StormEncryptor ทำอะไรและแพร่กระจายผ่านเครื่องมือ RMM อย่างไร

แรนซัมแวร์สายพันธุ์ใหม่ที่ชื่อว่า StormEncryptor กำลังถูกใช้งานโดยกลุ่มภัยคุกคามที่เชื่อมโยงกับจีน ตามรายงานเกี่ยวกับแคมเปญนี้ แทนที่จะอาศัยเพียงอีเมลฟิชชิงหรือช่องโหว่ซอฟต์แวร์เท่านั้น ผู้โจมตีกลับใช้เครื่องมือเฝ้าติดตามและจัดการระยะไกล (RMM) ซึ่งเป็นซอฟต์แวร์เดียวกันกับที่ทีมไอทีใช้ดูแลและแก้ไขปัญหาคอมพิวเตอร์จากระยะไกลทั่วทั้งองค์กร

รายละเอียดนี้สำคัญ แพลตฟอร์ม RMM ถูกออกแบบมาให้ได้รับความไว้วางใจ โดยทั่วไปทำงานด้วยสิทธิ์ระดับสูงและได้รับอนุญาตให้เลี่ยงการควบคุมความปลอดภัยหลายอย่าง เพราะองค์กรจำเป็นต้องใช้เครื่องมือเหล่านี้ทำงาน เมื่อผู้โจมตีเจาะหรือยึดเครื่องมือ RMM ได้ พวกเขาก็ได้รับสิทธิ์การเข้าถึงที่ได้รับความไว้วางใจแบบเดียวกัน ทำให้สามารถเคลื่อนย้ายข้ามเครือข่าย วางแรนซัมแวร์ และเข้าถึงระบบอ่อนไหวโดยไม่กระตุ้นสัญญาณเตือนทันที นี่เป็นกลยุทธ์ที่ดึงดูดผู้เล่นภัยคุกคามมากขึ้นเรื่อย ๆ เพราะมันผสมกิจกรรมอันตรายเข้ากับเสียงรบกวนปกติของการดำเนินงานไอทีที่ถูกต้องตามกฎหมาย

เหตุใดแรนซัมแวร์แบบรีดไถสองชั้นจึงกลายเป็นมาตรฐาน

แรนซัมแวร์แบบดั้งเดิมมีข้อเสนอเรียบง่าย: จ่ายเงิน หรือไม่ก็สูญเสียการเข้าถึงไฟล์ของคุณตลอดไป โมเดลนั้นล้าสมัยไปมากแล้ว StormEncryptor เข้าข่ายรูปแบบที่กว้างขึ้นซึ่งนักวิจัยด้านความปลอดภัยติดตามมานานหลายปี โดยการเข้ารหัสเป็นเพียงครึ่งแรกของการโจมตี ครึ่งหลังซึ่งมักเรียกว่าการรีดไถสองชั้น คือการคัดลอกข้อมูลอ่อนไหวอย่างเงียบ ๆ ก่อนที่ไฟล์จะถูกล็อก แล้วข่มขู่ว่าจะเผยแพร่หรือขายข้อมูลนั้นหากไม่จ่ายค่าไถ่

การเปลี่ยนแปลงนี้ทำให้ผู้เสียหายต้องคิดต่างออกไป แม้แต่องค์กรที่มีระบบสำรองข้อมูลที่แข็งแกร่ง ซึ่งทำให้กู้คืนไฟล์ที่ถูกเข้ารหัสได้โดยไม่ต้องจ่าย ก็ยังเจอกับภัยคุกคามว่าข้อมูลที่ถูกขโมยอาจถูกเผยแพร่หรือนำออกประมูล การรีดไถสองชั้นเปลี่ยนความไม่สะดวกทางเทคนิคให้เป็นวิกฤตด้านชื่อเสียงและกฎหมาย เนื่องจากข้อมูลที่รั่วไหลอาจรวมถึงบันทึกลูกค้า เอกสารทางการเงิน หรือการสื่อสารภายในที่กระตุ้นการตรวจสอบจากหน่วยงานกำกับดูแลและภาระหน้าที่ในการแจ้งเตือนเหตุละเมิดข้อมูล

