Ransomware Qilin.B : une nouvelle ère de sophistication des menaces

Qu'est-ce que Qilin.B Ransomware ?

Le ransomware Qilin.B, une évolution avancée du ransomware Qilin (également connu sous le nom d'Agenda ), se distingue comme l'une des dernières menaces à émerger dans le paysage des ransomwares. Il a été observé de près par des experts en cybersécurité qui ont identifié une multitude d'améliorations dans cette nouvelle variante, ce qui le rend particulièrement difficile à détecter et à contrer. Initialement écrit en Golang puis transféré vers Rust, Qilin a évolué pour non seulement améliorer ses stratégies de chiffrement mais aussi pour optimiser ses techniques d'évasion, consolidant ainsi sa réputation de menace très avancée et insaisissable.

Qilin.B est conçu avec soin pour éviter toute détection et fonctionner de manière furtive au sein des systèmes infectés. Le ransomware intègre désormais des méthodes de chiffrement robustes telles que AES-256-CTR (utilisé dans les systèmes prenant en charge les fonctionnalités AESNI) et le chiffrement ChaCha20 pour ceux qui ne le prennent pas en charge. De plus, il utilise RSA-4096 avec remplissage OAEP pour sécuriser les clés de chiffrement, ce qui rend le déchiffrement presque impossible sans la clé privée de l'attaquant. Ces mécanismes avancés font de Qilin.B une forme de ransomware particulièrement puissante et résiliente, qui détient un pouvoir considérable sur les systèmes affectés.

Les objectifs des programmes de ransomware

En substance, les programmes de ransomware comme Qilin.B sont conçus pour verrouiller ou crypter les fichiers sur l'ordinateur d'une victime, les gardant en otage jusqu'à ce qu'une rançon soit versée aux attaquants. Ce mode d'attaque, souvent appelé « double extorsion », implique des menaces non seulement de maintenir les fichiers de la victime verrouillés, mais également de divulguer des données sensibles si la rançon n'est pas payée. Les attaquants fixent généralement une date limite de paiement, après laquelle le montant de la rançon peut augmenter ou les données peuvent être définitivement supprimées.

Qilin.B suit ce modèle avec son cryptage avancé et sa capacité à voler des identifiants et des informations sensibles sur les systèmes, ce qui renforce son influence sur la victime. Le ransomware-as-a-service (RaaS) devenant de plus en plus populaire, Qilin.B est également mis à la disposition des affiliés motivés à maximiser les collectes de rançon, en conservant jusqu'à 85 % de chaque paiement. Les affiliés du groupe Qilin auraient établi des liens avec d'autres pirates informatiques, soulignant la nature collaborative et lucrative de cette opération de cybercriminalité.

Comment Qilin.B surpasse ses prédécesseurs

Le ransomware Qilin a connu plusieurs itérations depuis sa première identification en 2022, chaque version s'appuyant sur les points forts précédents et intégrant de nouvelles fonctionnalités. Dans cette récente variante Qilin.B, les attaquants ont intensifié leurs méthodes de chiffrement et leurs techniques opérationnelles qui rendent la détection et l'atténuation de plus en plus difficiles. Qilin.B perturbe le processus de récupération en ciblant agressivement les sauvegardes et les environnements virtuels, mettant même fin aux processus liés aux services de sécurité tels que SQL, Veeam et SAP. Cela rend non seulement la récupération de fichiers une tâche ardue, mais laisse également les organisations dépendantes de leurs sauvegardes dans une situation critique.

Pour compliquer la détection, Qilin.B a développé des mécanismes permettant de mettre fin aux programmes antivirus et de supprimer les journaux système, masquant ainsi efficacement ses traces. Ces tactiques lui permettent de rester indétectable par les outils de sécurité standard, ce qui complique considérablement la tâche des équipes de cybersécurité pour localiser sa présence. Une telle sophistication a fait de Qilin.B une priorité pour les entreprises de cybersécurité comme Halcyon, qui suivent activement cette menace pour comprendre ses comportements et ses faiblesses.

Conséquences pour les organisations et leurs données

La sophistication croissante des ransomwares comme Qilin.B a de graves conséquences pour les organisations, en particulier celles des secteurs sensibles comme la santé, qui ont récemment connu une augmentation des attaques de ransomware. En raison des coûts élevés des temps d'arrêt, certaines institutions peuvent être confrontées à des dépenses pouvant atteindre 900 000 dollars par jour, ce qui les rend vulnérables à de graves dommages financiers en plus de la perte de données. Les organisations de santé, en particulier, ont souffert d'attaques liées à Qilin, révélant le potentiel du ransomware à paralyser les services essentiels.

Les conséquences financières ne se limitent pas aux temps d’arrêt. Par exemple, dans des cas récents, les prestataires de soins de santé ont signalé des paiements de rançon moyens supérieurs à 4,4 millions de dollars, avec des paiements médians d’environ 1,5 million de dollars. L’énorme pression financière que représentent ces paiements, combinée à la perte potentielle de dossiers médicaux et d’autres données critiques, fait de Qilin.B une préoccupation majeure pour la communauté de la cybersécurité. Non seulement les organisations sont confrontées à des atteintes à leur réputation, mais elles risquent également de subir des perturbations opérationnelles à grande échelle.

Le rôle de Qilin.B dans le marché croissant des ransomwares

L'existence de Qilin.B et son utilisation croissante en tant que modèle RaaS témoignent de l'adaptabilité et de la portée des ransomwares modernes. En permettant aux affiliés de louer son infrastructure et ses méthodes de chiffrement, l'opération Qilin.B garantit que son impact peut s'étendre au-delà des secteurs et des frontières géographiques. Le fait que les affiliés puissent gagner jusqu'à 85 % des paiements de rançon souligne la nature lucrative du RaaS et contribue à l'afflux constant de nouveaux affiliés dans l'écosystème de la cybercriminalité.

Dans un sens plus large, l’essor de Qilin.B représente une tendance au sein du marché de la cybercriminalité où les souches de ransomware sont conçues avec flexibilité et sophistication, s’adaptant facilement à de nouvelles cibles et environnements. Avec des défenses et des tactiques d’évasion aussi robustes, Qilin.B est de plus en plus difficile à contrer, ce qui exige des efforts plus avancés et plus collaboratifs de la part des équipes de cybersécurité du monde entier.

Comment les organisations peuvent se protéger contre Qilin.B

Bien que Qilin.B représente un défi de taille, les entreprises peuvent prendre des mesures proactives pour renforcer leur posture de cybersécurité. Des sauvegardes régulières, des systèmes de détection et de réponse aux points de terminaison et une formation des employés aux tactiques de phishing sont des défenses essentielles contre ce type de ransomware. Alors que les attaques de ransomware continuent d'évoluer, les entreprises doivent rester vigilantes, maintenir les logiciels à jour et s'appuyer sur des stratégies de sécurité multicouches qui anticipent et s'adaptent aux menaces émergentes comme Qilin.B.

Le ransomware Qilin.B illustre les dangers posés par les souches de ransomware sophistiquées et évolutives, et souligne la nécessité pour les organisations de rester informées et préparées.