เกิดอะไรขึ้น: ก้าวพลาดเรื่อง Safe Mode ของพันธมิตร Akira

กลุ่มแรนซัมแวร์ทุ่มเทความพยายามอย่างมากเพื่อให้แน่ใจว่ามัลแวร์ของตนทำงานได้อย่างราบรื่น ดังนั้นจึงน่าพอใจอยู่ไม่น้อยที่ได้รู้ว่าพันธมิตรของ Akira รายหนึ่งกลับทำลายการโจมตีของตัวเองด้วยการตัดสินใจผิดพลาดเพียงครั้งเดียว

ตามรายงานเหตุการณ์ดังกล่าว พันธมิตรของแรนซัมแวร์ Akira รายหนึ่งได้รีบูตเครื่องคอมพิวเตอร์ที่ถูกโจมตีของเหยื่อเข้าสู่ Safe Mode ซึ่งเป็นโหมดเริ่มต้นระบบของ Windows แบบตัดทอนที่ปกติสำรองไว้สำหรับการแก้ไขปัญหา เป้าหมายนั้นตรงไปตรงมา: Safe Mode โหลดเฉพาะชุดไดรเวอร์และบริการขั้นต่ำ ซึ่งโดยทั่วไปจะหยุดเครื่องมือตรวจจับและตอบสนองบนเอนด์พอยต์ (EDR) และซอฟต์แวร์แอนตี้ไวรัสไม่ให้เริ่มทำงาน เมื่อระบบป้องกันเหล่านั้นไม่ทำงาน ผู้โจมตีคาดว่าเพย์โหลดเข้ารหัสจะทำงานได้โดยไม่มีอะไรขัดขวาง

แต่กลับกัน การรีบูตดังกล่าวกลับทำให้ตัวเข้ารหัสของผู้โจมตีเองพัง สภาพแวดล้อมแบบจำกัดเดียวกันกับที่ปิดซอฟต์แวร์ความปลอดภัยของเหยื่อ ยังตัดทอนองค์ประกอบที่มัลแวร์จำเป็นต้องใช้ในการทำงานออกไปด้วย การโจมตีชะงัก และความพยายามรีดไถที่พันธมิตรรายนี้วางแผนไว้อย่างดีก็พังครืนก่อนที่กระบวนการเข้ารหัสจะเสร็จสิ้น

นี่เป็นรายละเอียดเล็ก ๆ ที่เกือบจะตลกร้ายในเรื่องที่จริงจังโดยรวม: กลุ่มแรนซัมแวร์ไม่ได้ทำถูกเสมอไป และเครื่องมือของพวกเขาก็เปราะบางได้ไม่ต่างจากสิ่งอื่นใดที่ทำงานอยู่บนเครือข่ายที่ถูกโจมตี

ทำไม Safe Mode จึงทำให้ตัวเข้ารหัสพัง ไม่ใช่แค่ระบบป้องกัน

Safe Mode มีไว้เพื่อช่วยเจ้าหน้าที่ไอทีและผู้ใช้แก้ไขปัญหาเครื่อง Windows ที่ทำงานผิดปกติ โดยการโหลดเฉพาะไดรเวอร์หลักและบริการระบบเท่านั้น นี่คือเหตุผลที่ผู้ดำเนินการแรนซัมแวร์เคยใช้วิธีนี้ในอดีต: เอเจนต์ EDR และผลิตภัณฑ์แอนตี้ไวรัสจำนวนมากถูกตั้งค่าเป็นบริการเริ่มต้นปกติ และ Windows จะไม่โหลดบริการเหล่านี้ในสภาวะที่ถูกจำกัดเช่นนี้ ในทางทฤษฎี นั่นเปิดทางให้ตัวเข้ารหัสล็อกไฟล์โดยไม่มีใครหรืออะไรก็ตามมาขวาง

ข้อเสียคือ Safe Mode ไม่ได้เลือกปิดเฉพาะซอฟต์แวร์ความปลอดภัย แต่มันเป็นสภาพแวดล้อมแบบทั้งหมดหรือไม่มีเลย ซึ่งจำกัดว่าไดรเวอร์ บริการ และองค์ประกอบระบบใดบ้างที่จะใช้งานได้ หากตัวเข้ารหัสต้องพึ่งพาสิ่งใดก็ตามที่อยู่นอกเหนือขอบเขตขั้นต่ำนั้น ไม่ว่าจะเป็นไดรเวอร์เฉพาะ บริการเบื้องหลัง หรือส่วนประกอบที่ผู้เขียนมัลแวร์ไม่ได้คิดเผื่อไว้ เพย์โหลดก็อาจล้มเหลวได้ง่ายพอ ๆ กับผลิตภัณฑ์แอนตี้ไวรัสที่มันพยายามหลบเลี่ยง

