อาชญากรไซเบอร์ค้นพบวิธีใหม่ในการหลบเลี่ยงตัวกรองอีเมลและระบบบล็อกสแปม: พวกเขาโทรหาพนักงานโดยตรงผ่าน Microsoft Teams แคมเปญล่าสุดที่เชื่อมโยงกับแรนซัมแวร์ Chaos แสดงให้เห็นว่าผู้โจมตีใช้ voice phishing หรือ "vishing" ภายใน Teams เพื่อหลอกให้พนักงานส่งมอบสิทธิ์การเข้าถึงเครือข่าย ซึ่งท้ายที่สุดนำไปสู่การแพร่กระจายแรนซัมแวร์ไปทั่วทั้งระบบขององค์กร

นี่ไม่ใช่แค่เรื่องราวฟิชชิ่งทางอีเมลทั่วไปอีกต่อไป มันเป็นสัญญาณว่าผู้โจมตีจงใจพุ่งเป้าไปที่แพลตฟอร์มการทำงานร่วมกันที่พนักงานหลายล้านคนไว้วางใจโดยปริยาย และสิ่งนี้กำลังบังคับให้องค์กรต่างๆ ต้องคิดใหม่เกี่ยวกับวิธีฝึกอบรมพนักงานให้รู้เท่าทันวิศวกรรมสังคม

การโจมตีแบบ Vishing ผ่าน Microsoft Teams ทำงานอย่างไร

แตกต่างจากฟิชชิ่งแบบดั้งเดิมที่อาศัยลิงก์หรือไฟล์แนบที่เป็นอันตรายซึ่งอยู่ในกล่องข้อความเข้า รูปแบบการโจมตีนี้ใช้การติดต่อทางเสียงแบบสด ผู้โจมตีติดต่อพนักงานผ่าน Microsoft Teams โดยมักปลอมตัวเป็นฝ่ายสนับสนุน IT ภายในหรือผู้ให้บริการที่เชื่อถือได้ และใช้การโทรเพื่อสร้างความรู้สึกเร่งด่วนและความน่าเชื่อถือ เนื่องจากปฏิสัมพันธ์เกิดขึ้นภายในแพลตฟอร์มที่พนักงานใช้อยู่ทุกวันสำหรับคำขอทำงานที่ถูกต้องตามปกติ กำแพงทางจิตวิทยาที่ปกติทำให้ผู้คนสงสัยอีเมลที่ไม่พึงประสงค์จึงไม่มีอยู่เลย

เมื่อสร้างความไว้วางใจได้แล้ว เป้าหมายของผู้โจมตีนั้นตรงไปตรงมา: ทำให้เป้าหมายดำเนินการที่ให้สิทธิ์การเข้าถึงระยะไกล ไม่ว่าจะเป็นการอนุมัติคำขอเข้าสู่ระบบ ติดตั้งเครื่องมือการเข้าถึงระยะไกล หรือแชร์ข้อมูลประจำตัวภายใต้ข้ออ้างของใบงานแจ้งปัญหา จากจุดนั้น ผู้โจมตีจะมีฐานที่มั่นภายในเครือข่ายองค์กร ซึ่งเป็นการปูทางสู่การปล่อยเพย์โหลดแรนซัมแวร์

วิธีการนี้สะท้อนแนวโน้มที่กว้างขึ้นของผู้โจมตีที่หาประโยชน์จากสภาพแวดล้อม Microsoft 365 แทนที่จะโจมตีช่องโหว่ของซอฟต์แวร์โดยตรง มันสะท้อนกลยุทธ์ที่พบใน แคมเปญ Storm-2949 ที่มุ่งเป้าการรีเซ็ตรหัสผ่าน Microsoft 365 ซึ่งภัยคุกคามได้จัดการเวิร์กโฟลว์คลาวด์ที่เชื่อถือได้แทนที่จะพึ่งพามัลแวร์เพียงอย่างเดียวในการเจาะระบบองค์กร

