พลิกโฉมการสั่งการและควบคุมของแรนซัมแวร์

กลุ่มที่อยู่เบื้องหลังแรนซัมแวร์ Chaos ได้นำเครื่องมือมัลแวร์ที่ชื่อว่า msaRAT มาใช้ ซึ่งมีวิธีการหลบซ่อนตัวบนเครื่องที่ติดเชื้ออย่างไม่ธรรมดา แทนที่จะให้โปรเซสของมัลแวร์สื่อสารโดยตรงกับเซิร์ฟเวอร์ระยะไกลแบบที่มัลแวร์ส่วนใหญ่ทำ msaRAT กลับมอบหน้าที่นั้นให้กับเบราว์เซอร์ที่ถูกต้องตามกฎหมาย มันเปิดอินสแตนซ์ของ Chrome หรือ Microsoft Edge แบบ headless (มองไม่เห็น ไม่มี GUI) ควบคุมผ่าน Chrome DevTools Protocol (CDP) และปล่อยให้เบราว์เซอร์จัดการการสื่อสารขาออกทั้งหมด ตัวโปรเซสของ msaRAT เองไม่เคยแตะต้องเครือข่ายโดยตรงเลย มันถูกจำกัดอยู่แค่การสื่อสารภายในเครื่อง (loopback) กล่าวคือมันพูดคุยเฉพาะกับอินสแตนซ์ของเบราว์เซอร์ที่รันอยู่บนเครื่องเดียวกันเท่านั้น

เรื่องนี้สำคัญเพราะมันกลับตรรกะการตรวจจับตามปกติที่เครื่องมือรักษาความปลอดภัยใช้กัน นักวิเคราะห์และระบบป้องกันอัตโนมัติมักจะปักธงโปรเซสที่น่าสงสัยซึ่งพยายามเชื่อมต่อไปยังที่อยู่ IP ภายนอกที่ไม่คุ้นเคย แต่สำหรับ msaRAT โปรเซสที่เชื่อมต่อออกไปนั้นคือไฟล์ไบนารีของเบราว์เซอร์จริงที่ผ่านการลงนามแล้ว และทราฟฟิกที่มันสร้างขึ้นก็ถูกจัดแต่งให้ดูเหมือนเป็นอะไรธรรมดา

เหตุใดการรับส่งผ่าน Twilio TURN จึงสำคัญต่อความเป็นส่วนตัว

อินสแตนซ์ของเบราว์เซอร์ที่ msaRAT ควบคุมนั้นไม่ได้เชื่อมต่อไปยังเซิร์ฟเวอร์สั่งการและควบคุมแบบธรรมดาๆ เช่นกัน มันถ่ายทอดทราฟฟิกที่เข้ารหัสผ่านโครงสร้างพื้นฐาน TURN ของ Twilio ซึ่งเป็นบริการที่ปกติใช้เพื่อช่วยให้การเชื่อมต่อ WebRTC ลอดผ่านไฟร์วอลล์และ NAT สำหรับการใช้งานอย่างเช่นวิดีโอคอลและเสียงสนทนา เนื่องจากทราฟฟิกที่ถ่ายทอดผ่าน TURN นั้นถูกเข้ารหัสและมีโครงสร้างเหมือนกับเซสชัน WebRTC ที่ถูกต้องตามกฎหมาย มันจึงกลมกลืนไปกับกิจกรรมเครือข่ายประเภทที่เครื่องมือสำหรับการโทรและประชุมผ่านเบราว์เซอร์นับพันล้านสร้างขึ้นในแต่ละวัน

นี่คือหัวใจสำคัญของผลกระทบด้านความเป็นส่วนตัวและความปลอดภัยของเทคนิคนี้: มันใช้ประโยชน์จากโปรโตคอลและบริการเดียวกันกับที่ปกป้องการสื่อสารในชีวิตประจำวัน เพื่อปกป้องการสื่อสารที่เป็นอันตรายแทน ผู้ดูแลเครือข่ายที่มองหาโปรโตคอลที่ผิดปกติ โดเมนปลายทางที่ไม่คุ้นเคย หรือทราฟฟิก beacon ที่ไม่เข้ารหัส จะไม่พบสัญญาณเหล่านั้นเลยในที่นี้ รูปแบบของทราฟฟิกดูเหมือนวิดีโอคอล ไม่ใช่ผู้ปฏิบัติการแรนซัมแวร์ที่กำลังเช็คอินกับเครื่องที่ติดเชื้อ

แนวทางนี้ยังสะท้อนให้เห็นแนวโน้มที่กว้างขึ้นในหมู่ผู้ปฏิบัติการแรนซัมแวร์และรีดไถข้อมูล ที่มุ่งสู่กลยุทธ์ "living off the browser" ซึ่งเป็นการวิวัฒนาการต่อยอดจากกลยุทธ์ "living off the land" แบบเก่าที่ผู้โจมตีใช้เครื่องมือระบบที่ถูกต้องซึ่งมีอยู่แล้วบนเครื่อง แทนที่จะดรอปไฟล์ไบนารีที่เป็นอันตรายอย่างชัดเจน กลุ่มแรนซัมแวร์แสดงให้เห็นอย่างสม่ำเสมอว่าพวกเขาชื่นชอบเทคนิคที่ทำให้สามารถปักหลักอยู่ในเครือข่ายได้นานขึ้น ก่อนที่จะจุดชนวนการเข้ารหัสข้อมูล หรือที่พบมากขึ้นคือเปลี่ยนไปใช้การขโมยข้อมูลเพื่อรีดไถเพียงอย่างเดียว โมเดลการรีดไถนั้นกลายเป็นเรื่องปกติธรรมดาเสียจนกลุ่มต่างๆ มักประกาศเหยื่อต่อสาธารณะ ดังที่เห็นในกรณีเช่น ข้อกล่าวอ้างของ ShinyHunters ต่อ Exact Sciences ซึ่งข้อมูลสุขภาพที่ถูกขโมยถูกใช้เป็นเครื่องมือต่อรอง แทนที่จะเป็น หรือเพิ่มเติมจากการเข้ารหัสไฟล์

