Qilin fidye yazılımı çetesinin VMware ESXI şifrelemesinin bir örneği bulundu ve bugüne kadar görülen en gelişmiş ve özelleştirilebilir Linux şifrelemelerinden biri olabilir.
İşletme, mevcut CPU, bellek ve depolama kaynaklarının daha iyi kullanılmasına izin verdikleri için sunucularını barındırmak için sanal makinelere giderek daha fazla hareket ediyor.
Bu evlat edinme nedeniyle, neredeyse tüm fidye yazılımı çeteleri bu sunucuları hedeflemek için özel VMware ESXI şifrelemeleri oluşturdu.
Birçok fidye yazılımı işlemi, qilin gibi birkaçı, Linux sunucularını hedeflemek için kendi şifrelemelerini oluşturmak için sızdırılmış Babuk kaynak kodunu kullanır.
Geçen ay, güvenlik araştırmacısı MalwareHunterTeam, Qilin fidye yazılım çetesi için bir Linux ELF64 şifrelemesi buldu ve analiz etmek için BleepingComputer ile paylaştı.
Şifreleyici Linux, FreeBSD ve VMware ESXI sunucularında kullanılabilirken, sanal makineleri şifrelemeye ve anlık görüntülerini silmeye odaklanır.
Qilin'in şifrelemesi, şifrelenmiş dosyaların uzantısını, sonlandırılacak işlemleri, şifrelemeye veya hariç tutulacak dosyaları ve şifrelemek veya hariç tutacak klasörleri belirten gömülü bir yapılandırma ile oluşturulmuştur.
Bununla birlikte, bu yapılandırma seçeneklerinin kapsamlı özelleştirilmesine ve bir sunucuda nasıl şifrelendiğine izin veren çok sayıda komut satırı argümanı içerir.
Bu komut satırı bağımsız değişkenleri, bir hata ayıklama modunu etkinleştirme, herhangi bir dosyayı şifrelemeden kuru bir çalıştırma veya sanal makinelerin ve anlık görüntülerinin nasıl şifrelendiğini özelleştirme seçeneklerini içerir.
Komut satırı seçeneklerinin tam listesi aşağıda listelenmiştir:
BleepingComputer.com tarafından analiz edilen örnekte, şifreleme varsayılan olarak aşağıdaki hariç tutulmalar ve hedefleme kriterleri ile yapılandırılır:
Sonlandırılmayacak süreçler:
Şifrelemeden hariç tutulacak dizinler:
Şifrelemeden hariç tutulacak dosyalar:
Şifrelemeden hariç tutulacak dosya uzantıları:
Şifreleme için hedeflenecek dizinler:
Şifreleme için hedeflenecek dosyalar:
Şifrelenmemesi gereken sanal makinelerin bir listesini yapılandırmak da mümkündür.
Şifremi yürütürken, bir tehdit oyuncusu şifreleme için başlangıç dizinini ve şifrelemeye bağlı belirli bir şifre belirtmelidir.
Yürütüldüğünde, fidye yazılımı Linux, FreeBSD veya VMware ESXI sunucusunda çalışıp çalışmadığını belirler.
VMware ESXI'yi algılarsa, geçmişte diğer ESXI şifrelemelerinde görmediğimiz aşağıdaki ESXCLI ve ESXCFG-ADVCFG komutlarını çalıştıracaktır.
VMware uzmanı Melissa Palmer, BleepingComputer'a, bu komutların bilinen bir VMware bellek yığın tükenme hatasını çözmek ve sunucuda ESXI komutlarını yürütürken performansı artırmak için VMware destek bültenlerinden kopyalandığını söyledi.
Algılanan herhangi bir sanal makineyi şifrelemeden önce, fidye yazılımı önce tüm VM'leri sonlandıracak ve aşağıdaki komutları kullanarak anlık görüntülerini silecektir:
Daha sonra tüm hedeflenen dosyalar şifrelenir ve yapılandırılmış uzantının dosya adına eklenmesi gerekir.
Her klasörde, fidye yazılımı çetesinin TOR müzakere sitesine ve kurbanın sohbet sayfasına erişmek için gereken giriş kimlik bilgilerine bağlantılar içeren [extension] _recover.txt adlı bir fidye notu oluşturulacaktır.
BleepingComputer, fidye taleplerinin 25.000 $ ila milyonlarca dolar değiştiğini gördü.
Qilin fidye yazılımı operasyonu başlangıçta Ağustos 2022'de "Gündem" olarak başlatıldı. Ancak, Eylül ayına kadar, bugüne kadar faaliyet göstermeye devam ettiği Qilin adı altında yeniden markalaşmıştı.
Diğer kurumsal hedefleme fidye yazılımı operasyonları gibi, Qilin de bir şirketin ağlarını ihlal edecek ve diğer sistemlere yanal olarak yayılırken verileri çalacaktır.
Veri toplama ve sunucu yöneticisi kimlik bilgileri kazanma yapıldığında, tehdit aktörleri ağdaki tüm cihazları şifrelemek için fidye yazılımlarını dağıtır.
Çalıntı veriler ve şifrelenmiş dosyalar daha sonra bir şirketi fidye talebini ödemeye zorlamak için çift genişlemeli saldırılarda kaldıraç olarak kullanılır.
Lansmanından bu yana, fidye yazılımı operasyonu istikrarlı bir kurban akışı yaşadı, ancak 2023'ün sonuna doğru artan faaliyet gördü.
Qilin tarafından yapılan yeni bir saldırı, otomobil parçaları dev Yanfeng'ti.
Microsoft, Windows Server VM'leri Ekim güncellemelerine göre düzeltiyor
S I Lin Ransom Ware, Otomotiv Dev Y'ye saldırı talep ediyor
VX-Underground kötü amaçlı yazılım kolektifi Phobos Ransomware tarafından çerçevelenmiş
Microsoft, Broken Windows Server 2022 VMS için Temp Fix'i paylaşıyor
MGM Casino'nun ESXI sunucularının fidye yazılımı saldırısında şifrelendiği iddia ediliyor
Kaynak: Bleeping Computer