การโจมตีด้วยแรนซัมแวร์ที่ทำลายตัวเอง

การโจมตีด้วยแรนซัมแวร์มักถูกเล่าในแง่ของสิ่งที่เกิดขึ้นกับเหยื่อ ไม่ว่าจะเป็นไฟล์ที่ถูกเข้ารหัส ระบบที่ถูกล็อก หรือข้อความเรียกค่าไถ่ เหตุการณ์ที่เพิ่งมีรายงานเกี่ยวกับกลุ่มแรนซัมแวร์ Akira กลับพลิกบทนั้น ตามรายงาน Akira พยายามใช้กลเม็ดหลบเลี่ยงอันชาญฉลาด ด้วยการรีบูตระบบเป้าหมายเข้าสู่เซฟโหมดเพื่อเลี่ยงเครื่องมือตรวจจับและตอบสนองปลายทาง (EDR) แต่กลเม็ดกลับสวนจนสร้างความเสียหายถึงขั้นทำให้ตัวเข้ารหัสของมันเองพัง จากนั้น Microsoft Defender ก็ตรวจพบและกักกันเพย์โหลดไว้ ทำให้ผู้โจมตีไม่ได้อะไรจากการบุกรุกครั้งนี้เลย

มันเป็นผลลัพธ์ที่หาได้ยากและแทบจะไม่น่าตื่นเต้นในภูมิทัศน์ภัยคุกคามที่แก๊งแรนซัมแวร์มักเป็นฝ่ายสร้างความเสียหาย แต่เหตุการณ์นี้เป็นมากกว่าเรื่องน่าสนใจ มันเปิดมุมมองที่มีประโยชน์ว่าเหล่าผู้โจมตีพยายามปิดการทำงานของระบบป้องกันความปลอดภัยอย่างไร และเกิดอะไรขึ้นเมื่อความพยายามเหล่านั้นพลาดเป้า

กลเม็ดเซฟโหมดทำงานอย่างไร และทำไมมันถึงล้มเหลว

การบูตเครื่องที่ถูกบุกรุกเข้าสู่เซฟโหมดเป็นเทคนิคที่ผู้ปฏิบัติการแรนซัมแวร์รู้จักกันดี เซฟโหมดจะลดทอนระบบ Windows ให้เหลือเฉพาะไดรเวอร์และบริการที่จำเป็น ซึ่งยังทำให้เครื่องมือ EDR และโปรแกรมป้องกันไวรัสของบุคคลที่สามหลายตัวที่ต้องพึ่งพากระบวนการบูตปกติในการโหลดไม่ทำงานไปด้วย สำหรับผู้โจมตี นี่เป็นการสร้างหน้าต่างที่ซอฟต์แวร์ความปลอดภัยไม่คอยจับตามอง ทำให้ง่ายต่อการติดตั้งตัวเข้ารหัสโดยไม่ถูกตรวจพบ

ในกรณีนี้ สภาพแวดล้อมที่ถูกลดทอนแบบเดียวกันนี้ดูเหมือนจะเข้าไปขัดขวางความสามารถของตัวเข้ารหัสเองในการทำงานอย่างถูกต้อง เพย์โหลดแรนซัมแวร์มักพึ่งพาคอมโพเนนต์ ไลบรารี หรือบริการเฉพาะของระบบเพื่อรันขั้นตอนการเข้ารหัสอย่างราบรื่น เมื่อสิ่งที่พึ่งพาเหล่านั้นไม่พร้อมใช้งานเพราะเซฟโหมดปิดการทำงานไว้ มัลแวร์ก็อาจเกิดข้อขัดข้องหรือล้มเหลวโดยสิ้นเชิง นั่นคือสิ่งที่เกิดขึ้นในกรณีนี้โดยแท้จริง กลเม็ดที่ออกแบบมาเพื่อทำให้ผู้ป้องกันตาบอด กลับทำให้การโจมตีเองตาบอดไปด้วย

ที่แย่ยิ่งกว่านั้น Microsoft Defender ยังคงตรวจพบและกักกันเพย์โหลดได้ในภายหลัง ซึ่งบ่งชี้ว่าความพยายามหลบเลี่ยงครั้งนี้ไม่ได้บรรลุเป้าหมายหลักด้วยซ้ำ นั่นคือการซ่อนตัวจากระบบป้องกันในตัวของ Microsoft

ทำไมผู้โจมตียังคงได้เปรียบ แม้เหตุการณ์นี้จะพลาด

การอ่านเหตุการณ์นี้เป็นหลักฐานว่าแนวป้องกันแรนซัมแวร์กำลังชนะในภาพรวมถือเป็นความผิดพลาด กลุ่มอย่าง Akira ยังคงเคลื่อนไหวและไม่ยอมแพ้ ความล้มเหลวแบบนี้เป็นข้อยกเว้น ไม่ใช่กฎ ผู้ปฏิบัติการแรนซัมแวร์ปรับปรุงเครื่องมือของตนอยู่ตลอด ทดสอบเทคนิคหลบเลี่ยงใหม่ๆ และเรียนรู้จากความผิดพลาดแบบนี้ การโจมตีที่ล้มเหลวในวันนี้ไม่ได้หมายความว่าเทคนิคเดียวกันจะไม่ถูกแก้ไขและนำกลับมาใช้ใหม่ได้สำเร็จในวันพรุ่งนี้

