อะไรที่เปลี่ยนแปลง: การย้ายสู่โมเดล RaaS ของ Gunra

เอฟบีไอได้ออกคำเตือนใหม่เกี่ยวกับแรนซัมแวร์ Gunra ภัยคุกคามที่วิวัฒนาการอย่างรวดเร็วจากการดำเนินงานของกลุ่มเดี่ยวไปสู่ธุรกิจแรนซัมแวร์แบบบริการเต็มรูปแบบ (RaaS) ในทางปฏิบัติแล้ว หมายความว่านักพัฒนาดั้งเดิมที่อยู่เบื้องหลัง Gunra ไม่ใช่กลุ่มเดียวที่เปิดการโจมตีอีกต่อไป พวกเขากำลังให้สิทธิ์การใช้งานหรือเช่ามัลแวร์และโครงสร้างพื้นฐานของตนให้กับพันธมิตร (affiliates) ซึ่งเป็นผู้ร่วมก่ออาชญากรรมที่ดำเนินการเจาะระบบจริงและแบ่งผลกำไรกับกลุ่มหลัก

การเปลี่ยนแปลงนี้มีความสำคัญเพราะโมเดล RaaS มักจะเร่งขนาดและขอบเขตของการโจมตี แทนที่จะเป็นทีมเดียวที่ค่อย ๆ เลือกเป้าหมาย พันธมิตรอิสระหลายสิบรายสามารถปรับใช้แรนซัมแวร์เดียวกันพร้อมกันในอุตสาหกรรมและภูมิภาคต่าง ๆ ได้ แต่ละรายนำเทคนิคการเจาะเครือข่ายของตนเองมาใช้ คำแนะนำของเอฟบีไอยืนยันว่า Gunra ยังคงใช้แนวทางข่มขู่สองชั้น (double extortion) คือเข้ารหัสข้อมูลของเหยื่อพร้อมกับขโมยสำเนาข้อมูลนั้น จากนั้นขู่ว่าจะเผยแพร่ไฟล์ที่ถูกขโมยบนเว็บไซต์รั่วไหลโดยเฉพาะ เว้นแต่จะจ่ายค่าไถ่

สำหรับข้อมูลพื้นฐานว่า Gunra สร้างชื่อเสียงอย่างไรก่อนการขยายตัวครั้งนี้ ความครอบคลุมก่อนหน้าของเราเกี่ยวกับ การโจมตีแบบข่มขู่สองชั้นของ Gunra ได้อธิบายว่ากลุ่มนี้ดึงดูดความสนใจของนักวิจัยได้อย่างไรจากการแพร่กระจายอย่างรวดเร็วในหลายภาคส่วน

ทำไมการข่มขู่สองชั้นจึงทำลายแนวป้องกัน "แค่กู้คืนจากแบ็คอัป"

เป็นเวลาหลายปีที่คำแนะนำมาตรฐานสำหรับการเอาชีวิตรอดจากการโจมตีของแรนซัมแวร์นั้นตรงไปตรงมา: เก็บแบ็คอัปที่ดีไว้ และหากถูกโจมตี ให้ล้างระบบที่ติดเชื้อและกู้คืนจากสำเนาที่สะอาด คำแนะนำนั้นยังคงมีความสำคัญ แต่ไม่สามารถแก้ปัญหาทั้งหมดได้อีกต่อไป การข่มขู่สองชั้นของแรนซัมแวร์ Gunra ถูกออกแบบมาเพื่อเอาชนะแนวป้องกันนี้โดยเฉพาะ

นี่คือเหตุผล แม้ว่าองค์กรเหยื่อจะสามารถกู้คืนระบบทั้งหมดจากแบ็คอัปได้อย่างสมบูรณ์และไม่ต้องจ่ายเงินเพื่อปลดล็อกไฟล์ของตนเอง ผู้โจมตีได้ขโมยสำเนาข้อมูลที่ละเอียดอ่อนนั้นไปแล้วก่อนที่จะเข้ารหัสอะไรก็ตาม แบ็คอัปปกป้องจากการสูญเสียข้อมูล แต่ไม่ได้ช่วยหยุดไฟล์ที่ถูกขโมยไม่ให้รั่วไหลหรือถูกขาย เว็บไซต์รั่วไหลของ Gunra มีอยู่เพื่อกดดันชั้นที่สองนี้: ยอมจ่าย หรือไม่ก็บันทึกลูกค้า เอกสารทางการเงิน หรือการสื่อสารภายในของคุณจะถูกเปิดเผยต่อสาธารณะ

นี่คือเหตุผลหลักที่ทีมรักษาความปลอดภัยในปัจจุบันพูดถึงแรนซัมแวร์ในแง่ของการขโมยข้อมูลและการเปิดเผย ไม่ใช่แค่ระบบหยุดชะงัก การกู้คืนการดำเนินงานอย่างรวดเร็วยังคงมีคุณค่า แต่ไม่ได้ลบอำนาจต่อรองที่ผู้โจมตีถือครองเมื่อพวกเขาครอบครองสำเนาข้อมูลของคุณ