เหตุใด Voice Phishing จึงหลบเลี่ยงการฝึกอบรมความปลอดภัยแบบดั้งเดิม

โปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัยในองค์กรส่วนใหญ่ถูกสร้างขึ้นโดยมีอีเมลเป็นศูนย์กลาง: อย่าคลิกลิงก์ที่ไม่รู้จัก ตรวจสอบที่อยู่ผู้ส่ง เลื่อนเมาส์ดูก่อนเชื่อถือ Voice phishing หลบเลี่ยงการฝึกอบรมแทบทั้งหมดนั้น เพราะไม่มีอีเมลให้ตรวจสอบ ไม่มีโดเมนที่ถูกปลอมแปลงอย่างชัดเจน และไม่มีข้อความคงที่ที่พนักงานสามารถส่งต่อให้ทีมความปลอดภัยตรวจสอบได้อย่างเงียบๆ

การโทรสดผ่านโทรศัพท์หรือ Teams ยังสร้างแรงกดดันทางสังคมที่อีเมลไม่มี น้ำเสียงที่สงบและฟังดูเป็นมืออาชีพซึ่งอ้างว่ามาจากฝ่ายสนับสนุน IT โดยเฉพาะอย่างยิ่งหากมีการอ้างอิงคำศัพท์ภายในจริงหรือเหตุการณ์ล่าสุดของบริษัท สามารถผลักดันให้พนักงานปฏิบัติตามอย่างรวดเร็วก่อนที่พวกเขาจะมีเวลาคิดอย่างมีวิจารณญาณ การผสมผสานระหว่างแพลตฟอร์มที่เชื่อถือได้ แรงกดดันแบบเรียลไทม์ และการเตรียมตัวของพนักงานที่จำกัด คือเหตุผลที่แท้จริงที่ทำให้ vishing กลายเป็นจุดเริ่มต้นที่น่าสนใจสำหรับผู้ปฏิบัติการแรนซัมแวร์

แรนซัมแวร์ Chaos ทำอะไรเมื่อเข้าไปในเครือข่ายแล้ว

เมื่อผู้โจมตีใช้สาย vishing เพื่อสร้างการเข้าถึงแล้ว ขั้นตอนต่อไปคือการแพร่กระจายแรนซัมแวร์ Chaos เช่นเดียวกับตระกูลแรนซัมแวร์อื่นๆ Chaos ถูกออกแบบมาให้เคลื่อนที่ผ่านเครือข่ายที่ถูกโจมตี เข้ารหัสไฟล์และระบบ และยึดข้อมูลนั้นไว้เป็นตัวประกันจนกว่าจะมีการจ่ายค่าไถ่ ความเสียหายไม่ได้จำกัดอยู่แค่เครื่องเดียว โดยทั่วไปผู้ปฏิบัติการแรนซัมแวร์จะพยายามแพร่กระจายให้กว้างที่สุดเท่าที่เป็นไปได้ภายในเครือข่ายก่อนที่จะกระตุ้นการเข้ารหัส เพิ่มแรงกดดันสูงสุดให้องค์กรเหยื่อต้องจ่ายเงิน

สิ่งที่ทำให้แคมเปญนี้น่าจับตามองคือวิธีการส่งมอบมากกว่าตัวแรนซัมแวร์เอง การได้รับการเข้าถึงที่ดูถูกต้องตามกฎหมายผ่านช่องทางการสื่อสารที่เชื่อถือได้ ผู้โจมตีอาจสามารถข้ามผ่านการป้องกันทางเทคนิคหลายชั้นที่ปกติจะตั้งค่าสถานะการดาวน์โหลดที่น่าสงสัยหรือความพยายามเข้าสู่ระบบที่ผิดปกติ

มาตรการป้องกันสำหรับพนักงานระยะไกลและแบบไฮบริด: MFA, VPN และการยืนยันตัวตนด้วยเสียง

