію про новий штам програм-вимагачів, відомий як Qilin (Agenda).Підтверджене ім'я

• Вірус Agenda (Qilin).

Тип загрози

• програми-вимагачі
• Приховане шкідливе програмне забезпечення
• Криптовірус
• Шафка для файлів
• Подвійне вимагання

Розширення зашифрованих файлів

• Випадкове розширення

Повідомлення з вимогою викупу

• [випадковий_рядок]-RECOVER-README.txt

Імена виявлення

• AvastWin64: троянська програма
• СофосMal/Generic-S
• EmsisoftTrojan.Ransom.Babuk.F (B)
• KasperskyTrojan.Win32.DelShad.ivd
• MalwarebytesGeneric.Malware/Suspicious
• MicrosoftВикуп: Win32/Babuk.SIB!MTB

Сімейство програм-вимагачів, тип і варіант

• Сімейство: програми-вимагачі Qilin є частиною сімейства програм-вимагачів Qilin
• Тип: програма-вимагач Qilin є афілійованою програмою Ransomware-as-a-Service (RaaS).
• Варіант: програма-вимагач Qilin також відома як програма-вимагач Agenda

Методи розповсюдження

• Поширення заражених файлів
• Шкідливі гіперпосилання
• Напади на основі RDP
• Фішинг
• Спам-кампанії електронною поштою

Наслідки

• Викрадання даних
• Шифрування файлів

Чи є безкоштовний дешифратор?

немаєНаразі не існує загальнодоступного дешифратора для програм-вимагачів Qilin (Agenda).

Що таке програми-вимагачі Qilin?

Індикатори компрометації (IOC) – це артефакти, спостережувані в мережі або в операційній системі, які з високою достовірністю вказують на комп’ютерне вторгнення. IOCs можна використовувати для раннього виявлення майбутніх спроб атак за допомогою систем виявлення вторгнень і антивірусного програмного забезпечення. Індикатори компрометації Qilin (Agenda) програм-вимагачів включають:

• Шифрування:Програма-вимагач Agenda шифрує файли за допомогою шифрування AES-256
• Розширення файлу:Програма-вимагач Agenda додає налаштоване розширення до імен зашифрованих файлів
• Примітка про викуп:Програма-вимагач Agenda розміщує повідомлення про викуп у кожному зашифрованому каталозі програмного забезпечення
• Поведінка:Програмне забезпечення-вимагач Agenda може перезавантажувати системи в безпечному режимі, намагається зупинити багато специфічних для сервера процесів і служб і має кілька режимів запуску
• Мережевий компроміс:Програмне забезпечення-вимагач Agenda пов’язане з компрометацією всієї мережі та її спільних драйверів

Записка про викуп програми-вимагача Qilin (Agenda).

Записка про викуп, залишена програмою-вимагачем Qilin, інформує жертву про те, що її файли зашифровані, і вимагає викупу. У записці про викуп також може бути зазначено, що зловмисники завантажили дані, такі як відомості про співробітників та облікові дані, із зараженої системи. Якщо жертва відмовляється спілкуватися з особами, які загрожують, дані можуть бути опубліковані. Приклад повідомлення про викуп у програмі:

Як поширюється програма-вимагач Agenda/Qilin

Програма-вимагач Qilin — це небезпечна шкідлива програма, яка може заразити комп’ютер або мережу кількома способами, зокрема:

• Поширення заражених файлів.Програма-вимагач Qilin може поширюватися через інфіковані файли, які завантажуються та встановлюються в системі жертви без її відома.
• Шкідливі гіперпосилання.Програма-вимагач Qilin може використовувати шкідливі гіперпосилання для проникнення в систему жертви. Це відбувається, коли жертва неусвідомлено відвідує інфікований веб-сайт, а потім завантажується та встановлюється зловмисне програмне забезпечення без її відома.
• Напади на основі RDP.Програмне забезпечення-вимагач Qilin може використовувати атаки на основі RDP для проникнення в систему жертви. Це відбувається, коли зловмисники використовують уразливості в протоколі віддаленого робочого столу (RDP), щоб отримати доступ до системи жертви.
• Фішинг.Програма-вимагач Qilin може починатися з фішингового електронного листа, який містить зловмисне вкладення або посилання. Жертву обманом змушують завантажити та встановити зловмисне програмне забезпечення у своїй системі.

