Anubis Ransomware คืออะไร และโมเดล Affiliate ทำงานอย่างไร

Anubis คือปฏิบัติการแรนซัมแวร์แบบบริการ (RaaS) ที่เริ่มดำเนินการตั้งแต่เดือนธันวาคม 2024 โดยปรากฏตัวครั้งแรกภายใต้ชื่อทดสอบ "Sphinx" ก่อนจะเปลี่ยนชื่อเป็นชื่อปัจจุบัน เช่นเดียวกับกลุ่ม RaaS อื่นๆ Anubis ไม่ได้พึ่งพาทีมแฮกเกอร์เพียงทีมเดียวในการเจาะระบบเป้าหมายทุกราย แต่ผู้พัฒนาจะสร้างและดูแลมัลแวร์ จากนั้นคัดเลือกพันธมิตร (affiliate) ผ่านฟอรั่มอาชญากรรมไซเบอร์ภาษารัสเซียเพื่อลงมือโจมตีจริง

สิ่งที่ทำให้ Anubis แตกต่างคือความยืดหยุ่นของโมเดลธุรกิจ กลุ่มนี้เสนอการแบ่งส่วนรายได้ที่เจรจาต่อรองได้แก่พันธมิตร และที่สำคัญคือดำเนินการสร้างรายได้หลายช่องทางนอกเหนือจากแผนการเรียกค่าไถ่ด้วยการเข้ารหัสมาตรฐาน หนึ่งในช่องทางนี้ทุ่มเทให้กับการข่มขู่ด้วยข้อมูล (data extortion) โดยเฉพาะ ซึ่งทำให้พันธมิตรสามารถทำกำไรจากข้อมูลที่ขโมยมาได้ แม้ในกรณีที่การเข้ารหัสไม่ใช่เป้าหมายหลัก โครงสร้างเช่นนี้ช่วยลดอุปสรรคในการเข้าสู่วงการของอาชญากร และเพิ่มความหลากหลายของวิธีที่เหยื่อจะถูกบีบบังคับให้จ่ายเงิน

เหตุใดการข่มขู่ด้วยข้อมูลจึงมาแทนที่การโจมตีด้วยการเข้ารหัสแบบเดิม

หลายปีที่ผ่านมา แรนซัมแวร์หมายถึงสิ่งเดียวคือ ไฟล์ถูกล็อก และเหยื่อจ่ายเงินเพื่อแลกกับคีย์ถอดรหัส โมเดลนั้นกำลังเลือนหายไป Anubis สะท้อนถึงการเปลี่ยนแปลงขนานใหญ่ในเศรษฐกิจของแรนซัมแวร์ ไปสู่การขโมยข้อมูลก่อนแล้วขู่ว่าจะเผยแพร่ มักทำควบคู่ไปกับหรือแทนที่การเข้ารหัสไฟล์โดยตรง

เรื่องนี้สำคัญเพราะการเข้ารหัสเพียงอย่างเดียวมีจุดอ่อนในตัวสำหรับผู้โจมตี กล่าวคือ เหยื่อที่มีข้อมูลสำรองที่แข็งแกร่งสามารถกู้คืนระบบและปฏิเสธที่จะจ่ายเงินได้ การขโมยข้อมูลทำลายทางหนีนั้น แม้ว่าบริษัทจะกู้ไฟล์จากข้อมูลสำรองได้ ภัยคุกคามที่ข้อมูลลูกค้าที่อ่อนไหว ข้อมูลทางการเงิน หรือการสื่อสารภายในจะถูกเผยแพร่หรือขาย ก็ยังคงแขวนอยู่เหนือพวกเขา โปรแกรมข่มขู่ด้วยข้อมูลที่จัดทำขึ้นโดยเฉพาะของ Anubis ทำให้อำนาจต่อรองนี้เป็นทางการขึ้น ทำให้พันธมิตรสามารถทำกำไรได้ไม่ว่าตัวแรนซัมแวร์จะถูกนำไปใช้หรือไม่ก็ตาม

