นักวิจัยด้านความปลอดภัยกำลังส่งสัญญาณเตือนเกี่ยวกับกลยุทธ์ที่ทำให้กลุ่มแรนซัมแวร์ Akira ตรวจพบได้ยากเป็นพิเศษ นั่นคือการใช้ซอฟต์แวร์ตรวจสอบและจัดการระยะไกล (RMM) ที่ถูกต้องตามกฎหมายในทางที่ผิด แทนที่จะพึ่งพามัลแวร์ที่กำหนดเองเพียงอย่างเดียว สมาชิกในเครือของ Akira กลับหันมาใช้เครื่องมือที่ได้รับความไว้วางใจอย่างแพร่หลาย เช่น TeamViewer และ AnyDesk เพื่อรักษาการเข้าถึงภายในเครือข่ายที่ถูกบุกรุก ในขณะที่เล็ดลอดผ่านระบบตรวจจับและตอบสนองปลายทาง (EDR) ไปได้
นี่ไม่ใช่แนวคิดใหม่ในโลกของอาชญากรรมไซเบอร์ แต่การที่ Akira ใช้แนวทางนี้อย่างต่อเนื่องและได้รับการปรับปรุงให้ดีขึ้น ชี้ให้เห็นถึงปัญหาที่ใหญ่กว่า นั่นคือ ซอฟต์แวร์ที่องค์กรพึ่งพาสำหรับการสนับสนุนด้านไอทีที่ถูกต้องตามกฎหมาย สามารถกลายเป็นช่องทางลับสำหรับผู้โจมตีได้ง่ายๆ และเครื่องมือรักษาความปลอดภัยแบบดั้งเดิมมักไม่ถูกสร้างขึ้นมาให้แยกแยะความแตกต่างได้
เหตุใดเครื่องมือเข้าถึงระยะไกลที่ถูกต้องตามกฎหมายจึงกลายเป็นเวกเตอร์โจมตีในอุดมคติ
เครื่องมือ RMM มีอยู่ด้วยเหตุผลที่ดี แผนกไอทีและผู้ให้บริการจัดการ (MSP) ใช้เครื่องมือเหล่านี้ทุกวันเพื่อแก้ไขปัญหาเครื่องคอมพิวเตอร์ ผลักดันการอัปเดต และสนับสนุนพนักงานที่ทำงานระยะไกล ความถูกต้องตามกฎหมายนั้นเองที่ทำให้เครื่องมือเหล่านี้มีคุณค่าอย่างยิ่งต่อผู้ปฏิบัติการแรนซัมแวร์
เมื่อสมาชิกในเครือ Akira ติดตั้งหรือยึดครองเครื่องมืออย่าง TeamViewer และ AnyDesk บนเครือข่ายของเหยื่อ การเชื่อมต่อที่เกิดขึ้นมักจะดูเหมือนกิจกรรมการดูแลระบบปกติ ไม่ใช่การรับส่งข้อมูลคำสั่งและควบคุมที่มุ่งร้าย ซอฟต์แวร์รักษาความปลอดภัยที่ตั้งค่าสถานะไฟล์ปฏิบัติการที่ไม่รู้จักหรือสัญญาณเครือข่ายที่ผิดปกติ อาจปล่อยให้การเชื่อมต่อเหล่านี้ผ่านไปได้ เนื่องจากตัวเครื่องมือเองมีการลงนามแบบดิจิทัล ถูกนำไปใช้อย่างแพร่หลาย และแทบไม่ถูกบล็อกโดยนโยบายองค์กร
วิธีการนี้บางครั้งเรียกว่าเทคนิค "living off the land" แม้ว่าในกรณีนี้ผู้โจมตีไม่ได้แค่ใช้เครื่องมือที่มีอยู่แล้วบนระบบ แต่พวกเขากำลังติดตั้งซอฟต์แวร์บุคคลที่สามที่ได้รับความไว้วางใจเพื่อกลมกลืนไปกับการดำเนินธุรกิจปกติ ทำให้พวกเขามีช่องทางกลับเข้าสู่เครือข่ายที่คงอยู่และมองเห็นได้ยาก แม้หลังจากการบุกรุกครั้งแรกถูกค้นพบและแก้ไขบางส่วนแล้วก็ตาม