สิ่งนี้มีความหมายอย่างไรกับคุณ

สำหรับผู้ใช้ทั่วไปส่วนใหญ่ msaRAT เองไม่ใช่สิ่งที่คุณจะพบเจอโดยตรง มันเป็นเครื่องมือที่มุ่งเป้าไปยังองค์กรที่ผู้ปฏิบัติการแรนซัมแวร์ Chaos กำลังโจมตีอย่างแข็งขันเพื่อเจาะเครือข่ายและรีดไถข้อมูล แต่บทเรียนที่ซ่อนอยู่สามารถนำไปประยุกต์ใช้ได้ในวงกว้าง: ผู้โจมตีกำลังเก่งขึ้นในการทำให้ทราฟฟิกที่เป็นอันตรายแยกไม่ออกจากกิจกรรมเบราว์เซอร์ปกติที่เข้ารหัส นั่นควรปรับมุมมองใหม่เกี่ยวกับสิ่งที่การเฝ้าติดตามเครือข่ายเพียงอย่างเดียวจะสามารถตรวจจับได้

หากองค์กรของคุณพึ่งพาการตรวจสอบทราฟฟิกที่ขอบเขตเครือข่ายอย่างมากเพื่อตรวจจับการบุกรุก เทคนิคแบบนี้เป็นเครื่องย้ำเตือนว่าการมองเห็นในระดับเอนด์พอยต์ ซึ่งหมายถึงสิ่งที่โปรเซสกำลังทำอยู่บนเครื่องจริง ๆ มากกว่าแค่สิ่งที่มันส่งออกไปทางสาย กำลังทวีความสำคัญมากขึ้น ไม่ใช่น้อยลง อินสแตนซ์เบราว์เซอร์แบบ headless ที่ถูกเรียกใช้อย่างเงียบ ๆ โดยอีกโปรเซสหนึ่ง เป็นเหตุการณ์ที่สามารถตรวจจับได้ที่เอนด์พอยต์ แม้ว่าทราฟฟิกเครือข่ายของมันจะดูสะอาดก็ตาม

สำหรับผู้ใช้ทั่วไป ข้อปฏิบัติที่จับต้องได้นั้นเกี่ยวข้องกับสิ่งนี้ไม่มากเท่ากับสภาพแวดล้อมที่มันส่งสัญญาณ กลุ่มแรนซัมแวร์กำลังปรับปรุงวิธีการกลมกลืนอย่างต่อเนื่อง และการบุกรุกที่ในที่สุดนำไปสู่การเข้ารหัสไฟล์หรือข้อมูลส่วนบุคคลรั่วไหล มักเริ่มต้นจากสิ่งธรรมดา: อีเมลฟิชชิ่ง ไฟล์แนบที่เป็นอันตราย หรือบริการที่เปิดเผยและมีช่องโหว่ ความระมัดระวังตั้งแต่ในขั้นเริ่มต้นนั้นยังคงเป็นการป้องกันที่มีประสิทธิภาพสูงสุดในการไม่ต้องพบเจอกับสิ่งอย่างเช่น msaRAT ในขั้นต่อไป

ประเด็นสำคัญ

  • msaRAT ซึ่งเชื่อมโยงกับแรนซัมแวร์ Chaos ควบคุม Chrome หรือ Edge แบบ headless ผ่าน Chrome DevTools Protocol แทนที่จะสื่อสารกับเซิร์ฟเวอร์ C2 โดยตรง
  • มัลแวร์ถ่ายทอดทราฟฟิกสั่งการและควบคุมที่เข้ารหัสผ่านบริการ TURN ของ Twilio ทำให้มันดูเหมือนทราฟฟิก WebRTC ที่ถูกต้องตามกฎหมาย เช่น วิดีโอคอล
  • เทคนิคนี้ออกแบบมาเพื่อเอาชนะการตรวจจับบนเครือข่ายแบบดั้งเดิมที่มองหาการเชื่อมต่อขาออกที่ผิดปกติหรือ beacon ที่ไม่เข้ารหัส
  • องค์กรควรจับคู่การเฝ้าติดตามเครือข่ายกับการมองเห็นระดับเอนด์พอยต์ เนื่องจากตัวโปรเซสเบราว์เซอร์เอง และวิธีการที่มันถูกเรียกใช้ ยังคงเป็นสัญญาณที่ตรวจจับได้ แม้ว่าทราฟฟิกของมันจะดูสะอาดก็ตาม
  • แนวโน้มที่กว้างขึ้นไปสู่ช่องทาง C2 ที่แนบเนียนยิ่งขึ้น ตอกย้ำว่าเหตุใดการแพตช์อย่างทันท่วงที ความตระหนักรู้เรื่องฟิชชิ่ง และการเฝ้าติดตามเอนด์พอยต์ที่มีประสิทธิภาพจึงยังคงเป็นการป้องกันที่จำเป็นต่อการบุกรุกของแรนซัมแวร์ ก่อนที่มันจะไปถึงขั้นตอนการรีดไถ