การโจมตีด้วยแรนซัมแวร์ที่ทำลายตัวเอง

นักวิจัยด้านความปลอดภัยจาก Huntress ได้บันทึกกรณีที่แอฟฟิลิเอตของแรนซัมแวร์ Akira ก่อวินาศกรรมโจมตีของตัวเองโดยไม่ตั้งใจ ขณะพยายามปิดการทำงานของเครื่องมือ endpoint detection and response (EDR) บนเครือข่ายเป้าหมาย แทนที่จะหลบผ่านการป้องกันโดยไม่ถูกตรวจจับ ความพยายามหลบเลี่ยงของผู้โจมตีกลับทำให้กระบวนการเข้ารหัสของแรนซัมแวร์เองล่ม จนเพย์โหลดที่ตั้งใจไว้ทำงานไม่สมบูรณ์

นี่ไม่ใช่ครั้งแรกที่แอฟฟิลิเอตของ Akira ทำให้ปฏิบัติการของตัวเองเสียหายขณะพยายามหลบเลี่ยงการป้องกัน EDR ในเหตุการณ์อีกกรณีหนึ่งที่เคยนำเสนอไปก่อนหน้านี้ แอฟฟิลิเอตรายหนึ่งรีบูตเครื่อง Windows ที่ถูกโจมตีเข้าสู่ Safe Mode with Networking โดยมีเป้าหมายเฉพาะเจาะจงเพื่อปลดการป้องกันของเอนด์พอยต์ก่อนปล่อยแรนซัมแวร์ การกระทำดังกล่าวยัง ย้อนกลับมาทำร้ายผู้โจมตี เช่นกัน เพราะทำให้ระบบที่พวกเขาจำเป็นต้องใช้เพื่อเข้ารหัสหยุดชะงัก เมื่อรวมกันแล้ว เหตุการณ์เหล่านี้ชี้ให้เห็นรูปแบบว่า แอฟฟิลิเอตของ Akira กำลังทดลองเทคนิคต่อต้าน EDR อย่างดุเดือด และเทคนิคเหล่านั้นกลับเปราะบางเมื่อใช้งานจริง

เหตุใดการแทรกแซง EDR จึงมักย้อนกลับมาสร้างปัญหา

ซอฟต์แวร์ EDR ได้รับการออกแบบให้ฝังตัวอยู่ลึกภายในระบบปฏิบัติการ คอยเฝ้าติดตามกระบวนการ กิจกรรมไฟล์ และการเรียกใช้ระบบแบบเรียลไทม์ การผสานรวมเชิงลึกนี้คือสิ่งที่ทำให้มันมีค่าสำหรับฝ่ายป้องกัน และเป็นเหตุผลที่การแทรกแซงมันมีความเสี่ยงทางเทคนิคสำหรับผู้โจมตี เมื่อผู้ดำเนินการแรนซัมแวร์พยายามฆ่ากระบวนการ EDR ปิดการทำงานของไดรเวอร์ หรือบังคับให้ระบบเข้าสู่สถานะที่ถูกลดทอนเพื่อหลบเลี่ยงการตรวจจับ พวกเขากำลังทำงานอยู่ในพื้นที่ที่ไม่คุ้นเคยบนเครือข่ายของคนอื่น ความผิดพลาดเพียงครั้งเดียว การพึ่งพาที่ขาดหายไป ไดรเวอร์ที่ถอดออกไม่สมบูรณ์ หรือกระบวนการที่ยุติลงอย่างไม่คาดคิด อาจทำให้เพย์โหลดที่ผู้โจมตีพยายามปล่อยนั้นล่มได้

การบันทึกเหตุการณ์ของ Huntress ช่วยเพิ่มหลักฐานที่มีมากขึ้นเรื่อยๆ ว่าเครื่องมือต่อต้าน EDR แม้จะเป็นภัยคุกคามจริงและยังเคลื่อนไหวอยู่ แต่ก็ไม่ใช่สิ่งที่ไม่มีทางผิดพลาดสำหรับฝั่งผู้โจมตีเช่นกัน เครื่องมือเหล่านี้เป็นเครื่องมือที่สร้างขึ้นเองหรือกึ่งสร้างขึ้นเองอย่างรวดเร็ว และนำไปใช้ภายใต้แรงกดดันด้านเวลาระหว่างการบุกรุกที่กำลังเกิดขึ้น สภาพแวดล้อมเช่นนั้นแทบไม่มีพื้นที่ให้ทดสอบ และข้อผิดพลาดเล็กน้อยอาจส่งผลลบอย่างใหญ่หลวงต่อปฏิบัติการของผู้โจมตี

สิ่งนี้หมายความอย่างไรต่อความเป็นส่วนตัวและการคุ้มครองข้อมูล

แม้เหตุการณ์นี้จะเป็นชัยชนะทางเทคนิคของฝ่ายป้องกันที่เกี่ยวข้อง แต่ก็ควรทำความเข้าใจให้ชัดเจนว่าเหตุการณ์นี้มีความหมายและไม่มีความหมายอย่างไรต่อความเป็นส่วนตัว เพย์โหลดเข้ารหัสที่ล่มไม่ได้หมายความว่าผู้โจมตีไม่เคยเข้าถึงข้อมูลสำคัญเสมอไป ปฏิบัติการแรนซัมแวร์จำนวนมาก รวมถึง ของ Akira ซึ่งมุ่งเป้าไปยังอุตสาหกรรมและขนาดบริษัทที่หลากหลาย ปัจจุบันใช้โมเดลการขู่กรรโชกสองทาง ข้อมูลมักถูกขโมยออกไปก่อนที่จะเริ่มการเข้ารหัสเสียด้วยซ้ำ หมายความว่าขั้นตอนการเข้ารหัสที่ล้มเหลวไม่ได้ป้องกันการรั่วไหลของข้อมูลส่วนบุคคลหรือข้อมูลธุรกิจไม่ให้เกิดขึ้น หรือถูกนำไปใช้ข่มขู่เรียกค่าไถ่ในภายหลังโดยอัตโนมัติ

