วิธีใหม่ในการหลบซ่อนในที่แจ้ง

นักวิจัยจาก Cisco Talos ได้ค้นพบเทคนิคใหม่จากกลุ่มแรนซัมแวร์ Chaos ที่เปลี่ยนเว็บเบราว์เซอร์ของคุณให้กลายเป็นช่องทางสื่อสารลับ เครื่องมือนี้ที่เรียกว่า msaRAT เป็นโทรจันควบคุมระยะไกลที่เขียนด้วยภาษา Rust ซึ่งควบคุมเซสชัน Chrome หรือ Edge แบบไม่มีส่วนหัว (headless) โดยใช้ Chrome DevTools Protocol (CDP) แทนที่จะเชื่อมต่อโดยตรงกับเซิร์ฟเวอร์ควบคุมและสั่งการเหมือนมัลแวร์ส่วนใหญ่ msaRAT จะส่งเส้นทางทราฟฟิกผ่านโครงสร้างพื้นฐานที่ถูกต้องตามกฎหมายซึ่งดำเนินการโดย Cloudflare และ Twilio ทำให้กิจกรรมของผู้โจมตีดูเหมือนทราฟฟิกเบราว์เซอร์ปกติ แทนที่จะเป็นกิจกรรมเครือข่ายที่เป็นอันตราย

การค้นพบนี้มีความสำคัญเพราะมันแสดงถึงการเปลี่ยนแปลงที่มีนัยสำคัญในวิธีที่กลุ่มแรนซัมแวร์หลบเลี่ยงการตรวจจับ แทนที่จะพึ่งพาโพรโทคอลที่กำหนดเองหรือโดเมนที่น่าสงสัยซึ่งเครื่องมือรักษาความปลอดภัยถูกฝึกให้แจ้งเตือน ผู้ดำเนินการของแรนซัมแวร์ Chaos กลับใช้โครงสร้างพื้นฐานที่ธุรกิจไว้วางใจและใช้อยู่ทุกวัน หากคุณต้องการรายละเอียดทางเทคนิคเชิงลึกเกี่ยวกับการทำงานของ msaRAT ภายในกระบวนการเบราว์เซอร์ ก่อนหน้านี้เราได้กล่าวถึง วิธีที่ msaRAT ของ Chaos ransomware ซ่อนตัวใน Chrome และ Edge ไว้อย่างละเอียด

วิธีการโจมตีทำงานอย่างไรจริง ๆ

ตามรายงานของ Cisco Talos msaRAT ถูกพบบนเครื่อง Windows ที่ถูกบุกรุก โดยถูกนำมาใช้เป็นขั้นตอนก่อนหน้าสำหรับการปล่อยตัวเข้ารหัสของแรนซัมแวร์จริง นี่เป็นรูปแบบที่พบได้ทั่วไปในการดำเนินการของแรนซัมแวร์สมัยใหม่: ผู้โจมตีจะสร้างความคงอยู่และความสามารถในการสำรวจเครือข่ายก่อน จากนั้นจึงปล่อยเพย์โหลดทำลายล้างเมื่อพวกเขาทำแผนที่เครือข่ายและระบุข้อมูลที่มีค่าได้แล้ว

สิ่งที่ทำให้ msaRAT แตกต่างคือการใช้ CDP เพื่อควบคุมอินสแตนซ์แบบไม่มีส่วนหัวของ Chrome หรือ Edge ที่ทำงานเงียบ ๆ อยู่เบื้องหลัง โดยการควบคุมกระบวนการเบราว์เซอร์จริงเหมือนหุ่นเชิด มัลแวร์สามารถส่งต่อทราฟฟิกควบคุมและสั่งการที่เข้ารหัสผ่านโครงสร้างพื้นฐานรีเลย์ TURN ของ Twilio ซึ่งปกติแล้วใช้สำหรับแอปพลิเคชัน WebRTC ที่ถูกต้องตามกฎหมาย เช่น การโทรวิดีโอและการสื่อสารแบบเรียลไทม์ เนื่องจากทราฟฟิกนี้วิ่งอยู่บนเครือข่ายของ Cloudflare และ Twilio และเนื่องจากมันคล้ายกับการส่งสัญญาณ WebRTC ปกติ มันจึงกลมกลืนไปกับเสียงรบกวนพื้นหลังของกิจกรรมอินเทอร์เน็ตในชีวิตประจำวัน เครื่องมือตรวจสอบเครือข่ายแบบดั้งเดิมที่มองหาโดเมนที่ไม่ดีที่รู้จักหรือโพรโทคอลที่ผิดปกติอาจไม่แจ้งเตือนเลย

