DeadLock ปิดการทำงานของ Windows Defender และลบข้อมูลสำรองได้อย่างไร

DeadLock เป็นปฏิบัติการแรนซัมแวร์ที่มีแรงจูงใจทางการเงิน ซึ่งได้รับความสนใจจากการผสานเทคนิคการบุกรุกที่คุ้นเคยกับโครงสร้างพื้นฐานที่ถูกสร้างขึ้นมาเพื่อต้านทานความพยายามในการปิดกั้นโดยเฉพาะ นักวิจัยด้านความปลอดภัยที่ติดตามกลุ่มนี้ระบุว่า ผู้ดำเนินการของ DeadLock ไม่ได้แค่ปล่อยมัลแวร์และหวังว่ามันจะรอดพ้นจากเครื่องมือรักษาความปลอดภัย แต่พวกเขาทำให้ระบบป้องกันของเหยื่อไร้ความสามารถอย่างเป็นระบบก่อนที่การเข้ารหัสจะเริ่มต้นขึ้น

กระบวนการดังกล่าวมักเริ่มด้วยการปิดการทำงานของ Windows Defender ซึ่งเป็นการลบระบบป้องกันในตัวที่หลายองค์กรพึ่งพาเป็นแนวป้องกันหลัก จากนั้น DeadLock มุ่งเป้าไปที่ระบบสำรองข้อมูล ซึ่งเป็นขั้นตอนที่สร้างความเสียหายอย่างยิ่ง เพราะข้อมูลสำรองมักเป็นวิธีที่เร็วที่สุดที่เหยื่อจะกู้คืนระบบโดยไม่ต้องจ่ายค่าไถ่ สุดท้าย กลุ่มนี้จะล้างบันทึกเหตุการณ์ของ Windows เพื่อลบร่องรอยทางนิติวิทยาศาสตร์จำนวนมากที่ผู้ตอบสนองเหตุการณ์ปกติจะใช้ในการสืบสวนย้อนรอยการโจมตีและทำความเข้าใจว่ามันเกิดขึ้นได้อย่างไร

การผสมผสานนี้เป็นไปอย่างตั้งใจ กว่าที่ไฟล์จะถูกเข้ารหัสจริง องค์กรเหยื่อได้สูญเสียตาข่ายความปลอดภัยและความสามารถในการสืบสวนการบุกรุกไปมากแล้ว นี่ไม่ใช่มัลแวร์ที่ฉวยโอกาส แต่เป็นการปฏิบัติการที่มีโครงสร้างชัดเจน ออกแบบมาเพื่อเพิ่มอำนาจต่อรองเหนือเหยื่อให้มากที่สุด

เหตุใดการรักษาความปลอดภัยปลายทางเพียงอย่างเดียวจึงไม่เพียงพอต่อแรนซัมแวร์สมัยใหม่

คู่มือการโจมตีของ DeadLock เป็นเครื่องเตือนใจอย่างชัดเจนว่าแอนตี้ไวรัสปลายทาง แม้จะเป็นผลิตภัณฑ์ที่มีความสามารถอย่าง Windows Defender ก็ไม่ใช่โซลูชันแบบแยกเดี่ยว หากผู้ดำเนินการแรนซัมแวร์ได้รับสิทธิ์มากเพียงพอในเครือข่ายที่จะปิดการใช้งานซอฟต์แวร์ความปลอดภัย ลบข้อมูลสำรอง และล้างบันทึกเหตุการณ์ นั่นหมายความว่าพวกเขาได้เคลื่อนตัวผ่านจุดที่เครื่องมือเพียงตัวเดียวจะหยุดยั้งพวกเขาได้ไปแล้ว

กลุ่มแรนซัมแวร์สมัยใหม่วางแผนสำหรับสถานการณ์เช่นนี้มากขึ้นเรื่อยๆ พวกเขาคาดว่าฝ่ายป้องกันมีแอนตี้ไวรัสทำงานอยู่ และจึงสร้างขั้นตอนไว้เพื่อปิดหรือหลีกเลี่ยงมันโดยเฉพาะ นั่นเป็นการเปลี่ยนสมรภูมิที่แท้จริงจาก "แอนตี้ไวรัสจะตรวจจับไฟล์ได้ไหม" ไปเป็น "จะสามารถตรวจจับและหยุดยั้งการเคลื่อนที่ด้านข้าง การยกระดับสิทธิ์ หรือกิจกรรมทางการดูแลระบบที่ผิดปกติได้เร็วแค่ไหนก่อนที่การเข้ารหัสจะเริ่มต้น"