แนวโน้มนี้สะท้อนสิ่งที่เกิดขึ้นในเหตุการณ์อื่นๆ ที่ผ่านมา ซึ่งข้อมูลที่ถูกขโมยได้กลายเป็นผลิตภัณฑ์เสียเอง ดังที่พบเมื่อผู้ไม่ประสงค์ดีอย่าง ShinyHunters ถูกพบว่า อ้างว่าขายข้อมูลผู้ใช้ที่ขโมยมา อย่างตรงไปตรงมา มากกว่าจะพึ่งพาการเจรจาค่าไถ่เลยด้วยซ้ำ ไม่ว่าจะผ่านเว็บไซต์รั่วไหลข้อมูลของกลุ่มแรนซัมแวร์ หรือการขายโดยตรงบนตลาดมืดสำหรับอาชญากร หัวใจสำคัญก็เหมือนกันคือ ข้อมูลของคุณเป็นทรัพย์สิน ไม่ใช่แค่เครื่องต่อรอง

กลุ่มแรนซัมแวร์เข้าถึงเครือข่ายครั้งแรกได้อย่างไร

ปฏิบัติการแรนซัมแวร์ที่ขับเคลื่อนโดยพันธมิตรอย่าง Anubis ไม่จำเป็นต้องพัฒนาเทคนิคการบุกรุกที่ซับซ้อนขึ้นมาจากศูนย์ แต่พวกเขาใช้ประโยชน์จากช่องโหว่ที่ทราบแล้วและยังไม่ได้รับการแก้ไขในซอฟต์แวร์ที่องค์กรใช้เชื่อมต่อระยะไกลสู่เครือข่ายอยู่แล้ว เครื่องมือการเข้าถึงระยะไกล รวมถึง VPN gateway และ secure access appliance ยังคงเป็นจุดเริ่มต้นที่น่าสนใจที่สุด เพราะอุปกรณ์หรือข้อมูลประจำตัวที่ถูกบุกรุกเพียงจุดเดียวสามารถเปิดประตูสู่เครือข่ายองค์กรทั้งหมดได้

นี่ไม่ใช่ข้อกังวลในเชิงทฤษฎี การแสวงหาประโยชน์จากผลิตภัณฑ์การเข้าถึงระยะไกลที่ใช้กันอย่างแพร่หลายมีการบันทึกไว้แล้วเมื่อเร็วๆ นี้ รวมถึง ช่องโหว่ข้ามการยืนยันตัวตนใน GlobalProtect VPN ของ Palo Alto Networks และ ช่องโหว่ zero-day ในอุปกรณ์ secure access SMA1000 ของ SonicWall ระบบที่เผชิญหน้ากับอินเทอร์เน็ตและไม่ได้รับการแก้ไขเหล่านี้ เป็นช่องทางที่ใช้ความพยายามน้อยแต่ให้ผลตอบแทนสูง ซึ่งพันธมิตร RaaS มองหาเมื่อเลือกเป้าหมาย ไม่ว่าพวกเขาจะใช้ Anubis หรือแรนซัมแวร์ตระกูลไหนก็ตาม

ขั้นตอนที่เป็นประโยชน์สำหรับ SME และบุคคลทั่วไปเพื่อลดความเสี่ยง

ธุรกิจขนาดเล็กและขนาดกลางมักเป็นกลุ่มที่เสี่ยงต่อกลุ่มอย่าง Anubis มากที่สุด เพราะมักขาดทีมความปลอดภัยโดยเฉพาะ แต่ยังต้องพึ่งพาโครงสร้างพื้นฐานการเข้าถึงระยะไกลอยู่ทุกวัน ลองทำบางขั้นตอนที่จับต้องได้เหล่านี้ ซึ่งสร้างความแตกต่างได้อย่างมีความหมาย:

