Международна акция: Европол с награда от $50 000 за информация, водеща до залавянето на руски хакери

Европол обяви награда в размер до 50 000 долара за всяка информация, която помогне за идентифицирането или задържането на ключовите оператори на групата Qilin, известна с псевдонимите „Haise“ и „XOracle“. Тези лица са заподозрени в организирането на мащабни кампании с използване на рансъмуер, насочени към критични обекти по целия свят и причиняващи огромни финансови щети. Сега разследването се води от международните правоприлагащи структури под координацията на Европол.

Специалистите смятат, че ядрото на Qilin се намира в Източна Европа: участниците редовно общуват на руски език в хакерските форуми. Групата се обяви за първи път през август 2022 г. под името Agenda и оттогава успя да порази поне 678 организации, което я прави една от най-активните сред съвременните оператори на рансъмуер.

Групата скоро се ребрандира и се превърна в пълноценна Ransomware-as-a-Service (RaaS). При този модел партньорите бяха набирани чрез затворени форуми, като получаваха 80-85% от приходите от рансъмуер, а самата група запазваше останалата част. Отличителна черта на Qilin е неговата техническа сложност: разработчиците са използвали Golang и Rust, което им е позволило да създават универсални изпълними модули, които могат лесно да се адаптират за различните платформи и са по-трудни за откриване от традиционните защити.

В арсенала на Qilin се използват методи за двойно изнудване: данните не само се криптират, но и се крадат със заплаха за публикуване. Сред жертвите на атаките са медицински институции, строителни и образователни организации, правителствени агенции и инфраструктурни компании в повече от 30 държави. За първоначалното проникване нападателите често са използвали неправилно конфигуриран VPN достъп, например FortiGate, или са използвали фишинг имейли. След това са се използвали PowerShell скриптове за компрометиране на VMware vCenter и ESXi, което е позволявало масово внедряване на рансъмуер във виртуализираните среди.

Експертите обръщат специално внимание на модификацията Qilin.B, написана на езика Rust. Тя използва мощните криптографски алгоритми AES-256-CTR, комбинирани с RSA-4096-OAEP, има вградени механизми за борба с логването и функции за самоунищожение, за да избегне откриването. В някои случаи са били откраднати идентификационните данни, съхранявани в браузърите, което проправя пътя за по-дълбоко проникване в корпоративните мрежи.

Един от най-известните епизоди е атаката от юни 2024 г. срещу доставчика на здравни услуги Synnovis, която парализира болниците на NHS в Лондон и доведе до отмяната на стотици операции и прием на пациенти. Сред другите жертви са организации от Малайзия, САЩ, Тайланд, Китай и няколко европейски държави, включително строителни фирми, благотворителни организации и правителствени агенции.

Темата е много актуална и показва до каква степен организираната киберпрестъпност се е превърнала в сериозна заплаха, което налага подобни мащабни международни акции