สำหรับองค์กรที่มีทีมแบบกระจายตัวหรือแบบไฮบริด การโจมตีประเภทนี้เป็นเครื่องเตือนใจว่าการยืนยันตัวตนจำเป็นต้องขยายออกไปนอกเหนือจากอีเมลและหน้าจอเข้าสู่ระบบ ขั้นตอนที่เป็นรูปธรรมบางประการสามารถลดความเสี่ยงได้อย่างมีนัยสำคัญ:

  • กำหนดให้ใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) สำหรับการเข้าถึงระยะไกลและระบบที่ละเอียดอ่อนทั้งหมด และฝึกอบรมพนักงานไม่ให้อนุมัติคำขอ MFA ที่พวกเขาไม่ได้เป็นผู้เริ่มต้นด้วยตนเอง
  • กำหนดนโยบายที่ชัดเจนทั่วทั้งบริษัทสำหรับการตรวจสอบคำขอฝ่ายสนับสนุน IT เช่น กำหนดให้พนักงานโทรกลับไปยังหมายเลขภายในที่รู้จัก แทนที่จะเชื่อถือสายเรียกเข้าหรือข้อความผ่าน Teams
  • ใช้ VPN ร่วมกับการควบคุมการเข้าถึงที่เข้มงวด เพื่อให้แม้ว่าข้อมูลประจำตัวจะถูกขโมย การเคลื่อนย้ายในแนวราบทั่วทั้งเครือข่ายก็ทำได้ยากขึ้น
  • ขยายการฝึกอบรมความตระหนักรู้ด้านฟิชชิ่งให้ครอบคลุมวิศวกรรมสังคมที่ใช้เสียงและการแชท ไม่ใช่แค่อีเมล

สิ่งนี้มีความหมายต่อคุณอย่างไร

หากคุณทำงานในบทบาทแบบไฮบริดหรือระยะไกลและใช้ Microsoft Teams เป็นประจำ ให้ปฏิบัติต่อสายเรียกเข้าหรือข้อความที่ไม่คาดคิดจาก "ฝ่ายสนับสนุน IT" ด้วยความสงสัยในระดับเดียวกับที่คุณใช้กับอีเมลที่น่าสงสัย โดยปกติแล้วฝ่าย IT ที่ถูกต้องจะไม่ติดต่อผ่านแพลตฟอร์มแชทโดยไม่คาดคิดเพื่อขอให้คุณติดตั้งซอฟต์แวร์หรืออนุมัติคำขอเข้าถึงทันที หากมีข้อสงสัย ให้วางสาย ตรวจสอบผ่านช่องทางที่เป็นทางการ และรายงานปฏิสัมพันธ์นั้นให้ทีมความปลอดภัยของคุณทราบทันที

ประเด็นสำคัญ

การเพิ่มขึ้นของการโจมตีแรนซัมแวร์แบบ vishing ผ่าน Microsoft Teams แสดงให้เห็นว่าอาชญากรไซเบอร์กำลังปรับตัวได้เร็วกว่าโปรแกรมการฝึกอบรมขององค์กรจำนวนมาก เมื่อเครื่องมือการทำงานร่วมกันกลายเป็นแนวหน้าใหม่สำหรับวิศวกรรมสังคม องค์กรจำเป็นต้องปรับปรุงการป้องกันของตนให้สอดคล้องกัน: เสริมสร้างนโยบาย MFA ทำให้ขั้นตอนการตรวจสอบ IT เป็นทางการ และทำให้แน่ใจว่าพนักงานเข้าใจว่าความไว้วางใจในแพลตฟอร์มไม่ได้เท่ากับความไว้วางใจในทุกคนที่ใช้งานมัน การตื่นตัวต่อคำขอที่ไม่พึงประสงค์ทางเสียงและการแชท ไม่ว่ามันจะฟังดูน่าเชื่อถือเพียงใด ยังคงเป็นหนึ่งในวิธีที่ง่ายและมีประสิทธิภาพที่สุดในการหยุดการโจมตีของแรนซัมแวร์ก่อนที่มันจะเริ่มต้น