CISA, FBI เปิดเผยรายละเอียดสองช่องโหว่ที่หนุนแรนซัมแวร์ Gunra

สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (CISA), เอฟบีไอ และพันธมิตรภาครัฐ ได้เผยแพร่รายละเอียดทางเทคนิคเพิ่มเติมเกี่ยวกับวิธีที่ผู้โจมตีแรนซัมแวร์ Gunra เจาะเข้าสู่เครือข่ายของเหยื่อ ตามประกาศเตือนร่วมล่าสุด กลุ่มพันธมิตร Gunra กำลังได้จุดตั้งต้นแรกผ่านช่องโหว่ที่ทราบแล้วสองรายการในอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ต ซึ่งเป็นฮาร์ดแวร์ขอบเครือข่าย เกตเวย์ VPN ไฟร์วอลล์ และอุปกรณ์สำหรับการเข้าถึงระยะไกล ที่ตั้งอยู่ที่ขอบเขตเครือข่ายของแทบทุกองค์กร

นี่คือการติดตามคำเตือนก่อนหน้านี้เกี่ยวกับปฏิบัติการแรนซัมแวร์แบบบริการ (Ransomware-as-a-Service) ซึ่งหน่วยงานต่าง ๆ เคยตั้งข้อสังเกตว่ามี การพุ่งเป้าไปยังภาคการดูแลสุขภาพ และใช้ แผนการรีดไถสองต่อ เชิงรุกที่ผสมผสานการขโมยข้อมูลเข้ากับการเข้ารหัสไฟล์ คำแนะนำใหม่นี้มุ่งเจาะจงที่กลไกของการบุกรุกเอง ทำให้ฝ่ายป้องกันเห็นภาพชัดเจนขึ้นว่าควรเพ่งความสนใจไปที่ใด

ช่องโหว่ที่ผู้โจมตี Gunra กำลังใช้ประโยชน์

ตามประกาศเตือนดังกล่าว ผู้โจมตี Gunra ไม่ได้พึ่งพาการโจมตีช่องโหว่ซีโร่เดย์แบบใหม่ แต่กำลังใช้ประโยชน์จากช่องโหว่ที่ทราบแล้วสองรายการในอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ต ซึ่งเป็นซอฟต์แวร์และอุปกรณ์ที่องค์กรเปิดสู่โลกอินเทอร์เน็ตสาธารณะเพื่อให้รองรับการทำงานระยะไกล การเชื่อมต่อระหว่างไซต์ หรือบริการภายนอก รูปแบบนี้สอดคล้องกับวิธีที่พันธมิตรแรนซัมแวร์แบบบริการส่วนใหญ่ดำเนินการ กล่าวคือ แทนที่จะลงทุนพัฒนาช่องโหว่ราคาแพง พวกเขาสแกนอินเทอร์เน็ตมองหาระบบที่ยังไม่แพตช์ แล้วเดินผ่านประตูที่ควรปิดไปแล้ว บทเรียนสำหรับฝ่ายป้องกันนั้นตรงไปตรงมา ช่องโหว่ที่ทราบแล้วยังคงอันตรายไปอีกนานหลังจากถูกเปิดเผย เพราะรอบการแพตช์ภายในองค์กรจริงมักช้ากว่าจังหวะที่ผู้โจมตีนำโค้ดช่องโหว่สาธารณะมาดัดแปลงเป็นอาวุธ

วิธีที่ Gunra ยึดฐานที่มั่นเมื่อเจาะเข้ามาได้แล้ว

เมื่อพันธมิตรของ Gunra ใช้ประโยชน์จากจุดทางเข้าเหล่านี้ได้สำเร็จ พวกเขาจะใช้การเข้าถึงนั้นเพื่อเคลื่อนลึกเข้าไปในเครือข่าย อุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ต เช่น เครื่องรวม VPN และไฟร์วอลล์ เป็นเป้าหมายที่น่าสนใจ เพราะการเจาะเข้าไปได้มักทำให้ได้ระดับความเชื่อถือที่ระบบภายในมองว่าถูกต้องตามกฎหมาย จากจุดนั้น ผู้โจมตีสามารถฝังตัวถาวร เก็บเกี่ยวข้อมูลรับรองตัวตน และเริ่มทำแผนที่เครือข่ายเพื่อเตรียมพร้อมสำหรับขั้นตอนการขโมยข้อมูลและการเข้ารหัสไฟล์ซึ่งเป็นนิยามของโมเดลรีดไถสองต่อของ Gunra เนื่องจากการเจาะระบบแรกเริ่มเกิดขึ้นที่ขอบเครือข่าย องค์กรที่มองอุปกรณ์ขอบเขตเป็นโครงสร้างพื้นฐานแบบ "ติดตั้งแล้วลืม" จึงมีความเสี่ยงเป็นพิเศษ อุปกรณ์เหล่านี้มักถูกติดตั้งครั้งเดียว ตั้งค่าโดยเน้นความพร้อมใช้งานมากกว่าความปลอดภัย แล้วปล่อยทิ้งให้ทำงานหลายปีโดยไม่มีการทบทวนเฟิร์มแวร์หรือแพตช์