ในกรณีนี้ เครื่องมือของพันธมิตร Akira ดูเหมือนไม่ได้ถูกสร้างมาให้ทำงานได้ในสภาวะที่ถูกตัดทอนเช่นนั้น ตัวเข้ารหัสต้องการบางสิ่งที่ Safe Mode ไม่ได้จัดหาให้ และการโจมตีก็พังลงด้วยน้ำมือของตัวเอง นี่เป็นเครื่องเตือนใจว่าเครื่องมือโจมตีก็ยังเป็นซอฟต์แวร์ สร้างโดยมนุษย์ซึ่งมีสมมติฐานเกี่ยวกับสภาพแวดล้อมที่มันจะทำงาน เมื่อสมมติฐานเหล่านั้นไม่เป็นจริง แม้แต่ปฏิบัติการแรนซัมแวร์ที่มีทรัพยากรพร้อมก็สามารถสะดุดแผนของตัวเองได้

ผู้โจมตีมักปิดการทำงานเครื่องมือความปลอดภัยก่อนเข้ารหัสอย่างไร

การรีบูตเข้าสู่ Safe Mode เป็นเพียงหนึ่งในหลายเทคนิคที่พันธมิตรของแรนซัมแวร์ใช้เพื่อเปิดทางก่อนปล่อยตัวเข้ารหัส วิธีอื่น ๆ ได้แก่ การใช้ข้อมูลประจำตัวผู้ดูแลระบบที่ถูกขโมยหรือถูกบุกรุกเพื่อถอนการติดตั้งหรือปิดเอเจนต์ EDR ด้วยตนเอง การใช้เครื่องมือที่ออกแบบมาเพื่อฆ่ากระบวนการความปลอดภัยโดยเฉพาะ การใช้ประโยชน์จากไดรเวอร์ที่มีช่องโหว่เพื่อหยุดบริการที่ได้รับการป้องกัน และการแก้ไขคีย์รีจิสทรีหรือการตั้งค่านโยบายกลุ่มที่ผูกกับโครงสร้างแอนตี้ไวรัส

จุดร่วมของวิธีการทั้งหมดนี้คือ ผู้โจมตีต้องการช่วงเวลาหนึ่ง แม้จะสั้นเพียงใดก็ตาม ที่เครื่องมือความปลอดภัยไม่ได้เฝ้าดูอยู่ นั่นเป็นส่วนหนึ่งของเหตุผลที่ปฏิบัติการแรนซัมแวร์ใช้เวลาอย่างมากกับขั้นตอนการเข้าถึงและการสำรวจ ก่อนที่จะแตะต้องตัวเข้ารหัสเลย รูปแบบที่กว้างขึ้นของการกำหนดเป้าหมายเหยื่อของ Akira แสดงให้เห็นว่ากลุ่มนี้ปฏิบัติการครอบคลุมอุตสาหกรรมและขนาดบริษัทที่หลากหลาย ซึ่งบ่งบอกว่าเป็นแผนปฏิบัติการที่ทำซ้ำได้ค่อนข้างดี มากกว่าจะเป็นการด้นสดครั้งเดียว ความสม่ำเสมอนั้นคือสิ่งที่ทำให้ก้าวพลาดอย่างกรณี Safe Mode ล้มเหลวเป็นที่สังเกตได้: มันเป็นรอยร้าวที่พบได้ยากในกระบวนการที่ผ่านการใช้งานมาอย่างโชกโชน

บทเรียนการป้องกันเชิงลึกสำหรับองค์กรที่เผชิญการโจมตีแบบ Akira

ข้อสรุปที่ชัดเจนไม่ใช่ว่าองค์กรควรหวังให้ผู้โจมตีทุกรายทำผิดพลาดแบบนี้ แต่อยู่ที่การป้องกันเป็นชั้น ๆ ไม่ใช่เครื่องมือเพียงตัวเดียว ซึ่งทำให้การโจมตีสำเร็จได้ยากขึ้น หากเครือข่ายพึ่งพาผลิตภัณฑ์แอนตี้ไวรัสเพียงตัวเดียวเป็นแนวป้องกันเพียงเส้นเดียว การรีบูตเข้าสู่ Safe Mode หรือการปิดระบบด้วยข้อมูลประจำตัวก็สามารถทำให้มันหมดฤทธิ์ได้ในครั้งเดียว แต่องค์กรที่ใช้ EDR พร้อมการป้องกันการแก้ไข จำกัดสิทธิ์ผู้ดูแลระบบเฉพาะที่ แบ่งส่วนเครือข่าย และเฝ้าติดตามค่าการบูต จะทำให้ผู้โจมตีมีโอกาสล้มเหลวหรือถูกจับได้มากขึ้นอย่างมากก่อนที่การเข้ารหัสจะเริ่มขึ้น