ใครเสี่ยงเมื่อพันธมิตรของ Gunra ขยายตัว

เนื่องจากตอนนี้ Gunra ดำเนินงานภายใต้โครงสร้าง RaaS กลุ่มเหยื่อที่มีศักยภาพจึงมีแนวโน้มกว้างขึ้น พันธมิตร RaaS มักจะฉวยโอกาส พวกเขาไม่ได้กำหนดเป้าหมายอุตสาหกรรมใดโดยเฉพาะเสมอไป แต่จะโจมตีองค์กรที่แสดงจุดอ่อนที่สามารถใช้ประโยชน์ได้ เช่น จุดเชื่อมต่อระยะไกลที่เปิดเผย ซอฟต์แวร์ที่ไม่ได้รับการอัปเดต หรือสุขอนามัยของข้อมูลรับรองที่อ่อนแอ ซึ่งหมายความว่าองค์กรหลากหลายขนาดและภาคส่วน ไม่ใช่แค่กิจการขนาดใหญ่ สามารถตกเป็นเป้าหมายเพียงเพราะพวกเขานำเสนอเส้นทางที่ง่ายกว่าในการเจาะ

คำเตือนของเอฟบีไอเป็นสัญญาณว่าผู้ป้องกันในภาครัฐ การดูแลสุขภาพ การเงิน และภาคส่วนอื่น ๆ ควรถือว่า Gunra เป็นภัยคุกคามที่ยังเคลื่อนไหวและกำลังพัฒนา ไม่ใช่เรื่องเฉพาะกลุ่ม เมื่อพันธมิตรมากขึ้นนำเครื่องมือของกลุ่มไปใช้ ปริมาณและความหลากหลายของการโจมตีที่ attributed ให้กับ Gunra มีแนวโน้มเพิ่มขึ้น

การสร้างกลยุทธ์การป้องกันแบบหลายชั้น

ไม่มีเครื่องมือใดเครื่องมือหนึ่งที่หยุดแรนซัมแวร์ได้ด้วยตัวเอง รวมถึง VPN ด้วย VPN ช่วยปกป้องข้อมูลระหว่างการส่งและลดการเปิดเผยทรัพยากรเครือข่ายภายในต่ออินเทอร์เน็ตสาธารณะ แต่ไม่สามารถป้องกันผู้โจมตีไม่ให้ขโมยไฟล์ได้เมื่อพวกเขาอยู่ในระบบที่ถูกบุกรุกแล้วแล้ว คำตอบที่แท้จริงคือการป้องกันแบบหลายชั้น

ชั้นที่ใช้งานได้จริงบางประการที่ควรให้ความสำคัญ:

  • แบ็คอัปออฟไลน์ที่เชื่อถือได้: เก็บแบ็คอัปแยกจากเครือข่ายหลักเพื่อให้แรนซัมแวร์ไม่สามารถเข้าถึงและเข้ารหัสได้เช่นกัน
  • การลดปริมาณข้อมูล: เก็บเฉพาะข้อมูลที่ละเอียดอ่อนที่คุณจำเป็นต้องใช้จริง และลบหรือเก็บถาวรส่วนที่เหลือ ผู้โจมตีไม่สามารถรั่วไหลสิ่งที่คุณไม่ได้ถือครอง
  • การแบ่งส่วนเครือข่ายและการควบคุมการเข้าถึง: จำกัดการเคลื่อนที่ด้านข้างเพื่อให้บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวไม่สามารถเข้าถึงเครือข่ายทั้งหมดของคุณได้
  • เครื่องมือความเป็นส่วนตัวระดับเครือข่าย: VPN และโซลูชันการเข้าถึงระยะไกลที่ปลอดภัยลดพื้นที่การโจมตีที่เปิดเผยต่ออินเทอร์เน็ต ทำให้พันธมิตรหาจุดเข้าที่ง่ายได้ยากขึ้น
  • การจัดการแพตช์: พันธมิตร RaaS จำนวนมากใช้ประโยชน์จากช่องโหว่ที่รู้จักและไม่ได้รับการอัปเดตมากกว่าเทคนิคใหม่ ดังนั้นการอัปเดตให้ทันสมัยจะปิดประตูที่ง่าย

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ไม่ว่าคุณจะดูแลระบบไอทีให้กับธุรกิจขนาดเล็กหรือเพียงจัดการอุปกรณ์ของคุณเอง โมเดลการข่มขู่สองชั้นของแรนซัมแวร์ Gunra เป็นเครื่องเตือนใจว่าการปกป้องข้อมูลเป็นมากกว่าการกู้คืน มันเกี่ยวกับการจำกัดสิ่งที่ผู้โจมตีสามารถขโมยได้ตั้งแต่แรก และลดการเปิดเผยระบบของคุณต่อการสแกนและการใช้ประโยชน์แบบฉวยโอกาส ซึ่งเป็นกิจกรรมประเภทที่เครือข่ายพันธมิตรที่กำลังเติบโตมีแนวโน้มจะก่อขึ้น

ประเด็นสำคัญ

  • แรนซัมแวร์ Gunra ได้ย้ายไปสู่โมเดล RaaS หมายความว่าพันธมิตรมากขึ้นสามารถเปิดการโจมตีโดยใช้เครื่องมือของมันได้
  • การข่มขู่สองชั้นหมายความว่าการจ่ายค่าไถ่เพื่อถอดรหัสไม่ได้ป้องกันข้อมูลที่ถูกขโมยไม่ให้รั่วไหล
  • แบ็คอัปยังคงจำเป็น แต่ต้องจับคู่กับการลดปริมาณข้อมูลและการควบคุมการเข้าถึง
  • เครื่องมือความเป็นส่วนตัวเครือข่ายเช่น VPN เป็นชั้นการป้องกันหนึ่ง ไม่ใช่โซลูชันที่สมบูรณ์
  • การอัปเดตแพตช์ให้ทันสมัยและการจำกัดบริการที่เปิดเผยต่ออินเทอร์เน็ตช่วยลดโอกาสในการตกเป็นเป้าหมายง่ายของพันธมิตรที่กำลังขยายตัว