  • ติดตั้งแพตช์ความปลอดภัยให้กับ VPN, ไฟร์วอลล์ และอุปกรณ์การเข้าถึงระยะไกลโดยเร็วที่สุดเมื่อปล่อยออกมา การแพตช์ที่ล่าช้าบนระบบที่เผชิญหน้ากับอินเทอร์เน็ตเป็นหนึ่งในวิธีที่พบบ่อยที่สุดที่พันธมิตรแรนซัมแวร์ใช้ยึดพื้นที่ครั้งแรก
  • บังคับใช้การยืนยันตัวตนหลายปัจจัยกับบัญชีการเข้าถึงระยะไกลทั้งหมด ไม่ใช่เฉพาะผู้ดูแลระบบ
  • ดูแลรักษาข้อมูลสำรองแบบออฟไลน์หรือแบบแก้ไขไม่ได้ และทดสอบการกู้คืนอย่างสม่ำเสมอ สิ่งนี้ทำให้ด้านการเข้ารหัสของการโจมตีแบบขู่สองทางหมดความคม แม้ว่าจะไม่หยุดยั้งการขโมยข้อมูลก็ตาม
  • แบ่งเครือข่ายเป็นส่วนๆ เพื่อให้อุปกรณ์หรือบัญชีเดียวที่ถูกบุกรุกไม่เปิดทางไปสู่องค์กรทั้งหมด
  • เฝ้าติดตามการถ่ายโอนข้อมูลขาออกที่ผิดปกติ ซึ่งอาจเป็นสัญญาณเตือนล่วงหน้าของการดูดข้อมูลออกก่อนที่ข้อเรียกร้องค่าไถ่จะมาถึง

สิ่งนี้มีความหมายอย่างไรสำหรับคุณ

ไม่ว่าคุณจะดำเนินธุรกิจขนาดเล็กหรือเพียงจัดการเครือข่ายภายในบ้านของคุณเอง กรณีของ Anubis เป็นเครื่องเตือนใจว่าการป้องกันแรนซัมแวร์ไม่สามารถมุ่งเน้นเพียงแค่ข้อมูลสำรองและการกู้คืนได้อีกต่อไป การข่มขู่ด้วยข้อมูลหมายความว่าผู้โจมตีทำกำไรได้เพียงแค่มีข้อมูลของคุณ โดยไม่สำคัญว่าพวกเขาจะเข้ารหัสไฟล์สักไฟล์เดียวหรือไม่ นั่นทำให้เดิมพันสูงขึ้นในการป้องกันการเข้าถึงครั้งแรกตั้งแต่แรก โดยเฉพาะอย่างยิ่งผ่านเครื่องมือการเข้าถึงระยะไกลที่มักถูกพุ่งเป้าเพราะมันเปิดสู่อินเทอร์เน็ต และบ่อยครั้งเกินไปที่ไม่ได้รับการแก้ไขแพตช์

ประเด็นสำคัญ

โมเดลพันธมิตรที่ยืดหยุ่นและช่องทางข่มขู่ด้วยข้อมูลโดยเฉพาะของ Anubis แสดงให้เห็นว่ากลุ่มแรนซัมแวร์แบบบริการยังคงพัฒนากลยุทธ์การสร้างรายได้อย่างไร สำหรับทั้งบุคคลและองค์กร การตอบสนองในทางปฏิบัติเหมือนกันคือ ติดตั้งแพตช์ซอฟต์แวร์การเข้าถึงระยะไกลทันที ใช้การยืนยันตัวตนที่รัดกุม และสันนิษฐานว่าข้อมูลใดๆ บนเครือข่ายของคุณอาจกลายเป็นเครื่องต่อรองหากผู้โจมตีเข้ามาถึงได้ การติดตามช่องโหว่ที่ส่งผลต่อ VPN และอุปกรณ์การเข้าถึงระยะไกลให้ทันสมัยไม่ใช่การบำรุงรักษาที่เลือกได้อีกต่อไป แต่มันคือการป้องกันแนวหน้า ต่อต้านการบุกรุกที่กลุ่มอย่าง Anubis ต้องพึ่งพา