กลุ่มภัยคุกคามที่เชื่อมโยงกับรัฐและความเสี่ยงที่เพิ่มขึ้นของการขโมยข้อมูล

สิ่งที่ทำให้ StormEncryptor แตกต่างจากอาชญากรรมไซเบอร์ทั่วไปคือความเชื่อมโยงที่รายงานกับกลุ่มที่เชื่อมโยงกับจีน ผู้เล่นภัยคุกคามที่เชื่อมโยงกับรัฐหรือได้รับการยอมรับจากรัฐ มักทำงานด้วยทรัพยากรที่มากกว่า ความอดทนมากกว่า และมักมีวัตถุประสงค์กว้างกว่ากลุ่มอาชญากรที่มุ่งเงินเพียงอย่างเดียว แม้แคมเปญจะดูเหมือนแรนซัมแวร์มาตรฐานบนพื้นผิว แต่การมีส่วนเกี่ยวข้องของกลุ่มที่ต้องสงสัยว่าเชื่อมโยงกับรัฐชาติ ทำให้เกิดคำถามว่าข้อมูลที่ถูกขโมยอาจถูกใช้เพื่อวัตถุประสงค์ด้านข่าวกรองนอกเหนือไปจากผลตอบแทนทางการเงินหรือไม่

รูปแบบนี้สะท้อนแนวโน้มที่กว้างขึ้นของกลุ่มที่มีแรงจูงใจทางการเมืองหรือภูมิรัฐศาสตร์ที่ผสานกลยุทธ์รีดไถแบบดั้งเดิมเข้ากับวาระอื่น ๆ มากขึ้น เราเคยเห็นพลวัตคล้ายกันเมื่อ กลุ่มแฮกทิวิสต์ข่มขู่โจมตีสถาบัน EU ด้วยไซเบอร์ กรณีข้อพิพาทนโยบาย ซึ่งแสดงให้เห็นว่าปฏิบัติการไซเบอร์ไม่ได้แยกจากภูมิรัฐศาสตร์หรือการขับเคลื่อนประเด็นอีกต่อไป สำหรับธุรกิจ ผลกระทบในทางปฏิบัติเหมือนกันไม่ว่าแรงจูงใจจะเป็นอย่างไร: ข้อมูลอ่อนไหวไปอยู่นอกเหนือการควบคุมของคุณ พร้อมผลที่อาจสะเทือนไปหลายปี ความเสี่ยงนั้นทวีขึ้นด้วยเศรษฐกิจข้อมูลที่กว้างขึ้น ซึ่งบันทึกที่ถูกขโมยสามารถกระจายไปไกลกว่าผู้โจมตีเดิม เป็นข้อกังวลที่ผู้บัญญัติกฎหมายพยายามแก้ไขผ่านความพยายามอย่าง ร่างกฎหมายของผู้แทน Burchett ที่มุ่งเป้าช่องโหว่นายหน้าข้อมูล

การป้องกันเชิงปฏิบัติ: การสำรองข้อมูล การแบ่งเครือข่าย และการเข้ารหัสระบบสำคัญ

ข่าวดีคือพื้นฐานการป้องกันแรนซัมแวร์ยังไม่เปลี่ยน แม้ผู้โจมตีจะปรับปรุงวิธีการส่งมอบก็ตาม มีลำดับความสำคัญบางข้อที่โดดเด่นเมื่อพิจารณาจากวิธีที่ StormEncryptor ถูกรายงานว่าทำงาน:

