Chaos Ransomware หาที่ซ่อนใหม่: เว็บเบราว์เซอร์ของคุณ

นักวิจัยด้านความปลอดภัยจาก Cisco Talos ได้ค้นพบวิธีการใหม่ของกลุ่ม Chaos ransomware แทนที่จะสื่อสารกับเซิร์ฟเวอร์ command-and-control (C2) โดยตรง กลุ่มได้ใช้เครื่องมือใหม่ที่เรียกว่า msaRAT ซึ่งเข้าควบคุม Chrome หรือ Edge บนเครื่องที่ติดเชื้ออย่างเงียบ ๆ และใช้เบราว์เซอร์นั้นเป็นผู้ส่งสาร เนื่องจากทราฟฟิกดูเหมือนกิจกรรมเบราว์เซอร์ทั่วไป การสื่อสารส่วนใหญ่จึงเล็ดลอดผ่านเครื่องมือแอนตี้ไวรัสและระบบเฝ้าระวังเครือข่ายที่ถูกสร้างมาให้ตรวจจับกระบวนการแบบสแตนด์อโลนที่น่าสงสัย ไม่ใช่เบราว์เซอร์ที่คุณใช้อยู่ทุกวัน

วิธีการนี้ซึ่งบางครั้งเรียกว่า 'living off the browser' เป็นการปรับเปลี่ยนเทคนิค 'living off the land' ที่รู้จักกันดี ซึ่งผู้โจมตีจะนำซอฟต์แวร์ที่ถูกต้องตามกฎหมายที่มีอยู่แล้วในระบบมาใช้ แทนที่จะวางไฟล์มัลแวร์ที่ชัดเจน ในกรณีนี้ผู้ดำเนินการ ransomware ได้ต่อยอดแนวคิดนั้นไปอีกขั้นโดยเปลี่ยนแอปพลิเคชันที่เชื่อถือได้และมักถูกขึ้นบัญชีขาวให้กลายเป็นช่องทางการสื่อสารลับของพวกเขา การรายงานก่อนหน้านี้ของเราเกี่ยวกับ วิธีที่ msaRAT ของ Chaos ransomware ซ่อนทราฟฟิก C2 ในเบราว์เซอร์ ได้อธิบายกลไกทางเทคนิคอย่างละเอียด แต่แบบย่อคือ มัลแวร์ไม่ได้คุยกับผู้ควบคุมของมันเอง แต่มันทำให้เบราว์เซอร์ทำหน้าที่แทน

msaRAT จัดการ Chrome และ Edge อย่างไร

ตามที่นักวิจัยระบุ msaRAT เป็นโทรจันรีโมทแอคเซสที่พัฒนาด้วย Rust และเข้าสู่เครื่องของเหยื่อผ่านวิธีการส่งที่หลอกลวง รวมถึงตัวติดตั้งที่ปลอมตัวเป็นอัปเดต Windows ทั่วไป เมื่อติดตั้งแล้ว มันจะเปิด Chrome หรือ Edge ในโหมด headless ที่ซ่อนอยู่ ดังนั้นเหยื่อจะไม่เห็นหน้าต่างเบราว์เซอร์เปิดขึ้น จากนั้นมันใช้ Chrome DevTools Protocol (CDP) ซึ่งเป็นฟีเจอร์ที่ถูกต้องตามกฎหมายที่ฝังอยู่ในเบราว์เซอร์เหล่านี้สำหรับนักพัฒนาและเครื่องมืออัตโนมัติ เพื่อควบคุมพฤติกรรมของเบราว์เซอร์จากระยะไกล

จากนั้นมัลแวร์จะกำหนดเส้นทางทราฟฟิก command-and-control ผ่านการเชื่อมต่อ WebRTC และบริการต่าง ๆ เช่น Twilio's TURN relay ซึ่งทั้งหมดเป็นเทคโนโลยีที่ถูกต้องตามกฎหมายที่ใช้สำหรับการสื่อสารแบบเรียลไทม์และการโทรวิดีโอ เนื่องจากทราฟฟิกนี้ถูกเข้ารหัสและเดินทางผ่านโครงสร้างพื้นฐานที่แอปพลิเคชันที่ถูกต้องจำนวนนับไม่ถ้วนก็ใช้เช่นกัน มันจึงกลมกลืนไปกับกิจกรรมเว็บปกติ เครื่องมือความปลอดภัยที่ตรวจสอบทราฟฟิกเครือข่ายเพื่อหาลายเซ็นมัลแวร์ที่รู้จักหรือเซิร์ฟเวอร์ปลายทางที่ผิดปกติจะแยกแยะสิ่งนี้ออกจากการใช้งานเบราว์เซอร์ประจำวันได้ยากขึ้น ซึ่งนั่นคือเป้าหมายที่แท้จริง