การคงอยู่ ไม่ใช่แค่การเข้าถึงครั้งแรก
สิ่งที่ทำให้แนวโน้มนี้น่ากังวลเป็นพิเศษคือมุมมองเรื่องการคงอยู่ กลุ่มแรนซัมแวร์ไม่ได้เคลื่อนจากประนีประนอมครั้งแรกไปสู่การเข้ารหัสในทันทีเสมอไป สมาชิกในเครือ Akira แสดงรูปแบบของการสร้างจุดยึดหลายจุด และเครื่องมือ RMM ให้วิธีที่เชื่อถือได้แก่พวกเขาในการรักษาการเข้าถึงเมื่อเวลาผ่านไป แม้ว่าจุดเข้าใช้งานจุดหนึ่งจะถูกปิดไปแล้วก็ตาม
เรื่องนี้สำคัญเพราะมันเปลี่ยนการคำนวณการตอบสนองต่อเหตุการณ์สำหรับองค์กร การเพียงแค่ลบมัลแวร์ที่รู้จักออกไปนั้นไม่เพียงพอ หากผู้โจมตียังมีเครื่องมือเข้าถึงระยะไกลที่ดูถูกต้องตามกฎหมายวางอยู่บนเซิร์ฟเวอร์หรือเวิร์กสเตชันอย่างเงียบๆ พร้อมที่จะเปิดใช้งานอีกครั้ง ทีมรักษาความปลอดภัยจำเป็นต้องถือว่าการติดตั้งซอฟต์แวร์เข้าถึงระยะไกลที่ไม่คาดคิดหรือไม่ได้รับอนุญาตเป็นสัญญาณเตือนที่ร้ายแรง ไม่ใช่แค่การละเมิดนโยบายเล็กน้อย
ความเชี่ยวชาญทางเทคนิคของกลุ่มในการหลบเลี่ยงการตรวจจับได้รับการบันทึกไว้ก่อนหน้านี้แล้ว ในกรณีหนึ่งที่ครอบคลุมในรายงานของเราเกี่ยวกับ ความพยายามหลบเลี่ยง EDR ของสมาชิก Akira ที่ทำให้การโจมตีของตัวเองล่ม นักวิจัยที่ Huntress พบว่าความพยายามของผู้โจมตีในการปิดการใช้งานการป้องกันปลายทางกลับส่งผลย้อนกลับ โดยไปขัดขวางการโจมตีที่พวกเขาพยายามจะทำโดยไม่ได้ตั้งใจ เหตุการณ์นั้นเป็นเครื่องเตือนใจว่า แม้วิธีการของ Akira จะขั้นสูง แต่ก็ไม่ได้ไร้ที่ติ และผู้ป้องกันที่เฝ้าติดตามอย่างใกล้ชิดสามารถจับผิดพลาดที่ผู้โจมตีทำระหว่างทางได้
ผลกระทบด้านความเป็นส่วนตัวสำหรับบุคคลและธุรกิจ
แม้ว่าแรนซัมแวร์ Akira จะมุ่งเป้าไปที่องค์กรเป็นหลักแทนที่จะเป็นผู้บริโภครายบุคคล แต่ผลกระทบด้านความเป็นส่วนตัวปลายน้ำนั้นมีนัยสำคัญ เมื่อ Akira เข้ารหัสและขโมยข้อมูลจากธุรกิจได้สำเร็จ ข้อมูลนั้นมักจะรวมถึงบันทึกลูกค้า ข้อมูลพนักงาน รายละเอียดทางการเงิน และข้อมูลส่วนบุคคลอื่นๆ ที่เป็นของคนที่ไม่มีบทบาทโดยตรงในการละเมิดครั้งนั้น