Як програма-вимагач Agenda заражає комп’ютер або мережу

Програмне забезпечення-вимагач Agenda – це програмне забезпечення-вимагач на основі Go, яке націлено на системи Windows і налаштоване для кожної жертви. Програмне забезпечення-вимагач використовує кілька тактик і методів, щоб максимізувати свій вплив, зокрема:

1. Виконання безпечного режиму.Програмне забезпечення-вимагач Agenda може перезавантажувати системи в безпечному режимі, щоб уникнути виявлення та запобігти доступу жертви до своєї системи.
2. Припинення процесу та обслуговування.Програмне забезпечення-вимагач зупиняє специфічні для сервера процеси та служби, щоб збільшити свій вплив.
3. Видалення копії тіньового тома.Програма-вимагач Agenda видаляє тіньові копії томів, щоб запобігти жертві відновити свою систему до попереднього стану.
4. Антивірусний процес і припинення служби.Програма-вимагач припиняє роботу різних антивірусних процесів і служб, щоб уникнути виявлення.
5. Автоматичний запуск створення запису.Програмне забезпечення-вимагач Agenda створює запис автозапуску, який вказує на свою копію, щоб забезпечити його запуск під час кожного завантаження системи.
6. Зміна пароля.Програма-вимагач змінює пароль користувача за умовчанням, а потім вмикає автоматичний вхід за допомогою змінених облікових даних.
7. Підроблений вхід користувача.Програма-вимагач Agenda використовує переваги локальних облікових записів, щоб увійти як підроблені користувачі та виконати двійковий файл програми-вимагача, додатково шифруючи інші машини, якщо спроба входу вдалася.
8. Механізм персистенції.Програма-вимагач використовує механізм збереження за допомогою DLL, щоб гарантувати, що вона залишається активною в системі жертви.

Не платіть викуп і не ведіть переговори з загрозливими особами. Негайно зверніться до експертів SalvageData, щоб відновити ваші файли та повідомити про програму-вимагач місцевій владі.

Як впоратися з атакою програм-вимагачів Qilin (Agenda).

Важливо:Перший крок — скористатися планом реагування на інциденти (IRP). В ідеалі у вас є Incident Response Retainer (IRR) із надійною командою професіоналів, з якими можна зв’язатися 24/7/365, і вони можуть негайно вжити заходів, щоб запобігти втраті даних, зменшити або скасувати виплату викупу та допомогти вам подолати будь-які юридичні зобов’язання. Наскільки нам відомо з інформацією, яку ми маємо на момент публікації цієї статті, перший крок, який зробила б команда експертів із відновлення програм-вимагачів, – це ізолювати зараженого комп’ютера, відключивши його від Інтернету та видаливши всі під’єднані пристрої. Одночасно ця команда допоможе вам зв’язатися з місцевою владою вашої країни. Для жителів США та підприємств цемісцевий офіс ФБРіЦентр скарг на злочини в Інтернеті (IC3). Щоб повідомити про атаку програм-вимагачів, ви повинні зібрати всю можливу інформацію про неї, зокрема:

• Скріншоти записки про викуп
• Спілкування з акторами Qilin (якщо вони у вас є)
• Зразок зашифрованого файлу

Однак, якщо у вас немає IRP або IRR, ви все одно можетезверніться до спеціалістів із видалення та відновлення програм-вимагачів. Це найкращий спосіб дій, який значно підвищує шанси на успішне видалення програми-вимагача, відновлення даних і запобігання майбутнім атакам. Рекомендуємо вамзалишити кожну заражену машину як єі подзвонитислужба екстреного відновлення програм-вимагачів.Перезапуск або завершення роботи системи може поставити під загрозу процес відновлення. Захоплення оперативної пам’яті живої системи може допомогти отримати ключ шифрування, а перехоплення файлу дроппера може бути спроектовано зворотним шляхом і призведе до дешифрування даних або розуміння того, як він працює.Чого НЕ робити, щоб відновитися після атаки програм-вимагачів Qilin (Agenda).Ви повинніне видаляти програму-вимагач, і зберігати всі докази нападу. Це важливо дляцифрова криміналістикащоб експерти могли відстежити хакерську групу та ідентифікувати їх. Органи влади можуть використовувати дані вашої зараженої системирозслідувати напад і знайти відповідальних.Розслідування кібератак не відрізняється від будь-якого іншого кримінального розслідування: воно потребує доказів, щоб знайти зловмисників.

1. Звернення до постачальника послуг реагування на інциденти

Служба реагування на кіберінциденти реагує на інциденти кібербезпеки та керує ними. Incident Response Retainer — це угода про надання послуг із постачальником кібербезпеки, яка дозволяє організаціям отримувати зовнішню допомогу щодо інцидентів кібербезпеки. Він надає організаціям структуровану форму експертних знань і підтримки через партнера з безпеки, що дає їм змогу швидко й ефективно реагувати на випадок кіберінциденту. Утримувач реагування на інцидент забезпечує спокій для організацій, пропонуючи експертну підтримку до та після інциденту кібербезпеки. Конкретний характер і структура фіксатора реагування на інциденти змінюватимуться залежно від постачальника та вимог організації. Хороший механізм реагування на інциденти має бути надійним, але гнучким, надавати перевірені послуги для підвищення довгострокової безпеки організації. Якщо ви зв’яжетеся зі своїм постачальником ІЧ-послуг, він подбає про все інше. Однак якщо ви вирішите видалити програму-вимагач і відновити файли разом зі своєю командою ІТ, ви можете виконати наступні кроки.

