การโจมตีแรนซัมแวร์ Cl0p กระหน่ำบริษัทใหญ่ทั่วโลกโดยไม่ล็อกไฟล์แม้แต่ไฟล์เดียว
การโจมตีระลอกใหม่ที่เชื่อมโยงกับกลุ่มแรนซัมแวร์ Cl0p ได้เข้าโจมตีบริษัทใหญ่ๆ ทั่วโลก และวิธีการดังกล่าวมีความน่าสนใจตรงที่สิ่งที่มันไม่ได้ทำ ต่างจากแรนซัมแวร์แบบดั้งเดิม Cl0p ไม่ได้เข้ารหัสระบบของเหยื่อเลยแม้แต่น้อย แต่กลับคัดลอกไฟล์สำคัญอย่างเงียบๆ แล้วข่มขู่จะเผยแพร่ไฟล์เหล่านั้นบนเว็บไซต์รั่วไหลโดยเฉพาะ เว้นแต่เหยื่อจะยอมจ่ายเงิน ไม่มีการเข้ารหัสฐานข้อมูล ไม่มีข้อความเรียกค่าไถ่ที่เรียกร้องคีย์ถอดรหัส มีเพียงการข่มขู่ว่าจะเปิดเผยข้อมูลเท่านั้น
แนวทางนี้ซึ่งมักเรียกว่าการข่มขู่เรียกค่าไถ่ด้วยการขโมยข้อมูล กลายเป็นลายเซ็นเฉพาะตัวของ Cl0p และการโจมตีบริษัททั่วโลกระลอกล่าสุดนี้แสดงให้เห็นว่าวิธีนี้มีประสิทธิภาพเพียงใด แม้ไม่มีการหยุดชะงักที่เกิดจากการล็อกระบบก็ตาม
อะไรที่ทำให้เพลย์บุ๊กของ Cl0p แตกต่าง
กลุ่มแรนซัมแวร์ส่วนใหญ่ทำตามสคริปต์ที่คุ้นเคย: เจาะเข้าเครือข่าย เข้ารหัสไฟล์ให้ได้มากที่สุด แล้วเรียกร้องเงินเพื่อแลกกับคีย์ถอดรหัส โมเดลนั้นอาศัยการสร้างความโกลาหลในการปฏิบัติงาน เมื่อโรงพยาบาลเข้าถึงบันทึกผู้ป่วยไม่ได้หรือโรงงานเดินสายการผลิตไม่ได้ แรงกดดันให้จ่ายเงินก็เกิดขึ้นทันทีและรุนแรง
Cl0p ละทิ้งแนวทางนั้นเป็นส่วนใหญ่ ด้วยการข้ามขั้นตอนการเข้ารหัส altogether กลุ่มนี้จึงหลีกเลี่ยงการทำให้เหยื่อรู้ตัวผ่านความล้มเหลวของระบบที่ชัดเจน ข้อมูลสามารถถูกสูบออกไปได้หลายวันหรือหลายสัปดาห์ก่อนที่ใครจะสังเกตเห็นว่ามีบางอย่างผิดปกติ การข่มขู่เรียกค่าไถ่จะเกิดขึ้นทีหลัง มักจะหลังจากที่ผู้โจมตีตรวจสอบสิ่งที่ขโมยมาแล้วและระบุเนื้อหาที่สร้างความเสียหายมากที่สุดเพื่อใช้ข่มขู่
นี่ไม่ใช่กลยุทธ์ใหม่สำหรับกลุ่มนี้ Cl0p มีประวัติที่บันทึกไว้อย่างดีในการกำหนดเป้าหมายซอฟต์แวร์องค์กรที่ใช้งานอย่างแพร่หลายแทนที่จะเลือกบริษัททีละแห่ง แคมเปญก่อนหน้านี้ได้โจมตี ระบบ PTC Windchill และ FlexPLM ซึ่งเป็นแพลตฟอร์มองค์กรที่ใช้ในอุตสาหกรรมการผลิตและการออกแบบผลิตภัณฑ์ การโจมตีอีกระลอกหนึ่งกำหนดเป้าหมาย แพลตฟอร์มการจัดการวงจรชีวิตผลิตภัณฑ์ที่สร้างบน PTC Windchill โดยเฉพาะ ซึ่งแสดงให้เห็นรูปแบบที่ชัดเจน: หาช่องโหว่หนึ่งในซอฟต์แวร์ที่ติดตั้งใช้งานอย่างกว้างขวาง จากนั้นโจมตีทุกองค์กรที่ใช้งานมัน
เหตุใดการกำหนดเป้าหมายซอฟต์แวร์ ไม่ใช่แค่บริษัท จึงขยายความเสียหายได้
นี่คือสิ่งที่แยก Cl0p ออกจากแก๊งแรนซัมแวร์ที่ฉวยโอกาส กลุ่มนี้ไม่ได้เลือกเป้าหมายทีละราย แต่กลับใช้ช่องโหว่เพียงจุดเดียวในซอฟต์แวร์ที่องค์กรหลายร้อยหรือหลายพันแห่งใช้งานพร้อมกัน นั่นหมายความว่าการเจาะช่องโหว่สำเร็จเพียงครั้งเดียวสามารถสร้างเหยื่อได้หลายสิบรายในอุตสาหกรรมที่ไม่เกี่ยวข้องกันเลย ตั้งแต่การผลิตไปจนถึงโลจิสติกส์และการบริการระดับมืออาชีพ
