เพย์โหลดของ Beast ransomware ที่ได้รับการวิเคราะห์ใหม่ให้สิ่งที่ผิดปกติแก่ผู้ดำเนินการ: คอนโซลกราฟิกแบบอินเทอร์แอกทีฟและความสามารถในการแทนที่การตั้งค่าที่ฝังอยู่ในมัลแวร์ นอกจากนี้ยังปิดใช้งานบริการสำรองข้อมูล ลบสำเนาเงา และเข้ารหัสไดรฟ์เครือข่าย หากคุณต้องการเข้าใจว่า Beast ransomware ทำงานอย่างไรในทางปฏิบัติ เวอร์ชันสั้นคือมันจะลบตาข่ายนิรภัยของคุณก่อนแล้วจึงล็อกไฟล์
โพสต์นี้อธิบายสิ่งที่ได้รับการรายงาน ความหมายสำหรับบุคคลและธุรกิจขนาดเล็ก และการป้องกันใดที่สำคัญที่สุด VPN มีประโยชน์สำหรับความเป็นส่วนตัว แต่ไม่สามารถหยุดการโจมตีประเภทนี้ได้ด้วยตัวเอง
Beast ransomware โจมตีการสำรองข้อมูลและไดรฟ์ที่แชร์อย่างไร
รายงานอธิบายถึงเพย์โหลดที่มุ่งเป้าไปที่ตัวเลือกการกู้คืนก่อนที่จะเข้ารหัสอะไรก็ตาม มันปิดใช้งานบริการสำรองข้อมูลและลบสำเนาเงา ซึ่งเป็นสแนปช็อตในตัวของ Windows ที่หลายคนพึ่งพาในการย้อนกลับไฟล์ จากนั้นจึงเข้ารหัสไดรฟ์เครือข่าย ดังนั้นโฟลเดอร์ที่แชร์และเซิร์ฟเวอร์ไฟล์จึงถูกโจมตีพร้อมกับเครื่องท้องถิ่น
โปรไฟล์ภัยคุกคามสาธารณะอธิบาย Beast ว่าเป็นผลิตภัณฑ์ ransomware-as-a-service (RaaS) โดยมีคุณสมบัติเช่นการสแกน SMB การเข้ารหัสไฟล์ และการเริ่มหรือหยุดบริการและโปรเซส SMB เป็นโปรโตคอลที่ใช้สำหรับการแชร์ไฟล์ Windows ซึ่งอธิบายว่าทำไมไดรฟ์เครือข่ายจึงเป็นเป้าหมายที่เป็นธรรมชาติ โปรไฟล์เหล่านี้ยังกล่าวว่า Beast พัฒนามาจากสายพันธุ์ที่ใช้ Delphi ก่อนหน้าที่ชื่อ Monster
ลำดับมีความสำคัญ หากสแนปช็อตและบริการสำรองข้อมูลหายไปเมื่อถึงเวลาเข้ารหัสไฟล์ เส้นทางการกู้คืนที่ง่ายที่สุดก็ถูกปิด นั่นคือเหตุผลที่การสำรองข้อมูลที่คุณพึ่งพาต้องอยู่ในที่ที่มัลแวร์ไม่สามารถเข้าถึงได้
คอนโซลพันธมิตรและการตั้งค่าที่กำหนดค่าได้เปลี่ยนอะไร
ในรูปแบบ RaaS นักพัฒนาจะจัดหามัลแวร์และพันธมิตรดำเนินการบุกรุก เพย์โหลด Beast ที่ได้รับการวิเคราะห์ให้คอนโซลกราฟิกแบบอินเทอร์แอกทีฟแก่พันธมิตรเหล่านั้นและอนุญาตให้แทนที่การตั้งค่าที่ฝังอยู่ การวิเคราะห์ Beast อื่นๆ อธิบายถึงอินเทอร์เฟซในตัวที่ให้พันธมิตรค้นพบทรัพยากร เลือกเป้าหมาย และเริ่ม หยุดชั่วคราว หรือหยุดการเข้ารหัสขณะตรวจสอบความคืบหน้า
สิ่งนั้นเปลี่ยนอะไรในทางปฏิบัติ?