นี่คือสาเหตุที่ทีมความปลอดภัยพูดถึงการตรวจจับและการตอบสนองมากขึ้น แทนที่จะพึ่งพาการป้องกันเพียงอย่างเดียว ข้อมูลประจำตัวที่ถูกบุกรุกเพียงชุดเดียวหรือระบบที่ตั้งค่าผิดพลาด ก็อาจเพียงพอให้ผู้โจมตีเข้าถึงจุดที่พวกเขากำลังปิดระบบป้องกันแทนที่จะหลีกเลี่ยงมัน เครื่องมือปลายทางยังคงมีคุณค่า แต่มันทำงานได้ดีที่สุดเมื่อเป็นหนึ่งในหลายชั้น ไม่ใช่แนวป้องกันสุดท้าย

การป้องกันหลายชั้น: การแบ่งส่วนเครือข่าย, VPN และข้อมูลสำรองแบบออฟไลน์

เนื่องจากกลยุทธ์ของ DeadLock มุ่งเน้นที่การกำจัดตัวเลือกการกู้คืนของเหยื่อ มาตรการรับมือที่มีประสิทธิภาพที่สุดจึงเน้นไปที่การจำกัดขอบเขตที่ผู้โจมตีสามารถเคลื่อนที่ไปได้ และทำให้แน่ใจว่ามีเส้นทางการกู้คืนที่ผู้โจมตีเข้าถึงไม่ได้

การแบ่งส่วนเครือข่ายเป็นหนึ่งในขั้นตอนที่ใช้งานได้จริงมากที่สุดที่องค์กรสามารถทำได้ ด้วยการแบ่งเครือข่ายออกเป็นโซนย่อยที่แยกจากกัน เวิร์กสเตชันหรือเซิร์ฟเวอร์ที่ถูกบุกรุกจะไม่ให้เส้นทางแก่ผู้โจมตีไปยังเซิร์ฟเวอร์สำรองข้อมูล โดเมนคอนโทรลเลอร์ หรือระบบที่มีมูลค่าสูงอื่นๆ โดยอัตโนมัติ การจำกัดขอบเขตเช่นนี้อาจเป็นความแตกต่างระหว่างเหตุการณ์ที่ควบคุมได้กับการปิดระบบทั้งองค์กร

การเข้าถึงระยะไกลที่ปลอดภัยก็มีความสำคัญไม่แพ้กัน VPN และเครื่องมือการเข้าถึงแบบเข้ารหัสอื่นๆ ช่วยให้มั่นใจได้ว่า การเชื่อมต่อเข้าสู่เครือข่ายองค์กร โดยเฉพาะอย่างยิ่งสำหรับพนักงานระยะไกลและผู้ค้าบุคคลที่สาม ได้รับการรับรองความถูกต้องและเฝ้าระวัง แทนที่จะปล่อยไว้เหมือนประตูที่เปิดอยู่ เมื่อรวมกับการควบคุมการเข้าถึงที่เข้มงวด จะช่วยลดจำนวนจุดเข้าที่ผู้โจมตีอย่างผู้ดำเนินการของ DeadLock สามารถใช้หาช่องทางในการตั้งหลักก่อนที่จะยกระดับสิทธิ์

ข้อมูลสำรองแบบออฟไลน์หรือแบบไม่เปลี่ยนรูปสมควรได้รับความสนใจเป็นพิเศษ เนื่องจาก DeadLock มุ่งเน้นที่การทำลายข้อมูลกู้คืนโดยเฉพาะ ข้อมูลสำรองที่ถูกตัดการเชื่อมต่อจากเครือข่าย หรือถูกจัดเก็บในลักษณะที่ป้องกันการแก้ไขแม้กระทั่งจากบัญชีผู้ดูแลระบบ จะไม่สามารถถูกลบหรือเข้ารหัสไปพร้อมกับระบบที่ใช้งานจริง การทดสอบอย่างสม่ำเสมอว่าข้อมูลสำรองเหล่านี้กู้คืนได้ถูกต้องจริง มีความสำคัญพอๆ กับการรักษาข้อมูลสำรองเหล่านั้นไว้ตั้งแต่แรก

กลยุทธ์ของ DeadLock เปิดเผยอะไรเกี่ยวกับโครงสร้างพื้นฐานแรนซัมแวร์แบบกระจายศูนย์

นอกเหนือจากขั้นตอนทางเทคนิคที่ใช้กับเหยื่อแต่ละรายแล้ว การเลือกโครงสร้างพื้นฐานของ DeadLock ยังชี้ให้เห็นถึงแนวโน้มในวงกว้างในหมู่ผู้ดำเนินการแรนซัมแวร์ นั่นคือการสร้างระบบที่ถูกออกแบบมาให้อยู่รอดจากแรงกดดันของหน่วยงานบังคับใช้กฎหมายและความพยายามในการปราบปราม โครงสร้างพื้นฐานแบบกระจายศูนย์ทำให้ผู้ป้องกันและเจ้าหน้าที่ทำลายปฏิบัติการทั้งหมดด้วยการกำหนดเป้าหมายไปที่เซิร์ฟเวอร์หรือโดเมนเดียวได้ยากขึ้น หมายความว่ากลุ่มสามารถดำเนินการต่อไปได้แม้หลังจากบางส่วนของเครือข่ายถูกเปิดเผยหรือยึด