บริษัทใหญ่ๆ ที่ตกเป็นเหยื่อในการโจมตีระลอกล่าสุดนี้อาจมีอะไรที่เหมือนกันน้อยมากนอกจากการรันซอฟต์แวร์ที่มีช่องโหว่เดียวกันหรือระบบที่เปิดเผยเดียวกัน นั่นคือประเด็น โมเดลของ Cl0p มองการขโมยข้อมูลเป็นเกมตัวเลข: เหวี่ยงแหกว้างผ่านโครงสร้างพื้นฐานที่ใช้ร่วมกัน จากนั้นค่อยคัดเลือกว่าเหยื่อรายใดคุ้มค่าที่จะกดดันหลังจากได้ข้อมูลมาแล้ว
เหตุใดการขโมยข้อมูลจึงสำคัญพอๆ กับการเข้ารหัส
เป็นเวลาหลายปีที่การรายงานข่าวแรนซัมแวร์ให้ความสำคัญกับการเข้ารหัสเป็นหลัก เพราะมันเป็นส่วนที่มองเห็นได้ชัดและก่อให้เกิดการหยุดชะงักของการโจมตี แต่การขึ้นมาของ Cl0p เป็นเครื่องเตือนใจว่าข้อมูลที่ถูกขโมยไปนั้นคือสกุลเงินที่แท้จริงของอาชญากรรมไซเบอร์ยุคใหม่ แม้ไม่ต้องล็อกระบบแม้แต่ระบบเดียว ผู้โจมตีก็สามารถดึงข้อมูลบันทึกลูกค้า ข้อมูลทางการเงิน ทรัพย์สินทางปัญญา หรือการสื่อสารภายใน จากนั้นใช้การข่มขู่ว่าจะเปิดเผยต่อสาธารณะเป็นเครื่องต่อรอง
นี่สำคัญเพราะผลที่ตามมาของการโจมตีแบบขโมยข้อมูลไม่ได้จบลงเมื่อข้อเรียกร้องค่าไถ่ได้รับการจัดการ ข้อมูลที่ถูกขโมยอาจถูกขายต่อ ถูกทำให้รั่วไหลแม้จะจ่ายเงินแล้ว หรือถูกใช้ในการหลอกลวงต่อเนื่องและการขโมยตัวตนไปอีกนานหลังจากข่าวคราวจางหายไป
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณเป็นพนักงาน ลูกค้า หรือพันธมิตรของบริษัทที่ใช้ซอฟต์แวร์องค์กรที่ได้รับผลกระทบจากแคมเปญลักษณะนี้ ข้อมูลส่วนตัวหรือข้อมูลทางการเงินของคุณอาจถูกเปิดเผยได้แม้คุณจะไม่เคยโต้ตอบกับผู้โจมตีโดยตรงก็ตาม การข่มขู่เรียกค่าไถ่ด้วยการขโมยข้อมูลไม่จำเป็นต้องให้องค์กรของคุณประสบกับการหยุดชะงักที่มองเห็นได้เพื่อให้ข้อมูลของคุณตกอยู่ในความเสี่ยง
สำหรับองค์กร การเปลี่ยนแปลงนี้เน้นย้ำถึงความจำเป็นในการปฏิบัติต่อการเปิดเผยข้อมูลเป็นภัยคุกคามระดับสูงสุดเทียบเท่ากับความพร้อมใช้งานของระบบ การป้องกันที่เน้นการเข้ารหัส เช่น การสำรองข้อมูล จะไม่สามารถหยุดกลุ่มที่ไม่ได้แตะต้องความสมบูรณ์ของไฟล์ของคุณตั้งแต่แรกได้ การจัดการช่องโหว่ โดยเฉพาะสำหรับซอฟต์แวร์บุคคลที่สามที่ใช้งานอย่างแพร่หลาย และการเฝ้าระวังการส่งข้อมูลออกนอกเครือข่ายที่ผิดปกตินั้นสำคัญกว่าที่เคย
ข้อสรุปที่นำไปปฏิบัติได้
จงตื่นตัวต่อการแจ้งเตือนการละเมิดข้อมูลจากบริการใดก็ตามที่คุณใช้ แม้แต่บริการที่ไม่เอ่ยถึงการเข้ารหัสหรือแรนซัมแวร์โดยตรง เปิดใช้งานการยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้ เนื่องจากข้อมูลประจำตัวที่ถูกขโมยมักเป็นจุดเริ่มต้นของแคมเปญเหล่านี้ ตรวจสอบเป็นประจำว่าคุณได้แบ่งปันข้อมูลส่วนตัวอะไรกับผู้ให้บริการบ้าง และพิจารณาลดการเปิดเผยข้อมูลที่ไม่จำเป็น องค์กรควรให้ความสำคัญกับการอัปเดตซอฟต์แวร์องค์กรที่เชื่อมต่ออินเทอร์เน็ตอย่างรวดเร็ว เนื่องจากประวัติของ Cl0p แสดงให้เห็นว่ากลุ่มนี้ชอบใช้ระบบเหล่านี้เป็นจุดเข้าถึงในวงกว้าง ในขณะที่การข่มขู่เรียกค่าไถ่ด้วยการขโมยข้อมูลกลายเป็นกลยุทธ์ที่ได้รับความนิยมในภูมิทัศน์แรนซัมแวร์ การติดตามข่าวสารว่าแพลตฟอร์มและผู้ให้บริการรายใดได้รับผลกระทบถือเป็นหนึ่งในขั้นตอนที่ปฏิบัติได้จริงที่สุดที่ทั้งบุคคลและธุรกิจสามารถทำได้
