Scoperto il ransomware Qilin che ruba le credenziali memorizzate in Google Chrome

Un noto ransomware sviluppa un forte appetito per le password di siti di terze parti

Security Operations Threat Research credential featured incident response Privacy qilin Ransomware

Nel corso di una recente indagine su una violazione del ransomware Qilin, il team X-Ops di Sophos ha identificato un’attività di attacco che ha portato al furto in massa delle credenziali memorizzate nei browser Google Chrome su un sottoinsieme di endpoint della rete – una tecnica di raccolta delle credenziali con potenziali implicazioni che vanno ben oltre l’organizzazione della vittima originale. Questa è una tattica insolita, e potrebbe essere un moltiplicatore del caos già insito nell’ambito degli attacchi ransomware.

Che cos’è Qilin?

Il gruppo di ransomware Qilin è attivo da poco più di due anni. È balzato agli onori della cronaca nel giugno 2024 a causa di un attacco a Synnovis, un fornitore di servizi governativi a diversi centri sanitari e ospedali del Regno Unito. Prima dell’attività descritta in questo post, gli attacchi di Qilin hanno spesso comportato una “doppia estorsione”, ovvero il furto dei dati della vittima, la cifratura dei suoi sistemi e la minaccia di rivelare o vendere i dati rubati se la vittima non avesse pagato per la chiave di cifratura, una tattica che abbiamo recentemente discusso nella nostra ricerca “Turning the Screws”.

Il team IR di Sophos ha rilevato l’attività descritta in questo post nel luglio 2024. Per fornire un contesto, questa attività si è verificata su un singolo controller di dominio all’interno del dominio Active Directory dell’obiettivo; altri controller di dominio in quel dominio AD sono stati infettati ma colpiti in modo diverso da Qilin.

Continua a leggere qui.

L'autore

Lee Kirkpatrick

Lee is an experienced Incident Lead with the Sophos Incident Response Team, specializing in digital forensics and incident response for a diverse global clientele. With over a decade of expertise, Lee has tackled cyber threats ranging from ransomware to nation-state attacks and has shared insights at prestigious events including BlackHat and RSA Charge.

Paul Jacobs

Since joining Sophos in January 2021, Paul Jacobs has led a team of Incident Response Analysts and Engineers on the sharp end of protecting clients during active cyber attacks. Paul’s prior career history includes over 15 years service in the Police, where he gained a wealth of experience in cyber crime investigations ranging from violent offences to complex financial frauds and data breaches.

Harshal Gosalia

Harshal Gosalia is a Principal Incident Response Analyst on the Sophos X-Ops Incident Response team. With over eight years of experience in the cybersecurity industry, Harshal has successfully navigated a wide range of cyber threats across sectors including financial services, telecommunications, and technology. Harshal's expertise spans incident response, digital forensics, and threat hunting.

Robert Weiland

Robert Weiland is a team lead for Sophos Incident Response. Since joining Sophos as an Incident Response Lead in 2021, Robert has cemented a successful track record of leading and advising customers through some of the most challenging days of their careers. Before his career in cybersecurity Robert worked for over a decade in the information technology field.