ขั้นตอนการแพตช์และการตั้งค่าเพื่อปิดช่องโหว่

คำแนะนำหลักของประกาศเตือนนี้ใช้ได้ในวงกว้างกับแคมเปญแรนซัมแวร์ ไม่ใช่แค่ Gunra นั่นคือ จงแพตช์อุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตทันที และจัดลำดับความสำคัญของช่องโหว่ที่ทราบแล้วและถูกโจมตีจริงมากกว่าการอัปเดตตามปกติ ทีมไอทีและความมั่นคงปลอดภัยควรเก็บบัญชีอุปกรณ์ทุกตัวที่เปิดสู่โลกอินเทอร์เน็ตให้เป็นปัจจุบัน รวมถึงเกตเวย์ VPN ไฟร์วอลล์ และเครื่องมือการเข้าถึงระยะไกล และยืนยันว่าอุปกรณ์แต่ละตัวรันเวอร์ชันที่ยังได้รับการสนับสนุนและอัปเดตแล้ว ในกรณีที่ไม่สามารถแพตช์ได้ทันที องค์กรควรพิจารณานำบริการที่ได้รับผลกระทบออกจากระบบหรือจำกัดการเข้าถึงจนกว่าจะติดตั้งแพตช์ได้ การยืนยันตัวตนหลายขั้นตอนบนจุดเข้าถึงระยะไกลทุกจุด ควบคู่กับการบันทึกบันทึกและการแจ้งเตือนกิจกรรมการเข้าสู่ระบบที่ผิดปกติ ช่วยเพิ่มการต้านทานอีกชั้นหนึ่งแม้อุปกรณ์จะมีช่องโหว่ที่ยังไม่แพตช์ก็ตาม

เหตุใดการควบคุมการเข้าถึง VPN และการแบ่งเครือข่ายจึงจำกัดการแพร่กระจายของแรนซัมแวร์

แม้จะมีการแพตช์อย่างเข้มงวด แต่ไม่มีองค์กรใดรับประกันได้ว่าจะไร้ความเสี่ยงตลอดเวลา ด้วยเหตุนี้การควบคุมการเข้าถึงและการแบ่งเครือข่ายจึงสำคัญไม่แพ้การแก้ไขตั้งแต่แรก การเข้าถึง VPN ควรถูกกำหนดขอบเขตอย่างรัดกุม โดยให้สิทธิ์ผู้ใช้เฉพาะส่วนเครือข่ายที่จำเป็นจริง ๆ แทนที่จะให้เข้าถึงสภาพแวดล้อมทั้งหมดแบบกว้าง ๆ การแบ่งเครือข่ายเพื่อให้อุปกรณ์ขอบเครือข่ายที่ถูกเจาะไม่สามารถเข้าถึงระบบอ่อนไหว เซิร์ฟเวอร์สำรอง หรือโดเมนคอนโทรลเลอร์ได้โดยตรง อาจเป็นข้อแตกต่างระหว่างเหตุการณ์ที่ควบคุมได้กับเหตุการณ์แรนซัมแวร์เต็มรูปแบบ มาตรการควบคุมเหล่านี้ไม่ได้ป้องกันการบุกรุกทุกกรณี แต่ช่วยชะลอผู้โจมตีและซื้อเวลาให้ฝ่ายป้องกันตรวจพบและตอบสนองก่อนเกิดการเข้ารหัสและการขโมยข้อมูลออกไป

สิ่งนี้มีความหมายต่อคุณอย่างไร

สำหรับผู้ดูแลระบบไอทีและทีมความมั่นคงปลอดภัย ประกาศเตือนนี้เป็นเครื่องย้ำเตือนว่ากลุ่มแรนซัมแวร์อย่าง Gunra ยังคงประสบความสำเร็จด้วยการฉวยใช้พื้นฐาน ได้แก่ ระบบที่ไม่ได้แพตช์และการเข้าถึงเครือข่ายที่เปิดกว้างเกินไป ไม่ใช่การโจมตีแบบใหม่ที่ซับซ้อน การป้องกันแรนซัมแวร์ Gunra อย่างมีประสิทธิผลเริ่มจากการตรวจสอบอุปกรณ์ทุกตัวที่องค์กรของคุณเปิดสู่โลกอินเทอร์เน็ตอย่างตรงไปตรงมา หากคุณดำเนินงานในภาคการดูแลสุขภาพหรือภาคส่วนอื่นที่ถูกระบุในประกาศเตือน Gunra ก่อนหน้า ความเร่งด่วนก็ยิ่งสูงขึ้น เนื่องจากกลุ่มนี้ได้แสดงให้เห็นแล้วว่าพร้อมพุ่งเป้าไปที่สภาพแวดล้อมเหล่านั้นโดยเฉพาะ

ข้อปฏิบัติที่นำไปใช้ได้

องค์กรควรจัดทำบัญชีอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตทั้งหมด รวมถึงเกตเวย์ VPN และไฟร์วอลล์ และยืนยันสถานะการแพตช์เทียบกับช่องโหว่ที่ทราบแล้ว จำกัดการเข้าถึงระยะไกลด้วยการยืนยันตัวตนหลายขั้นตอนและสิทธิ์ VPN แบบให้สิทธิ์น้อยที่สุด แบ่งเครือข่ายเพื่อให้อุปกรณ์ที่ถูกเจาะเพียงตัวเดียวไม่สามารถเปิดทางไปยังข้อมูลสำรองหรือระบบวิกฤตได้ ทบทวนประกาศเตือนก่อนหน้าของ CISA, FBI และ NSA เกี่ยวกับการพุ่งเป้าภาคการดูแลสุขภาพและกลยุทธ์รีดไถสองต่อของ Gunra เพื่อดูตัวบ่งชี้ทางเทคนิคฉบับเต็มและแนวทางเฉพาะรายภาคส่วนที่จำเป็นต่อการสร้างแผนป้องกันที่ครบถ้วน