เรื่องนี้สำคัญสำหรับทุกคนที่มองเหตุการณ์นี้ผ่านมุมความเป็นส่วนตัว องค์กรที่เผชิญการโจมตีด้วยแรนซัมแวร์ที่ล้มเหลวเพียงบางส่วนก็ยังควรปฏิบัติต่อเหตุการณ์นั้นเสมือนเป็นเหตุการณ์ที่ข้อมูลอาจรั่วไหล ไม่ใช่แค่รอดตัวไปเฉยๆ หน้าที่ในการแจ้งเตือน การสอบสวนทางนิติดิจิทัล และการเฝ้าติดตามข้อมูลที่รั่วไหลไม่ควรถูกข้ามไป เพียงเพราะอาการที่มองเห็นได้อย่างเครือข่ายถูกเข้ารหัสนั้นไม่เกิดขึ้นเต็มรูปแบบ

เหตุการณ์นี้ยังเข้ากับภาพรวมของภูมิทัศน์แรนซัมแวร์ที่กลุ่มต่างๆ พัฒนากลยุทธ์อย่างต่อเนื่อง การติดตามอุตสาหกรรมล่าสุดแสดงให้เห็นว่า Akira ยังคงอยู่ในกลุ่มปฏิบัติการแรนซัมแวร์ที่คึกคักที่สุด เคียงข้างชื่อที่โดดเด่นอื่นๆ โดยเน้นย้ำว่าแอฟฟิลิเอตอยู่ภายใต้แรงกดดันให้เคลื่อนไหวเร็วและลองวิธีหลบเลี่ยงใหม่ๆ ซึ่งบางครั้งต้องแลกมาด้วยความน่าเชื่อถือ

สิ่งนี้หมายความอย่างไรสำหรับคุณ

สำหรับทีมไอทีและความปลอดภัย บทเรียนไม่ใช่การชะล่าใจ แต่คือการยืนยันว่าการกำหนดค่า EDR ที่ทนทานต่อการแทรกแซงและการเฝ้าติดตามเป็นชั้นๆ ช่วยเพิ่มต้นทุนและความเสี่ยงที่จะล้มเหลวให้กับผู้โจมตีได้จริง แม้แต่การบุกรุกที่ผิดพลาดเพียงบางส่วนก็ยังอาจส่งผลให้ข้อมูลถูกขโมยได้ แผนรับมือเหตุการณ์จึงควรตั้งสมมติฐานว่ามีการขโมยข้อมูลเกิดขึ้นจนกว่าหลักฐานจะพิสูจน์เป็นอย่างอื่น สำหรับผู้ใช้ทั่วไปและองค์กรขนาดเล็กที่ไม่มีทีมความปลอดภัยเฉพาะ บทสรุปนั้นง่ายกว่า: อัปเดตเครื่องมือป้องกันเอนด์พอยต์ให้ทันสมัยอยู่เสมอ หลีกเลี่ยงการปิดซอฟต์แวร์ความปลอดภัยแม้เพียงชั่วคราว และถือว่าสัญญาณของการเปลี่ยนแปลงระบบโดยไม่ได้รับอนุญาต รวมถึงการรีบูตโดยไม่คาดคิดหรือข้อความแจ้งให้เข้า Safe Mode เป็นสัญญาณอันตรายที่ควรตรวจสอบทันที

ข้อปฏิบัติที่นำไปใช้ได้

  • อย่าด่วนสรุปว่าการเข้ารหัสของแรนซัมแวร์ที่ล้มเหลวหรือไม่สมบูรณ์หมายความว่าไม่มีข้อมูลถูกขโมย ตรวจสอบการขโมยข้อมูลออกนอกเครือข่ายเสมอไม่ว่าผลลัพธ์จะเป็นอย่างไร
  • อัปเดตแพตช์ EDR และเครื่องมือป้องกันเอนด์พอยต์ให้ทันสมัย และเปิดใช้การป้องกันการแทรกแซงในจุดที่ทำได้
  • เฝ้าระวังพฤติกรรมระบบที่ผิดปกติ เช่น การรีบูตเข้าสู่ Safe Mode โดยไม่คาดคิด ซึ่งถูกใช้เป็นกลวิธีหลบเลี่ยง EDR โดยแอฟฟิลิเอตของ Akira
  • ทบทวนแผนสำรองและกู้คืนข้อมูลอย่างสม่ำเสมอ เพราะความพยายามโจมตีด้วยแรนซัมแวร์ ไม่ว่าจะสำเร็จหรือไม่ มักบ่งชี้ว่าเครือข่ายถูกบุกรุกในวงกว้าง

ความพยายามหลบเลี่ยง EDR ของแรนซัมแวร์ Akira เช่นกรณีนี้แสดงให้เห็นว่าผู้โจมตียังคงปรับปรุงคู่มือการโจมตีของตนอยู่ และแม้แต่กลุ่มที่ซับซ้อนก็สามารถสะดุดเครื่องมือของตัวเองได้ การเฝ้าระวังอย่างต่อเนื่อง แทนที่จะคิดว่าเหตุการณ์ที่เกือบพลาดคือพลาดจริง ยังคงเป็นแนวทางที่ปลอดภัยที่สุดสำหรับฝ่ายป้องกัน