นี่คือรูปแบบหนึ่งของ 'การพึ่งพาโครงสร้างพื้นฐานที่เชื่อถือได้' (living off trusted infrastructure) ซึ่งเป็นรูปแบบแปรผันของกลยุทธ์ 'การดำรงชีพจากสิ่งที่มีอยู่' (living off the land) ที่เป็นที่รู้จักกันดี ซึ่งผู้โจมตีใช้เครื่องมือระบบที่มีอยู่แล้วแทนมัลแวร์ที่สร้างขึ้นใหม่ ในที่นี้ โครงสร้างพื้นฐานที่เชื่อถือได้ไม่ใช่ไฟล์ปฏิบัติการของระบบ แต่คือตัวเบราว์เซอร์เองและบริการคลาวด์ที่มันสื่อสารด้วยเป็นประจำ

เหตุใดสิ่งนี้จึงสำคัญสำหรับธุรกิจและผู้บริโภค

กลุ่มแรนซัมแวร์อย่าง Chaos ไม่ได้เพียงแค่เข้ารหัสไฟล์เท่านั้น พวกเขามักจะขโมยข้อมูลละเอียดอ่อนออกไปก่อน หมายความว่าข้อมูลลูกค้า ข้อมูลพนักงาน และเอกสารทางธุรกิจอาจถูกขโมยไปก่อนที่ข้อความเรียกค่าไถ่จะปรากฏเสียอีก เมื่อเทคนิคอย่าง msaRAT อนุญาตให้ผู้โจมตีสื่อสารอย่างลับ ๆ เป็นเวลานานขึ้นโดยไม่ถูกตรวจพบ มันจะขยายช่วงเวลาโอกาสในการขโมยข้อมูลและการเคลื่อนที่ด้านข้างภายในเครือข่าย

สำหรับผู้บริโภค ความเสี่ยงเป็นทางอ้อมแต่มีอยู่จริง หากบริษัทที่คุณทำธุรกิจด้วยถูกบุกรุกโดยแรนซัมแวร์ Chaos และช่องทาง C2 ที่ใช้เบราว์เซอร์ไม่ถูกตรวจพบเป็นเวลาหลายสัปดาห์ ข้อมูลส่วนบุคคลของคุณอาจถูกดูดออกไปอย่างเงียบ ๆ ก่อนที่ใครจะทันสังเกตเห็น นี่เป็นส่วนหนึ่งของแนวโน้มที่กว้างขึ้นในการดำเนินการแรนซัมแวร์: ผู้โจมตีทุ่มเทลงทุนในเทคนิคการหลบเลี่ยงที่ใช้ประโยชน์จากความไว้วางใจในบริการคลาวด์ที่ใช้กันทุกวันมากขึ้นเรื่อย ๆ แทนที่จะสร้างโครงสร้างพื้นฐานที่เห็นได้ชัดว่าเป็นอันตรายและถูกขึ้นบัญชีดำได้ง่าย