- ลดอุปสรรคด้านทักษะ อินเทอร์เฟซแบบคลิกเดียวทำให้เครื่องมือใช้งานง่ายขึ้นสำหรับพันธมิตรที่มีทักษะทางเทคนิคน้อยลง
- ควบคุมการโจมตีได้มากขึ้น การแทนที่การตั้งค่าที่ฝังอยู่หมายความว่าพันธมิตรสามารถปรับเพย์โหลดเดียวให้เข้ากับสภาพแวดล้อมเฉพาะแทนที่จะพึ่งพาพฤติกรรมคงที่
- พฤติกรรมคาดเดาได้น้อยลง เนื่องจากการตั้งค่าสามารถเปลี่ยนได้จากการบุกรุกครั้งหนึ่งไปยังอีกครั้งหนึ่ง ผู้ป้องกันจึงไม่สามารถพึ่งพารูปแบบคงที่เดียวในการตรวจจับได้
รายละเอียดเพิ่มเติมจากโปรไฟล์สาธารณะ: มีรายงานว่าพันธมิตรได้รับการสรรหาผ่านฟอรัม RAMP ก่อนที่จะถูกยึดโดย FBI ในเดือนมกราคม 2026 การปราบปรามเช่นนั้นสามารถขัดขวางการสรรหา แต่ไม่ได้ลบเครื่องมือที่พันธมิตรมีอยู่แล้ว
สัญญาณเตือนที่ปรากฏก่อนการเข้ารหัสเริ่มต้น
บทความต้นฉบับมุ่งเน้นที่เพย์โหลดเอง ดังนั้นสัญญาณต่อไปนี้จึงอนุมานจากพฤติกรรมที่อธิบายไว้ สิ่งเหล่านี้เป็นสิ่งที่ควรจับตามอง ไม่ใช่รายการตรวจสอบที่สมบูรณ์
- บริการสำรองข้อมูลหรือสแนปช็อตหยุดทำงานโดยไม่คาดคิด หากซอฟต์แวร์สำรองข้อมูลรายงานความล้มเหลวหรือบริการถูกปิดใช้งานโดยไม่มีใครเปลี่ยนแปลง ให้ถือว่าเร่งด่วน
- สำเนาเงาหายไป สแนปช็อตที่หายไปเป็นสัญญาณแรงว่ามีบางสิ่งกำลังเตรียมการเข้ารหัส
- การสแกนไฟล์แชร์ที่ผิดปกติ เนื่องจาก Beast ถูกอธิบายว่าสแกนผ่าน SMB กิจกรรมเครือข่ายที่แปลกประหลาดระหว่างเครื่องอาจเป็นเบาะแส early
- เซสชันหรือเครื่องมือระยะไกลที่ไม่คุ้นเคย การควบคุม ransomware แบบอินเทอร์แอกทีฟบ่งบอกว่ามีคนกำลังดำเนินการ ซึ่งมักเกิดขึ้นหลังจากได้รับการเข้าถึงระยะไกล
หน้าต่างระหว่างสัญญาณเหล่านี้กับการเข้ารหัสอาจสั้น การตรวจจับอัตโนมัติช่วยได้เพราะตอบสนองได้เร็วกว่าคน การตอบสนองของ Microsoft Defender ในการบุกรุก QNET ซึ่งหยุดได้ใน 128 วินาที แสดงให้เห็นว่าการกักกันอย่างรวดเร็วสามารถป้องกันความเสียหายได้มากเพียงใด
การป้องกันในทางปฏิบัติสำหรับบุคคลและธุรกิจขนาดเล็ก
ไม่มีสิ่งใดต้องใช้งบประมาณระดับองค์กร ลำดับความสำคัญเหมือนกันไม่ว่าคุณจะทำงานที่บ้านหรือบริษัทสิบคน
- เก็บการสำรองข้อมูลแบบออฟไลน์หรือไม่เปลี่ยนแปลงได้ การสำรองข้อมูลที่ตัดการเชื่อมต่อจากเครือข่ายของคุณ หรือจัดเก็บในลักษณะที่ไม่สามารถแก้ไขได้ ไม่สามารถถูกปิดใช้งานหรือเข้ารหัสพร้อมกับสิ่งอื่นๆ เนื่องจาก Beast มุ่งเป้าไปที่บริการสำรองข้อมูลและสำเนาเงา สแนปช็อตท้องถิ่นเพียงอย่างเดียวจึงไม่เพียงพอ