เหตุการณ์นี้ยังตอกย้ำว่าทำไมแนวโน้มของแรนซัมแวร์จึงควรค่าแก่การติดตามอย่างต่อเนื่อง แทนที่จะตอบสนองต่อข่าวรายหัวข้อเท่านั้น สรุปภาพรวมแรนซัมแวร์ไตรมาส 2 ปี 2026 ที่ครอบคลุม Qilin, Akira และ LockBit5 ให้บริบทที่มีประโยชน์ว่าแก๊งเหล่านี้กำลังพัฒนากลยุทธ์ของตนในแต่ละไตรมาสอย่างไร ซึ่งช่วยให้ทีมความปลอดภัยคาดการณ์ได้แทนที่จะเพียงแค่ตอบสนอง

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณดูแลระบบไอทีให้ธุรกิจขนาดเล็กหรือขนาดกลาง เรื่องนี้เป็นตัวกระตุ้นที่ดีให้ตรวจสอบพื้นฐานบางประการ: EDR หรือแอนตี้ไวรัสของคุณเปิดการป้องกันการแก้ไขไว้หรือไม่ เพื่อไม่ให้ถูกปิดได้ง่าย ๆ จากการรีบูตหรือการแก้ไขรีจิสทรี? สิทธิ์ผู้ดูแลระบบภายในเครื่องถูกจำกัดอย่างเข้มงวดหรือไม่ เพื่อให้ผู้โจมตีที่มีบัญชีถูกบุกรุกเพียงบัญชีเดียวไม่สามารถกำหนดค่าบริการเริ่มต้นใหม่ได้? มีใครเฝ้าติดตามการรีบูตที่ผิดปกติหรือกิจกรรม Safe Mode บนระบบที่ใช้งานจริงหรือไม่ เพราะเพียงเท่านั้นก็อาจเป็นสัญญาณอันตรายที่ควรค่าแก่การตรวจสอบแล้ว?

สิ่งเหล่านี้ไม่จำเป็นต้องใช้เครื่องมือที่แปลกใหม่ แต่ต้องอาศัยความสม่ำเสมอ และความเต็มใจที่จะปฏิบัติต่อความปลอดภัยเป็นชั้น ๆ มากกว่าจะเป็นแค่การติ๊กถูกเพียงช่องเดียว

ข้อปฏิบัติที่นำไปปรับใช้ได้

  • เปิดการป้องกันการแก้ไขบนเครื่องมือ EDR และแอนตี้ไวรัส เพื่อไม่ให้ถูกปิดได้ผ่านการรีบูตเข้าสู่ Safe Mode หรือการแก้ไขรีจิสทรี
  • จำกัดสิทธิ์ผู้ดูแลระบบภายในเครื่องเพื่อลดความง่ายที่ผู้โจมตีจะปรับแต่งบริการระบบใหม่
  • เฝ้าติดตามการบูตเข้าสู่ Safe Mode หรือเหตุการณ์ปิดบริการที่ไม่คาดคิด ให้เป็นสัญญาณเตือนล่วงหน้าของการบุกรุกที่กำลังเกิดขึ้น
  • เก็บข้อมูลสำรองแบบออฟไลน์ที่ผ่านการทดสอบแล้ว เพื่อที่ความพยายามเข้ารหัสที่ล้มเหลวหรือทำเพียงบางส่วนจะได้ไม่ทำให้คุณต้องดิ้นรนกู้คืน

ความล้มเหลวเรื่อง Safe Mode ของแรนซัมแวร์ Akira เป็นเครื่องเตือนใจที่มีประโยชน์ว่าแม้แต่ปฏิบัติการอาชญากรรมที่ซับซ้อนก็อาจถูกทำลายได้ด้วยความซับซ้อนแบบเดียวกับที่พวกมันใช้โจมตี การป้องกันที่แข็งแกร่งและเป็นชั้น ๆ ไม่เพียงหยุดการโจมตี แต่ยังเพิ่มโอกาสที่เมื่อมีสิ่งผิดพลาดเกิดขึ้นกับผู้โจมตี มันจะผิดพลาดในทางที่เป็นประโยชน์ต่อคุณ