กลุ่มแรนซัมแวร์อย่าง Akira จับคู่การเข้ารหัสกับการขโมยข้อมูลมากขึ้นเรื่อยๆ โดยขู่ว่าจะเปิดเผยไฟล์ที่ถูกขโมยหากไม่จ่ายค่าไถ่ นั่นหมายความว่าใครก็ตามที่มีข้อมูลส่วนบุคคลอยู่ในระบบขององค์กรที่ถูกบุกรุก ไม่ว่าจะเป็นลูกค้า ผู้ป่วย หรือพนักงาน ก็อาจจบลงด้วยการที่ข้อมูลส่วนตัวของพวกเขาถูกเปิดเผย ไม่ว่าพฤติกรรมการรักษาความปลอดภัยส่วนบุคคลของพวกเขาจะแข็งแกร่งแค่ไหนก็ตาม
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณทำงานด้านไอทีหรือปฏิบัติการรักษาความปลอดภัย การพัฒนานี้คือการเรียกร้องโดยตรงให้ตรวจสอบว่าเครื่องมือเข้าถึงระยะไกลใดบ้างที่ได้รับอนุญาตบนเครือข่ายของคุณ และเฝ้าติดตามการติดตั้งซอฟต์แวร์ที่ไม่ได้รับอนุญาต เช่น TeamViewer หรือ AnyDesk การปรากฏตัวของเครื่องมือเข้าถึงระยะไกลที่อธิบายไม่ได้บนอุปกรณ์ปลายทางควรกระตุ้นการตรวจสอบในระดับเดียวกับมัลแวร์ที่ไม่รู้จัก
สำหรับผู้ใช้ทั่วไปและผู้บริโภค ข้อสรุปเป็นทางอ้อมมากขึ้นแต่ยังคงสำคัญ เนื่องจากการโจมตีแรนซัมแวร์ Akira สามารถเปิดเผยข้อมูลส่วนบุคคลที่ถือครองโดยธุรกิจที่คุณมีปฏิสัมพันธ์ด้วย จึงควรให้ความสนใจกับการแจ้งเตือนการละเมิดข้อมูลจากบริษัทที่คุณทำธุรกิจด้วย และดำเนินการอย่างรวดเร็วหากข้อมูลของคุณเกี่ยวข้อง
ข้อสรุปที่นำไปปฏิบัติได้
องค์กรควรจำกัดเครื่องมือเข้าถึงระยะไกลที่ได้รับอนุญาตบนเครือข่าย และแจ้งเตือนเมื่อมีเครื่องมืออื่นปรากฏขึ้น การเฝ้าติดตามซอฟต์แวร์ RMM ที่ติดตั้งนอกเหนือจากขั้นตอนการทำงานไอทีที่ได้รับอนุมัติเป็นสิ่งสำคัญ เนื่องจากผู้โจมตีอาศัยเครื่องมือเหล่านี้ในการกลมกลืนไปกับการรับส่งข้อมูลปกติ การยืนยันตัวตนหลายปัจจัย (MFA) บนบัญชีเข้าถึงระยะไกล การตรวจสอบซอฟต์แวร์ที่ติดตั้งเป็นประจำ และการทบทวนการเชื่อมต่อขาออกที่ผิดปกติอย่างใกล้ชิด ล้วนช่วยลดความเสี่ยงที่แรนซัมแวร์ Akira หรือกลุ่มที่คล้ายกันจะสามารถเข้าถึงได้อย่างเงียบๆ สำหรับบุคคล การตื่นตัวต่อการแจ้งเตือนการละเมิดและการใช้รหัสผ่านที่ไม่ซ้ำกันในทุกบัญชียังคงเป็นวิธีที่ง่ายที่สุดวิธีหนึ่งในการจำกัดความเสียหายเมื่อบริษัทที่คุณพึ่งพากลายเป็นเป้าหมาย