ผลลัพธ์ในทางปฏิบัติคือเครื่องที่ติดเชื้อสามารถคงช่องทางที่ถูกควบคุมจากระยะไกลไว้ได้อย่างต่อเนื่องเพื่อการขโมยข้อมูลและการบุกรุกเพิ่มเติม ในขณะที่ซอฟต์แวร์ความปลอดภัยของเครื่องนั้นมองไม่เห็นอะไรที่น่าตกใจไปกว่า Chrome หรือ Edge ที่ทำหน้าที่ตามปกติของมัน นี่คือวิวัฒนาการที่มีความหมายสำหรับกลุ่ม ransomware ซึ่งแต่เดิมต้องพึ่งพาวิธีการที่ตรวจจับได้ง่ายกว่าในการรักษาการเข้าถึงระยะไกล

ทำไมการป้องกันแบบดั้งเดิมถึงมีปัญหาในที่นี้

เครื่องมือแอนตี้ไวรัสและการตรวจจับเอนด์พอยต์ส่วนใหญ่ถูกปรับให้ตรวจจับไฟล์เอ็กซ์คิวต์ที่เป็นอันตราย พฤติกรรมกระบวนการที่ผิดปกติ หรือการเชื่อมต่อไปยังที่อยู่ IP ที่รู้ว่าไม่ดี msaRAT หลีกเลี่ยงทั้งสามสิ่ง กระบวนการที่ขับเคลื่อนกิจกรรมที่เป็นอันตรายคือเบราว์เซอร์เอง ซึ่งเป็นซอฟต์แวร์ที่มีอยู่บนแทบทุกอุปกรณ์และถูกเชื่อถือโดยปริยาย โครงสร้างพื้นฐานปลายทางอย่างบริการ Twilio's TURN relay นั้นถูกต้องตามกฎหมายและถูกใช้อย่างกว้างขวาง ดังนั้นการบล็อกมันไปเลยจะทำให้แอปพลิเคชันอื่นที่ผู้คนใช้พังไปด้วย และเนื่องจากเบราว์เซอร์ทำงานแบบ headless จึงไม่มีหน้าต่างที่มองเห็นหรือสัญญาณที่ผู้ใช้จะสังเกตได้ว่ามีสิ่งผิดปกติเกิดขึ้น

นี่คือเหตุผลที่นักวิจัยด้านความปลอดภัยเน้นย้ำการตรวจจับระดับพฤติกรรมและเครือข่ายมากกว่าการใช้แอนตี้ไวรัสที่ขึ้นกับลายเซ็นเพียงอย่างเดียว การตรวจจับกระบวนการ headless ของเบราว์เซอร์ที่ไม่คาดคิด เซสชัน WebRTC ขาออกที่เริ่มต้นโดยไม่มีปฏิสัมพันธ์จากผู้ใช้ หรือเบราว์เซอร์ที่เปิดผ่านโปรโตคอลอัตโนมัติเช่น CDP นอกบริบทการพัฒนาที่คาดหมาย สามารถช่วยตรวจจับกิจกรรมประเภทนี้ได้ แม้ว่าตัวมัลแวร์จะหลบเลี่ยงการสแกนแบบดั้งเดิมก็ตาม

สิ่งนี้มีความหมายอย่างไรสำหรับคุณ

สำหรับผู้ใช้รายบุคคล การเผชิญหน้ากับ msaRAT โดยตรงขึ้นอยู่กับว่า Chaos ransomware มุ่งเป้าไปที่ผู้บริโภคหรือเน้นที่องค์กรเป็นหลัก ซึ่งมักจะเป็นรูปแบบที่พบบ่อยกว่าสำหรับกลุ่ม ransomware อย่างไรก็ตาม เทคนิคพื้นฐานการซ่อนทราฟฟิกที่เป็นอันตรายภายในกระบวนการเบราว์เซอร์ที่ถูกต้องตามกฎหมาย เป็นกลยุทธ์ที่ครอบครัวมัลแวร์อื่น ๆ มีแนวโน้มที่จะนำไปใช้เมื่อเวลาผ่านไป เนื่องจากดูเหมือนว่ามันมีประสิทธิภาพในการหลบเลี่ยงการตรวจจับ