ความยืดหยุ่นนี้สะท้อนถึงสิ่งที่เกิดขึ้นหลังจากหนึ่งในการบุกรุกที่ได้รับการยืนยันของ DeadLock การรั่วไหลของข้อมูลจากแรนซัมแวร์ DeadLock ที่เปิดเผยบันทึกนับทศวรรษของ Diater แสดงให้เห็นว่าการบุกรุกที่สำเร็จเพียงครั้งเดียวสามารถก่อให้เกิดความเสียหายได้มากเพียงใดเมื่อข้อมูลสำรองและความสามารถในการตรวจจับถูกกำจัดออกไป และผลกระทบที่ยาวนานต่อองค์กรและบุคคลที่ข้อมูลของพวกเขาเกี่ยวข้องนั้นเป็นอย่างไร

สิ่งนี้หมายถึงอะไรสำหรับคุณ

สำหรับผู้อ่านส่วนใหญ่ เป้าหมายของ DeadLock คือองค์กรมากกว่าบุคคล แต่บทเรียนพื้นฐานนี้ใช้ได้ในวงกว้าง หากคุณดูแลระบบไอทีให้กับธุรกิจ หรือคุณรับผิดชอบในการปกป้องข้อมูลที่ละเอียดอ่อนไม่ว่าประเภทใดก็ตาม จงสันนิษฐานไว้ก่อนว่าผู้โจมตีที่มุ่งมั่นและตั้งหลักได้แล้ว จะพยายามปิดการใช้งานเครื่องมือความปลอดภัยของคุณและทำลายข้อมูลสำรองของคุณ ไม่ใช่แค่เข้ารหัสไฟล์ วางแผนการป้องกันของคุณโดยยึดเอาสมมติฐานนั้น แทนที่จะหวังว่าแอนตี้ไวรัสเพียงอย่างเดียวจะตรวจจับความพยายามครั้งแรกได้

สำหรับพนักงานและผู้ทำงานระยะไกล นี่ยังตอกย้ำถึงคุณค่าของการใช้การเชื่อมต่อที่ปลอดภัยและเฝ้าระวัง แทนที่จะใช้การเข้าถึงระยะไกลแบบชั่วคราวเมื่อเชื่อมต่อกับระบบงาน เนื่องจากจุดเข้าที่อ่อนแอคือสิ่งที่ปฏิบัติการอย่าง DeadLock พึ่งพาในการเริ่มต้น

ข้อสรุปที่นำไปปฏิบัติได้

  • อย่าพึ่งพาแอนตี้ไวรัสปลายทางเป็นเพียงการป้องกันเดียว จับคู่กับการเฝ้าระวังการยกระดับสิทธิ์ที่ผิดปกติและการเคลื่อนที่ด้านข้าง
  • แบ่งส่วนเครือข่ายเพื่อให้อุปกรณ์ที่ถูกบุกรุกเครื่องเดียวไม่สามารถเข้าถึงระบบสำรองข้อมูลหรือโครงสร้างพื้นฐานที่สำคัญ
  • เก็บรักษาข้อมูลสำรองแบบออฟไลน์หรือแบบไม่เปลี่ยนรูป และทดสอบการกู้คืนอย่างสม่ำเสมอ
  • ใช้ VPN และการรับรองความถูกต้องที่แข็งแกร่งสำหรับการเข้าถึงระยะไกล เพื่อลดจุดเข้าที่เปิดเผย
  • ทบทวนเหตุการณ์ในโลกจริง เช่น การละเมิดข้อมูลของ Diater ที่เชื่อมโยงกับ DeadLock เพื่อเข้าใจถึงผลเสียที่เกิดขึ้นจริงหากละเลยการป้องกันหลายชั้น

การป้องกันแรนซัมแวร์ DeadLock ไม่ใช่เรื่องของการหาเครื่องมือที่สมบูรณ์แบบเพียงชิ้นเดียว แต่มันคือการสร้างระบบป้องกันที่ซ้อนทับกัน เพื่อที่แม้ชั้นหนึ่งจะล้มเหลว ผู้โจมตีก็ยังต้องเผชิญกับอุปสรรคก่อนที่จะไปถึงจุดที่ไม่มีทางย้อนกลับ