แก๊งแรนซัมแวร์ที่มีเหยื่อ 483 รายและชุดเครื่องมือที่กำลังขยายตัว

ปฏิบัติการแรนซัมแวร์ที่รู้จักในชื่อ The Gentlemen มีรายงานว่าได้โจมตีเหยื่อ 483 รายโดยการรวมเครื่องมือมัลแวร์สองชนิดที่แตกต่างกัน ได้แก่ ยูทิลิตี้หลบเลี่ยงการตรวจจับที่เรียกว่า GentleKiller และโทรจันควบคุมระยะไกลชื่อ EtherRAT เครื่องมือเหล่านี้ร่วมกันช่วยให้กลุ่มสามารถปิดการทำงานซอฟต์แวร์รักษาความปลอดภัยบนเครื่องของเหยื่อ และรักษาช่องทางการสื่อสารสั่งการและควบคุมที่ซ่อนเร้นซึ่งผู้ป้องกันยากจะปิดกั้นได้

กลุ่มนี้ซึ่งนักวิจัยด้านความมั่นคงปลอดภัยเชื่อมโยงกับการโจมตีองค์กรต่างๆ เช่น ลานน้ำแข็งในเนเธอร์แลนด์ที่ครอบคลุมในรายงานของเราเกี่ยวกับ การโจมตี Thialf โดยแก๊งแรนซัมแวร์ The Gentlemen ได้ขยายขอบเขตการโจมตีอย่างต่อเนื่อง แทนที่จะพึ่งพาช่องโหว่ใหม่เพียงช่องทางเดียว ความสำเร็จของแก๊งนี้ดูเหมือนมาจากการรวมเทคนิคการหลบเลี่ยงที่รู้จักกันดีหลายอย่างเข้าเป็นแพ็คเกจอัตโนมัติเดียว แล้วนำแพ็คเกจนั้นไปใช้ซ้ำกับเป้าหมายจำนวนมาก

GentleKiller ปราบซอฟต์แวร์รักษาความปลอดภัยได้อย่างไร

หัวใจของแคมเปญนี้คือ GentleKiller เครื่องมือที่สร้างขึ้นรอบเทคนิคที่เรียกกันทั่วไปว่า BYOVD หรือ "นำไดรเวอร์ที่มีช่องโหว่มาด้วยตัวเอง" ในแง่ง่ายๆ ผู้โจมตีจะติดตั้งไดรเวอร์ฮาร์ดแวร์หรือซอฟต์แวร์ที่ถูกต้องตามกฎหมายแต่มีข้อบกพร่องลงบนคอมพิวเตอร์ของเหยื่อ เนื่องจากไดรเวอร์นั้นมักมีการลงนามแบบดิจิทัลและได้รับความไว้วางใจจาก Windows จึงสามารถทำงานด้วยสิทธิพิเศษระดับระบบที่ลึกซึ้ง ผู้โจมตีจะใช้ประโยชน์จากจุดอ่อนที่รู้จักในไดรเวอร์นั้นเพื่อปิดการทำงานหรือทำให้ซอฟต์แวร์รักษาความปลอดภัยที่ทำงานบนเครื่องมองไม่เห็นอะไร ซึ่งเท่ากับเปลี่ยนซอฟต์แวร์ที่เชื่อถือได้ให้กลายเป็นอาวุธต่อสู้กับเครื่องมือที่ตั้งใจจะหยุดมัน

