ปฏิบัติการแรนซัมแวร์ที่รู้จักกันในชื่อ DeadLock ได้ค้นพบวิธีใหม่ในการรักษาโครงสร้างพื้นฐานการโจมตีของมันให้คงอยู่ นั่นคือการซ่อนส่วนหนึ่งของการตั้งค่าคำสั่งและควบคุม (Command-and-Control: C2) ไว้บนบล็อกเชน Polygon กลุ่มนี้ซึ่งอ้างว่าโจมตีเหยื่อไปแล้วกว่า 80 รายทั่วโลกผ่านการรีดไถข้อมูลสองชั้น กำลังใช้หลักการกระจายศูนย์แบบเดียวกับที่ขับเคลื่อนคริปโตเคอร์เรนซี เพื่อทำให้ปฏิบัติการของมันยากต่อการปิดระบบโดยฝ่ายป้องกันและหน่วยงานบังคับใช้กฎหมาย

DeadLock ซ่อนโครงสร้างพื้นฐานคำสั่งควบคุมบน Polygon ได้อย่างไร

แรนซัมแวร์แบบดั้งเดิมพึ่งพาเซิร์ฟเวอร์ที่นักวิจัยด้านความปลอดภัยและหน่วยงานบังคับใช้กฎหมายสามารถระบุตัวตน ยึด หรือทำการ Sinkhole ได้เมื่อค้นพบ แต่ผู้ปฏิบัติการของ DeadLock ดูเหมือนจะหลีกเลี่ยงช่องโหว่นั้นด้วยการจัดเก็บข้อมูลการตั้งค่า C2 ไว้บนบล็อกเชน Polygon โดยตรง ซึ่งเป็นเครือข่ายสาธารณะที่มักใช้สำหรับธุรกรรมคริปโตเคอร์เรนซีและแอปพลิเคชันแบบกระจายศูนย์

การเขียนรายละเอียดการตั้งค่าลงในธุรกรรมบล็อกเชนหรือสัญญาอัจฉริยะ (Smart Contract) ทำให้มัลแวร์สามารถดึงคำสั่งจากแหล่งที่ไม่ได้ถูกโฮสต์อยู่บนเซิร์ฟเวอร์ใดเซิร์ฟเวอร์หนึ่งโดยเฉพาะ ไม่มีโดเมนให้ยึด และไม่มีผู้ให้บริการโฮสติ้งรายใดให้กดดันให้หยุดให้บริการ ตราบใดที่เครือข่าย Polygon เองยังทำงานอยู่ ข้อมูลที่ DeadLock พึ่งพาก็ยังคงเข้าถึงได้ นี่สะท้อนให้เห็นถึงแนวโน้มที่กว้างขึ้นที่ทีมรักษาความปลอดภัยได้ตั้งข้อสังเกตไว้ในตระกูลมัลแวร์อื่นๆ ที่ทดลองใช้โครงสร้างพื้นฐานบนเชน แต่การที่มันปรากฏขึ้นในแคมเปญแรนซัมแวร์ที่กำลังดำเนินการอยู่ ยิ่งตอกย้ำว่าเทคนิคเหล่านี้แพร่กระจายออกไปจากการวิจัยพิสูจน์แนวคิดได้รวดเร็วเพียงใด

วิธีการนี้ต่อยอดจากกลยุทธ์ที่ DeadLock ได้แสดงให้เห็นแล้วว่าพร้อมที่จะใช้อย่างรุนแรง ดังที่รายงานก่อนหน้านี้โดยละเอียดเกี่ยวกับวิธีที่ แรนซัมแวร์ DeadLock ฆ่า Defender, การสำรองข้อมูล และบันทึกเหตุการณ์ กลุ่มนี้ใช้วิธีการเจาะระบบที่คุ้นเคยควบคู่ไปกับการมุ่งเน้นกำจัดสิ่งใดก็ตามที่อาจช่วยให้เหยื่อกู้คืนระบบ หรือให้ผู้ตรวจสอบแกะรอยการโจมตีได้โดยเจตนา