สิ่งที่เหตุการณ์นี้ชี้ให้เห็นคือความสำคัญของการป้องกันหลายชั้นและการตรวจจับที่รวดเร็ว แม้ผู้โจมตีจะสามารถขัดขวางหรือปิดการทำงานของชั้นป้องกันชั้นใดชั้นหนึ่งได้ การมีเครื่องมืออื่น เช่น ความสามารถในการตรวจจับหลังเกิดเหตุของ Defender ก็ยังสามารถจับกิจกรรมที่เป็นอันตรายก่อนที่จะสร้างความเสียหายถาวร นี่คือเหตุผลที่การแบ่งปันข่าวกรองภัยคุกคามมีความสำคัญอย่างมากในทุกอุตสาหกรรม ความพยายามอย่างเช่น การผลักดันของ FBI ให้องค์กรด้านสุขภาพแบ่งปันข้อมูลภัยคุกคามแรนซัมแวร์ สะท้อนให้เห็นถึงการยอมรับที่เพิ่มขึ้นว่าการมองเห็นพฤติกรรมของผู้โจมตี รวมถึงความล้มเหลวของพวกเขา ช่วยให้ผู้ป้องกันคาดการณ์ขั้นตอนถัดไปได้ แทนที่จะเพียงแค่ตอบโต้เท่านั้น

สิ่งนี้หมายความต่อคุณอย่างไร

สำหรับผู้ใช้ทั่วไปและเจ้าของธุรกิจขนาดเล็ก เรื่องนี้เป็นเครื่องเตือนใจว่าแรนซัมแวร์ไม่ใช่พลังที่หยุดยั้งไม่ได้ แต่ก็ไม่ได้จะหายไปไหน ความล้มเหลวทางเทคนิคเฉพาะในกรณีนี้ กลเม็ดหลบเลี่ยงที่ทำให้มัลแวร์ทำงานผิดพลาด เป็นเรื่องของโชคช่วยของเหยื่อเป็นหลัก มากกว่าจะเป็นผลจากแนวป้องกันที่เหนือกว่าในฝั่งพวกเขา คุณไม่ควรพึ่งพาให้ผู้โจมตีทำพลาดเพื่อปกป้องข้อมูลของคุณ

สิ่งที่คุณควบคุมได้คือการลดโอกาสที่จะตกเป็นเป้าหมายตั้งแต่แรก นั่นหมายถึงการอัปเดตระบบอยู่เสมอ ตรวจสอบให้แน่ใจว่าเครื่องมือ EDR หรือโปรแกรมป้องกันไวรัสได้รับการตั้งค่าอย่างถูกต้องและมีการเฝ้าระวัง และรักษาการสำรองข้อมูลแบบออฟไลน์หรือแบบที่เปลี่ยนแปลงไม่ได้ (immutable) เพื่อที่แม้การเข้ารหัสจะสำเร็จก็ไม่หมายถึงการสูญเสียข้อมูลถาวร องค์กรควรมีแผนรับมือเหตุการณ์ที่ครอบคลุมถึงพฤติกรรมที่ผิดปกติของระบบ เช่น การรีบูตเข้าสู่เซฟโหมดโดยไม่คาดคิด เนื่องจากสิ่งเหล่านี้อาจเป็นสัญญาณเตือนล่วงหน้าของการบุกรุกที่กำลังเกิดขึ้น ไม่ใช่แค่การบำรุงรักษาตามปกติ

ข้อคิดสำคัญ

กลุ่มแรนซัมแวร์อย่าง Akira ยังคงพัฒนาแนวทางใหม่ๆ ในการปิดการทำงานเครื่องมือความปลอดภัยก่อนส่งเพย์โหลด และการบูตเข้าสู่เซฟโหมดก็เป็นหนึ่งในเทคนิคเหล่านั้น ในกรณีนี้ กลเม็ดกลับสวน ทำให้ตัวเข้ารหัสพัง และเปิดโอกาสให้ Defender จับเพย์โหลดได้ในภายหลัง แต่ผลลัพธ์นั้นเป็นเรื่องของสถานการณ์ ไม่ใช่สิ่งที่การันตีได้ บทเรียนที่แท้จริงสำหรับบุคคลและองค์กรคือการรักษาความปลอดภัยให้เครื่องมือป้องกันอัปเดตอยู่เสมอ รักษาแนวปฏิบัติการสำรองข้อมูลที่แข็งแกร่ง และเฝ้าระวังพฤติกรรมที่ผิดปกติของระบบ การป้องกันแรนซัมแวร์ไม่ใช่การหวังให้ผู้โจมตีล้มเหลว แต่เป็นการสร้างความยืดหยุ่นเพื่อที่ว่าไม่ว่าพวกเขาจะล้มเหลวหรือไม่ ความเสียหายก็ยังคงถูกจำกัดอยู่