  • ตรวจสอบและจำกัดการเข้าถึง RMM เครื่องมือจัดการระยะไกลทุกตัวควรต้องมีการยืนยันตัวตนหลายปัจจัย จำกัดให้ใช้จากช่วง IP ที่เฉพาะเจาะจงเมื่อเป็นไปได้ และเฝ้าติดตามอย่างใกล้ชิดเพื่อดูเวลาล็อกอินหรือรูปแบบคำสั่งที่ผิดปกติ
  • แบ่งเครือข่ายของคุณ หากเครื่องมือ RMM หรือเครื่องเวิร์กสเตชันเครื่องเดียวถูกเจาะ การแบ่งเครือข่ายจะจำกัดว่าผู้โจมตีจะกระจายไปได้ไกลแค่ไหนก่อนจะเจอทางตัน
  • รักษาการสำรองข้อมูลแบบออฟไลน์และผ่านการทดสอบแล้ว ข้อมูลสำรองที่เข้าถึงได้จากเครือข่ายหลักเท่านั้นอาจถูกเข้ารหัสไปพร้อมกับข้อมูลอื่น ๆ ได้ การสำรองข้อมูลแบบออฟไลน์หรือแบบแก้ไขไม่ได้ยังคงเป็นประกันที่น่าเชื่อถือที่สุดต่อการรีดไถจากการเข้ารหัส
  • เข้ารหัสข้อมูลอ่อนไหวขณะจัดเก็บ หากผู้โจมตีสามารถนำไฟล์ออกไปได้จริง ข้อมูลที่เข้ารหัสแล้วจะมีประโยชน์น้อยกว่ามากสำหรับใช้ต่อรอง เพราะไม่สามารถอ่านหรือขายต่อได้ง่าย

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณทำธุรกิจขนาดเล็กหรือจัดการไอทีให้องค์กร เรื่องนี้เป็นเครื่องเตือนใจว่าเครื่องมือที่คุณไว้ใจที่สุด เช่น ซอฟต์แวร์เฝ้าติดตามระยะไกล จำเป็นต้องได้รับการตรวจสอบเข้มงวดเช่นเดียวกับสิ่งที่เผชิญอินเทอร์เน็ตสาธารณะ ผู้โจมตีมองหาเส้นทางที่มีแรงต้านน้อยที่สุดอยู่เสมอ และข้อมูลรับรอง RMM ที่ถูกเจาะอาจเงียบกว่าการโจมตีแบบบรูทฟอร์ซมาก แม้แต่ผู้ใช้รายบุคคลก็ควรใส่ใจ: แคมเปญรีดไถสองชั้นมักเริ่มจากข้อมูลรับรองที่ถูกขโมยหรือข้อมูลที่เก็บรวบรวมผ่านการเฝ้าติดตามและติดตามในชีวิตประจำวัน ซึ่งเป็นเหตุผลที่การเข้าใจความเสี่ยงที่เปิดกว้างของคุณจึงสำคัญ คู่มือการเฝ้าระวังที่ขับเคลื่อนด้วย AI ของเราจะอธิบายขั้นตอนปฏิบัติเพื่อลดร่องรอยข้อมูลที่กลุ่มแบบนี้พยายามใช้ประโยชน์ในที่สุด

ประเด็นสำคัญ

แรนซัมแวร์ StormEncryptor และกลยุทธ์รีดไถสองชั้นตอกย้ำความจริงง่าย ๆ: การเข้ารหัสเป็นเพียงส่วนหนึ่งของการโจมตีแรนซัมแวร์สมัยใหม่ และการขโมยข้อมูลมักเป็นครึ่งที่สร้างความเสียหายมากกว่า องค์กรควรปฏิบัติต่อเครื่องมือ RMM ว่าเป็นเป้าหมายมูลค่าสูงที่ต้องมีการควบคุมการเข้าถึงที่เข้มงวด ลงทุนในการสำรองข้อมูลแบบออฟไลน์ที่ผู้บุกรุกไม่สามารถแตะต้องได้ระหว่างการเจาะระบบที่กำลังดำเนินอยู่ และเข้ารหัสข้อมูลอ่อนไหวเพื่อให้มูลค่าลดลงแม้ถูกขโมย ไม่มีเครื่องมือตัวใดตัวเดียวที่หยุดการโจมตีแบบนี้ได้ การป้องกันหลายชั้น ควบคู่กับความเข้าใจชัดเจนว่าข้อมูลของคุณอยู่ที่ไหนและใครเข้าถึงได้บ้าง ยังคงเป็นวิธีที่มีประสิทธิภาพที่สุดในการลดความเสี่ยงจากแคมเปญแรนซัมแวร์ที่สร้างบนการรีดไถสองชั้น