บทเรียนเชิงปฏิบัติสำหรับผู้ใช้ทั่วไปและผู้ดูแลระบบไอทีเหมือนกันคือ การไว้วางใจแอปพลิเคชันเพียงเพราะมันเป็นที่รู้จักดีและถูกต้องตามกฎหมายนั้นไม่เพียงพออีกต่อไป ข้อความแจ้งเตือนการอัปเดตซอฟต์แวร์ปลอมยังคงเป็นวิธีการส่งมัลแวร์ประเภทนี้ที่พบบ่อย ดังนั้นการตรวจสอบว่าตัวติดตั้งอัปเดตมาจากแหล่งที่เป็นทางการโดยตรงจึงสำคัญกว่าที่เคย VPN สามารถเพิ่มชั้นของทราฟฟิกเครือข่ายที่ถูกเข้ารหัสและซับซ้อน ซึ่งทำให้ผู้โจมตีดักจับหรือจัดการการเชื่อมต่อของคุณได้ยากขึ้น แต่จะไม่หยุดมัลแวร์ที่ทำงานอยู่บนอุปกรณ์ของคุณแล้วจากการละเมิดเบราว์เซอร์ของคุณเอง การป้องกันในกรณีนี้ขึ้นอยู่กับสุขอนามัยซอฟต์แวร์ที่ระมัดระวัง การเฝ้าสังเกตพฤติกรรมของระบบที่ผิดปกติ และการอัปเดตเครื่องมือความปลอดภัยให้รู้จักรูปแบบใหม่ ๆ เหล่านี้มากขึ้น

ข้อสรุปที่นำไปปฏิบัติได้

  • ดาวน์โหลดซอฟต์แวร์และอัปเดตระบบปฏิบัติการจากเว็บไซต์ของผู้จำหน่ายอย่างเป็นทางการหรือกลไกการอัปเดตในตัวเท่านั้น ห้ามใช้จากป๊อปอัปหรือตัวติดตั้งจากบุคคลที่สาม
  • ระวังกระบวนการเบราว์เซอร์ที่ทำงานอยู่เบื้องหลังโดยไม่คาดคิด โดยเฉพาะอินสแตนซ์แบบ headless ที่ไม่สอดคล้องกับสิ่งที่คุณเปิด
  • อัปเดตซอฟต์แวร์ความปลอดภัยเอนด์พอยต์ให้ทันสมัยอยู่เสมอ เนื่องจากผู้จำหน่ายกำลังปรับเปลี่ยนวิธีการตรวจจับเพื่อจับตัวบ่งชี้พฤติกรรมเช่นนี้อย่างต่อเนื่อง แทนที่จะพึ่งพาลายเซ็นไฟล์เพียงอย่างเดียว
  • องค์กรควรพิจารณาการเฝ้าสังเกตการใช้งานโปรโตคอลอัตโนมัติของเบราว์เซอร์เช่น CDP และการเชื่อมต่อ WebRTC ที่ไม่คาดคิดบนอุปกรณ์ที่มีการจัดการ
  • มองว่า VPN เป็นส่วนหนึ่งของกลยุทธ์การป้องกันแบบหลายชั้นที่รวมการป้องกันเอนด์พอยต์และพฤติกรรมการติดตั้งซอฟต์แวร์ที่ระมัดระวัง ไม่ใช่ตัวแก้ปัญหาเดี่ยว ๆ สำหรับ ransomware

ดังที่เครื่องมือ msaRAT ของ Chaos ransomware แสดงให้เห็น ผู้โจมตีกำลังหาวิธีที่สร้างสรรค์มากขึ้นในการซ่อนตัวในที่ที่เราเชื่อถืออยู่แล้ว การติดตามข้อมูลเกี่ยวกับเทคนิคที่พัฒนาขึ้นเหล่านี้ และปรับเปลี่ยนทั้งพฤติกรรมส่วนตัวและเครื่องมือความปลอดภัยให้สอดคล้องกัน ยังคงเป็นวิธีที่น่าเชื่อถือที่สุดในการก้าวนำหน้าพวกมัน