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นผู้ดูแลระบบไอทีหรือมืออาชีพด้านความปลอดภัย การพัฒนานี้เป็นเครื่องเตือนใจว่ากระบวนการเบราว์เซอร์แบบไม่มีส่วนหัวที่รันโดยไม่มีหน้าต่างให้เห็นสมควรได้รับการตรวจสอบอย่างละเอียด กระบวนการ Chrome หรือ Edge ที่ไม่คาดคิดซึ่งเกิดจากสคริปต์ งานที่กำหนดเวลาไว้ หรือกระบวนการหลักที่ไม่คุ้นเคยควรได้รับการสอบสวน โดยเฉพาะอย่างยิ่งหากพวกมันกำลังสื่อสารกับพอร์ตดีบัก CDP หรือสร้างทราฟฟิกสไตล์ WebRTC ที่ไม่ปกติ

สำหรับผู้ใช้ทั่วไปและเจ้าของธุรกิจขนาดเล็กที่ไม่มีทีมรักษาความปลอดภัยเฉพาะ ข้อสรุปเชิงปฏิบัติไม่ได้อยู่ที่มัลแวร์เฉพาะตัว แต่อยู่ที่การป้องกันแบบหลายชั้นมากกว่า อัปเดตเบราว์เซอร์และระบบปฏิบัติการให้ทันสมัยอยู่เสมอ จำกัดสิทธิ์ผู้ดูแลระบบ และระมัดระวังเกี่ยวกับเครื่องมือปลายทางที่องค์กรของคุณพึ่งพาเพื่อตรวจจับความผิดปกติ การแบ่งส่วนทราฟฟิกที่ละเอียดอ่อนและการตรวจสอบการเชื่อมต่อขาออก รวมถึงผ่าน VPN หรือบริการความปลอดภัยเครือข่ายที่มีชื่อเสียง สามารถเพิ่มชั้นของการมองเห็นที่ช่วยจับรูปแบบที่ผิดปกติได้ แม้มัลแวร์จะพยายามกลมกลืนไปกับทราฟฟิกคลาวด์ที่ถูกต้องตามกฎหมาย

ข้อแนะนำที่นำไปปฏิบัติได้

  • ตรวจสอบกระบวนการ Chrome หรือ Edge แบบไม่มีส่วนหัวที่ผิดปกติ โดยเฉพาะกระบวนการที่ใช้พอร์ตดีบักระยะไกลที่เกี่ยวข้องกับ CDP
  • อัปเดตเบราว์เซอร์ ระบบปฏิบัติการ และเครื่องมือตรวจหาปลายทางให้ทันสมัยอยู่เสมอ เพื่อตรวจจับตัวบ่งชี้ที่ทราบซึ่งเกี่ยวข้องกับ Chaos ransomware และ msaRAT
  • จำกัดทราฟฟิกขาออกเมื่อเป็นไปได้ และตรวจสอบบันทึกเพื่อหาการเชื่อมต่อ WebRTC หรือรีเลย์ TURN ที่ผิดปกติซึ่งไม่ตรงกับการใช้งานทางธุรกิจที่คาดหวัง
  • ให้ความรู้แก่ทีมไอทีเกี่ยวกับเทคนิคที่กำลังพัฒนานี้ เพื่อไม่ให้การแจ้งเตือนถูกละเลยเพียงเพราะทราฟฟิกดูเหมือนมาจากบริการที่เชื่อถือได้อย่าง Cloudflare หรือ Twilio

ในขณะที่กลุ่มแรนซัมแวร์ยังคงปรับปรุงวิธีการซ่อนตัวอย่างต่อเนื่อง การติดตามข่าวสารเกี่ยวกับเทคนิคอย่างที่ใช้ในแคมเปญ Chaos ransomware นี้คือหนึ่งในการป้องกันที่ดีที่สุดที่มีอยู่ ความตระหนักรู้ ควบคู่ไปกับสุขลักษณะพื้นฐาน เช่น การอัปเดตแพตช์และการตรวจสอบทราฟฟิก ยังคงเป็นวิธีที่น่าเชื่อถือที่สุดในการลดความเสี่ยงของคุณต่อภัยคุกคามที่พัฒนาอยู่ตลอดเวลา