Los afiliados de ransomware asociados con el esquema Qilin ransomware-as-a-service (RaaS) ganan entre el 80% y el 85% de los pagos de rescate, según los nuevos hallazgos de Group-IB.
La firma de ciberseguridad dijo que pudo infiltrarse en el grupo en marzo de 2023, descubriendo detalles sobre la estructura de pago de los afiliados y el funcionamiento interno del programa RaaS luego de una conversación privada con un reclutador de Qilin que usa el alias Haise en línea.
«Muchos ataques de ransomware Qilin están personalizados para cada víctima para maximizar su impacto», dijo la compañía con sede en Singapur. dicho en un nuevo informe. «Para hacer esto, los actores de amenazas pueden aprovechar tácticas como cambiar las extensiones de los nombres de archivo de los archivos cifrados y finalizar procesos y servicios específicos».
Qilin, también conocido como Agenda, fue documentado por primera vez por Trend Micro en agosto de 2022, iniciando un ransomware basado en Go antes de cambiar a Rust en diciembre de 2022.
La adopción de Rust también es significativa no solo por las capacidades de detección de evasión, sino también por el hecho de que permite a los actores de amenazas apuntar a servidores Windows, Linux y VMware ESXi.
Los ataques montados por el grupo hacen uso de correos electrónicos de phishing que contienen enlaces maliciosos como un medio para obtener acceso inicial y cifrar datos confidenciales, pero no antes de exfiltrarlos como parte de un modelo de doble extorsión.
Se han publicado datos de hasta 12 empresas diferentes en el portal de fuga de datos de Qilin en la dark web entre julio de 2022 y mayo de 2023.
Las víctimas, que abarcan principalmente los sectores de infraestructura crítica, educación y atención médica, se encuentran en Australia, Brasil, Canadá, Colombia, Francia, Japón, Países Bajos, Serbia, Reino Unido y EE. UU.
Group-IB dijo que los actores de Qilin también brindan a los afiliados, que son reclutados para identificar objetivos de interés y organizar los ataques, un panel administrativo para supervisar de manera efectiva varias partes de sus operaciones.
«El grupo de ransomware Qilin tiene un panel de afiliados dividido en secciones como Objetivos, Blogs, Rellenos, Noticias, Pagos y Preguntas frecuentes para administrar y coordinar su red de afiliados», dijo el investigador de seguridad Nikolay Kichatov.
- Objetivos – Una sección para configurar notas de rescate, archivos, directorios y extensiones para omitir, extensiones para encriptar, procesos para terminar y el modo de encriptación, entre otros
- blogs – Una sección para que los afiliados creen publicaciones de blog con información sobre las empresas atacadas que no han pagado el rescate.
- Rellenos – Una sección para que los actores de amenazas creen cuentas para otros miembros del equipo y administren sus privilegios
- Noticias – Una sección para publicar actualizaciones relacionadas con sus asociaciones de ransomware (actualmente en blanco)
- Pagos – Una sección que contiene detalles de transacciones, saldos de billeteras de afiliados y opciones para retirar ganancias ilícitas
- preguntas frecuentes – Una sección con información de soporte y documentación que detalla los pasos para usar el ransomware
«Aunque el ransomware Qilin ganó notoriedad por apuntar a empresas de sectores críticos, son una amenaza para las organizaciones en todos los verticales», dijo Kichatov.
«Además, el programa de afiliados del operador de ransomware no solo está agregando nuevos miembros a su red, sino que los está armando con herramientas, técnicas e incluso servicios mejorados».