เหตุใด C2 บนบล็อกเชนจึงถูกปิดระบบได้ยากกว่าเซิร์ฟเวอร์แบบดั้งเดิม

การปิดระบบแรนซัมแวร์โดยทั่วไปขึ้นอยู่กับการระบุและขัดขวางจุดล้มเหลวแบบรวมศูนย์ เช่น เซิร์ฟเวอร์คำสั่ง ผู้รับจดทะเบียนโดเมน หรือบริษัทโฮสติ้งที่พร้อมให้ความร่วมมือ บล็อกเชนสาธารณะไม่มีจุดเป้าหมายเดี่ยวแบบนั้น Polygon ก็เหมือนกับเครือข่ายบล็อกเชนอื่นๆ ที่ถูกกระจายไปทั่วโหนดอิสระหลายพันโหนด โดยไม่มีผู้ปฏิบัติงานกลางที่สามารถลบธุรกรรมหรือบล็อกที่อยู่ได้ง่ายๆ

ความยืดหยุ่นนั้นคือเหตุผลที่แน่ชัดว่าทำไมบัญชีแยกประเภทแบบกระจายศูนย์จึงน่าสนใจสำหรับผู้โจมตีที่ต้องการอยู่รอดจากความพยายามของหน่วยงานที่บังคับใช้กฎหมาย แม้ว่านักวิจัยด้านความปลอดภัยจะระบุสัญญาหรือที่อยู่กระเป๋าเงินเฉพาะที่ DeadLock ใช้งานอยู่ การลบข้อมูลนั้นออกจากบล็อกเชนก็ไม่ใช่เรื่องที่เป็นไปได้เมื่อมันถูกบันทึกไปแล้ว ผู้ตรวจสอบสามารถเฝ้าติดตามกิจกรรมและอาจแกะรอยไปยังกระเป๋าเงินที่เกี่ยวข้องได้ แต่พวกเขาไม่สามารถใช้กลไกแบบเดียวกับที่ใช้กับเซิร์ฟเวอร์เช่าที่ตั้งอยู่ในดาต้าเซ็นเตอร์ได้ สิ่งนี้เปลี่ยนสมดุลของการต่อสู้: ฝ่ายป้องกันต้องมุ่งเน้นไปที่การตรวจจับพฤติกรรมของมัลแวร์บนระบบที่ติดเชื้อมากขึ้น แทนที่จะพึ่งพาการขัดขวางห่วงโซ่อุปทานของโครงสร้างพื้นฐานของมัน

ใครคือเป้าหมาย และการรีดไถข้อมูลสองชั้นหมายความว่าอย่างไรสำหรับเหยื่อ

จำนวนเหยื่อของ DeadLock ซึ่งตอนนี้มีมากกว่า 80 องค์กรทั่วโลก สะท้อนให้เห็นถึงรูปแบบการรีดไถข้อมูลสองชั้นที่กลายเป็นมาตรฐานในหมู่กลุ่มแรนซัมแวร์ที่แสวงหาผลประโยชน์ทางการเงิน มัลแวร์จะเข้ารหัสไฟล์ของเหยื่อ ตัดการเข้าถึงระบบที่สำคัญ ในขณะที่ผู้ปฏิบัติการก็ขู่ไปพร้อมกันว่าจะรั่วไหลข้อมูลที่ถูกขโมยไปสู่สาธารณะหากไม่จ่ายค่าไถ่ นี่ทำให้เหยื่อมีเหตุผลสองประการที่ต้องจ่าย: เพื่อกู้คืนการดำเนินงานและป้องกันการเปิดเผยข้อมูลที่สร้างความเสียหาย

ผลลัพธ์ของภัยคุกคามที่สองนั้นปรากฏชัดเจนในกรณีที่เคยนำเสนอบนเว็บไซต์นี้ไปแล้ว ซึ่ง การละเมิดข้อมูลโดยแรนซัมแวร์ DeadLock ทำให้ข้อมูลความยาวนับทศวรรษของ Diater รั่วไหล บริษัทชีวเภสัชภัณฑ์ที่ข้อมูลด้านสุขภาพที่ละเอียดอ่อนตกอยู่ในความเสี่ยง เหตุการณ์นั้นแสดงให้เห็นว่าแคมเปญรีดไถข้อมูลสองชั้นไม่ได้จบลงที่การตัดสินใจเรื่องการจ่ายค่าไถ่ ข้อมูลที่รั่วไหลสามารถแพร่กระจายต่อไปได้นานหลังจากที่การโจมตีได้รับการแก้ไขแล้ว ส่งผลกระทบต่อผู้ป่วย ลูกค้า หรือคู่ค้าที่ไม่มีส่วนเกี่ยวข้องโดยตรงกับการละเมิดข้อมูล