- ทดสอบการกู้คืนของคุณ การสำรองข้อมูลที่คุณไม่เคยกู้คืนเป็นเพียงสมมติฐาน ลองกู้คืนไฟล์สองสามไฟล์เป็นประจำ
- เปิดใช้การตรวจสอบสิทธิ์หลายปัจจัยสำหรับการเข้าถึงระยะไกล เดสก์ท็อประยะไกล เครื่องมือจัดการระยะไกล และบัญชีผู้ดูแลระบบเป็นจุดเข้าที่พบบ่อย MFA ทำให้รหัสผ่านที่ถูกขโมยมีประโยชน์น้อยลงมาก
- จำกัดสิ่งที่ไดรฟ์ที่แชร์สามารถเข้าถึงได้ ให้ผู้ใช้เข้าถึงเฉพาะโฟลเดอร์ที่ต้องการ เพื่อให้บัญชีที่ถูกบุกรุกหนึ่งบัญชีไม่สามารถเข้ารหัสทุกอย่างได้
- เรียกใช้การป้องกัน endpoint ที่มีการตรวจจับตามพฤติกรรม เครื่องมือที่ตั้งค่าสถานะการแก้ไขบริการและการเปลี่ยนแปลงไฟล์จำนวนมากสามารถขัดขวางการโจมตีกลางทางได้ ดังที่กรณี QNET แสดงให้เห็น
- แพตช์และลบบริการระยะไกลที่ไม่ได้ใช้ ประตูที่เปิดเผยน้อยลงหมายถึงโอกาสน้อยลงที่พันธมิตรจะเข้ามาได้
สิ่งนี้หมายความสำหรับคุณ
VPN เข้ารหัสทราฟฟิกของคุณและปกปิดที่อยู่ IP ของคุณ ซึ่งมีคุณค่าสำหรับความเป็นส่วนตัว มันไม่หยุดพันธมิตรที่ถือข้อมูลรับรองที่ถูกต้องอยู่แล้ว และไม่ปกป้องการสำรองข้อมูลจากเพย์โหลดที่ทำงานภายในเครือข่ายของคุณ การออกแบบของ Beast แสดงให้เห็นว่าทำไม: ความเสียหายมาจากจุดกู้คืนที่ถูกลบและแชร์ที่ถูกเข้ารหัส ไม่ใช่จากทราฟฟิกที่ถูกดักจับ
สำหรับผู้อ่านส่วนใหญ่ ปัจจัยชี้ขาดนั้นเรียบง่าย คุณสามารถกู้คืนข้อมูลของคุณโดยไม่ต้องจ่ายเงินให้ใครได้หรือไม่? การเข้าถึงระยะไกลได้รับการปกป้องด้วยสิ่งอื่นนอกเหนือจากรหัสผ่านหรือไม่? คุณจะสังเกตเห็นหรือไม่หากการสำรองข้อมูลของคุณหยุดลงอย่างเงียบๆ?
ตรวจสอบการตั้งค่าของคุณวันนี้
Beast ransomware ทำงานอย่างไรนั้นขึ้นอยู่กับลำดับที่ชัดเจน: ปิดใช้งานการสำรองข้อมูล ลบสำเนาเงา เข้ารหัสไดรฟ์ ทั้งหมดนี้ควบคุมโดยพันธมิตรด้วยคอนโซลกราฟิก คุณสามารถทำลายลำดับนั้นได้หลายจุด ตรวจสอบว่าคุณมีการสำรองข้อมูลแบบออฟไลน์และกู้คืนได้อย่างถูกต้อง เปิดใช้ MFA ในทุกเส้นทางการเข้าถึงระยะไกล และตรวจสอบให้แน่ใจว่าคุณมีการตรวจจับที่สามารถดำเนินการได้ในไม่กี่วินาทีแทนที่จะเป็นชั่วโมง กันเวลาหนึ่งชั่วโมงในสัปดาห์นี้เพื่อตรวจสอบทั้งสามอย่าง