2. Визначте зараження програмою-вимагачем

Ви можетевизначити програму-вимагачзаразили ваш комп’ютер за розширенням файлу (деякі програми-вимагачі використовують розширення файлу як своє ім’я), або він буде вказаний у примітці про викуп. Маючи цю інформацію, ви можете шукати відкритий ключ дешифрування. Ви також можете перевірити тип програми-вимагача за її IOC. Індикатори компрометації (IOC) — це цифрові підказки, які фахівці з кібербезпеки використовують для виявлення компрометації системи та зловмисної діяльності в мережі чи ІТ-середовищі. По суті, це цифрові версії доказів, залишених на місці злочину, і потенційні IOC включають незвичайний мережевий трафік, привілейовані входи користувачів з інших країн, дивні запити DNS, зміни системних файлів тощо. Коли IOC виявляється, групи безпеки оцінюють можливі загрози або підтверджують його автентичність. IOC також надають докази того, до чого мав доступ зловмисник, якщо він проник у мережу.

3. Видаліть програми-вимагачі та ліквідуйте набори експлойтів

Перш ніж відновлювати свої дані, ви повинні переконатися, що ваш пристрій вільний від програм-вимагачів і що зловмисники не зможуть здійснити нову атаку за допомогою наборів експлойтів або інших уразливостей. Служба видалення програм-вимагачів може видалити програму-вимагач, створити документ криміналістики для дослідження, усунути вразливості та відновити ваші дані. Використовуйте програмне забезпечення для захисту від зловмисних програм/програм-вимагачів, щоб помістити в карантин і видалити шкідливе програмне забезпечення.

Важливо:Звернувшись до служб видалення програм-вимагачів, ви можете переконатися, що на вашій машині та в мережі немає слідів програм-вимагачів Qilin (Agenda). Крім того, ці служби можуть виправляти вашу систему, запобігаючи новим атакам.

4. Використовуйте резервну копію для відновлення даних

Резервне копіювання є найефективнішим способом відновлення даних. Обов’язково зберігайте щоденні або щотижневі резервні копії, залежно від використання даних.

5. Зверніться до служби відновлення програм-вимагачів

Якщо у вас немає резервної копії або вам потрібна допомога з видаленням програми-вимагача та усуненням вразливостей, вам слід звернутися до служби відновлення даних. Сплата викупу не гарантує повернення ваших даних. Єдиний гарантований спосіб відновлення кожного файлу – це наявність резервної копії. Якщо ви цього не зробите, служби відновлення даних програм-вимагачів можуть допомогти вам розшифрувати та відновити файли. Експерти SalvageData можуть безпечно відновити ваші файли та запобігти повторній атаці програмами-вимагачем Qilin (Agenda) на вашу мережу. Крім того, ми пропонуємоцифровий судово-медичний звітякі ви можете використати для подальшого розслідування та зрозуміти, як сталася кібератака. Зв’яжіться з нашими експертами цілодобово та без вихідних, щоб отримати послугу екстреного відновлення.

Запобігайте атаці програм-вимагачів Qilin (Agenda).

Запобігання програмам-вимагачам є найкращим рішенням для безпеки даних. легше і дешевше, ніж відновлюватися після них. Програмне забезпечення-вимагач Qilin може втрачати майбутнє вашого бізнесу та навіть закрити його двері. Ось кілька порад, які допоможуть вамуникайте атак програм-вимагачів:

• Встановіть антивірусне та антишкідливе програмне забезпечення.
• Використовуйте надійні рішення кібербезпеки.
• Використовуйте надійні та безпечні паролі.
• Тримайте програмне забезпечення та операційні системи в актуальному стані.
• Впровадьте брандмауери для додаткового захисту.
• Створіть план відновлення даних.
• Регулярно плануйте резервне копіювання, щоб захистити свої дані.
• Будьте обережні з вкладеннями електронної пошти та завантаженнями з невідомих або підозрілих джерел.
• Перевірте безпеку оголошень, перш ніж натискати на них.
• Отримуйте доступ до веб-сайтів лише з перевірених джерел.

Дотримуючись цих правил, ви можете зміцнити свою онлайн-безпеку та захистити себе від потенційних загроз.