สิ่งนี้มีความหมายอย่างไรต่อคุณ

ผู้อ่านส่วนใหญ่จะไม่ใช่เป้าหมายโดยตรงของกลุ่มแรนซัมแวร์อย่าง DeadLock แต่ผลกระทบระลอกจากการโจมตีเหล่านี้จะไปถึงคนทั่วไปที่มีข้อมูลส่วนบุคคลอยู่ในระบบขององค์กรที่เป็นเป้าหมาย การตั้งค่า C2 ที่ต้านทานต่อการถูกปิดระบบบนบล็อกเชนไม่ได้เปลี่ยนสิ่งที่เกิดขึ้นกับคุณเมื่อถูกละเมิดข้อมูล: ข้อมูลของคุณยังคงสามารถรั่วไหลออกไปได้ ไม่ว่าโครงสร้างพื้นฐานแบ็กเอนด์ของผู้โจมตีจะซับซ้อนเพียงใดก็ตาม

การป้องกันในทางปฏิบัติต่อแรนซัมแวร์อย่าง DeadLock

ปัจจัยพื้นฐานจำนวนหนึ่งยังคงมีความสำคัญมากกว่าผลิตภัณฑ์ด้านความปลอดภัยใดๆ เพียงชนิดเดียว รักษาการสำรองข้อมูลแบบออฟไลน์ที่ไม่สามารถเปลี่ยนแปลงได้ ซึ่งแรนซัมแวร์ไม่สามารถเข้าถึงหรือลบไปพร้อมกับระบบหลักของคุณได้ แบ่งส่วนเครือข่าย (Segmentation) เพื่อให้อุปกรณ์ปลายทางที่ถูกบุกรุกเพียงเครื่องเดียวไม่สามารถลุกลามไปเข้ารหัสไดรฟ์และเซิร์ฟเวอร์ที่แชร์ได้ทั้งหมด อัปเดตเครื่องมือตรวจจับบนอุปกรณ์ปลายทาง (Endpoint Detection) ให้ทันสมัยอยู่เสมอ และเฝ้าติดตามพฤติกรรมที่เกี่ยวข้องกับการปิดใช้งานซอฟต์แวร์ความปลอดภัยหรือการล้างบันทึกเหตุการณ์ (Event Logs) ซึ่งเป็นรูปแบบที่ DeadLock เคยใช้ก่อนเข้าควบคุมเครือข่ายได้อย่างสมบูรณ์

การเกิดขึ้นของความต้านทานต่อการถูกปิดระบบของ C2 แบบบล็อกเชนโดยแรนซัมแวร์ เป็นเครื่องเตือนใจว่าผู้โจมตีกำลังปรับตัวได้เร็วกว่าที่เครื่องมือป้องกันใดๆ จะตามทัน การรักษาความปลอดภัยแบบหลายชั้น (Layered Security) การสำรองข้อมูลที่มีการทดสอบแล้ว และการตรวจจับที่รวดเร็วยังคงเป็นวิธีที่น่าเชื่อถือที่สุดในการจำกัดความเสียหายเมื่อการป้องกันเพียงอย่างเดียวไม่เพียงพอ การติดตามข้อมูลเกี่ยวกับวิธีการดำเนินงานของกลุ่มอย่าง DeadLock และดำเนินขั้นตอนการป้องกันขั้นพื้นฐานตั้งแต่ตอนนี้ ยังคงเป็นวิธีที่ใช้ได้จริงที่สุดในการลดความเสี่ยงของคุณจากการตกเป็นข่าวการละเมิดข้อมูลในครั้งต่อไป