ตามรายงานเกี่ยวกับแคมเปญนี้ GentleKiller ถูกใช้เพื่อเอาชนะผลิตภัณฑ์ของผู้จำหน่ายซอฟต์แวร์รักษาความปลอดภัยถึง 48 ราย ตัวเลขนั้นมีความสำคัญเพราะแสดงให้เห็นว่าเครื่องมือนี้ไม่ได้ถูกออกแบบมาเพื่อหลบเลี่ยงโปรแกรมแอนตี้ไวรัสเพียงหนึ่งหรือสองโปรแกรมโดยเฉพาะ แต่ถูกสร้างขึ้นเป็นเฟรมเวิร์กที่กว้างและนำกลับมาใช้ใหม่ได้ ซึ่งสามารถทำให้ผลิตภัณฑ์ป้องกันภัยคุกคามบนอุปกรณ์ปลายทางส่วนใหญ่ในตลาดเป็นกลางได้ ซึ่งสะท้อนรูปแบบที่เราติดตามมาก่อนในรายงานของเราเกี่ยวกับ วิธีที่ The Gentlemen แรนซัมแวร์ทำให้เครื่องมือ EDR ตาบอด ซึ่งผู้ปฏิบัติการของกลุ่มแสดงความสนใจอย่างสม่ำเสมอในการปิดการตรวจจับก่อนที่จะส่งเพย์โหลดเข้ารหัสจริง

EtherRAT และจุดพลิกผันของบล็อกเชน

องค์ประกอบที่สอง EtherRAT จัดการการสื่อสารแบบสั่งการและควบคุม (C2) ซึ่งเป็นช่องทางที่ผู้โจมตีใช้ส่งคำสั่งไปยังเครื่องที่ติดไวรัสและรับข้อมูลที่ขโมยมาหรือรายงานสถานะกลับมา สิ่งที่ทำให้ EtherRAT โดดเด่นคือรายงานว่ามันใช้โครงสร้างพื้นฐานบล็อกเชนเพื่อจุดประสงค์นี้ เซิร์ฟเวอร์ C2 แบบดั้งเดิมสามารถระบุตัวตนและปิดกั้นได้โดยนักวิจัยหรือหน่วยงานบังคับใช้กฎหมายเมื่อถูกค้นพบ การส่งการสื่อสารผ่านกลไกที่ใช้บล็อกเชนทำให้การปิดกั้นแบบนั้นยากขึ้นอย่างมาก เนื่องจากข้อมูลบล็อกเชนกระจายตัวและทนทานต่อการปิดจุดเดียว

การผสมผสานนี้ระหว่างตัวฆ่าระบบป้องกันที่ใช้ไดรเวอร์กับช่องทาง C2 ที่ยืดหยุ่น สะท้อนแนวโน้มที่กว้างขึ้นในหมู่ปฏิบัติการแรนซัมแวร์แบบบริการ (Ransomware-as-a-Service): สร้างครั้งเดียว ขายหรือให้สิทธิ์ใช้งานอย่างกว้างขวาง แล้วให้พันธมิตรดำเนินแคมเปญขนาดใหญ่ต่อเป้าหมายที่หลากหลาย รวมถึงธุรกิจขนาดเล็กและขนาดกลางที่ถูกกลุ่มต่างๆ ซึ่งแข่งขันกันเพื่อแย่งส่วนแบ่งตลาด เลือกโจมตีมากขึ้นเรื่อยๆ ดังที่เราให้รายละเอียดในบทความเกี่ยวกับ Qilin และ The Gentlemen ที่เพิ่มการโจมตี SMB

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณดูแลระบบไอทีของธุรกิจ หรือแม้เพียงใส่ใจความปลอดภัยของเครือข่ายในบ้าน บทเรียนหลักที่นี่ไม่เฉพาะเจาะจงกับ The Gentlemen แต่มันเกี่ยวกับข้อจำกัดของการพึ่งพาผลิตภัณฑ์รักษาความปลอดภัยเพียงตัวเดียว เครื่องมือที่สามารถเอาชนะผู้จำหน่ายได้ถึง 48 รายแสดงให้เห็นว่าแอนตี้ไวรัสหรือซอฟต์แวร์ตรวจจับภัยคุกคามบนอุปกรณ์ปลายทางเพียงอย่างเดียวไม่สามารถถือเป็นการป้องกันที่สมบูรณ์ได้

สำหรับบุคคลทั่วไป ความเสี่ยงในทางปฏิบัติต่ำกว่าแต่ไม่ใช่ศูนย์: แก๊งแรนซัมแวร์มักเข้าถึงระบบครั้งแรกผ่านอีเมลฟิชชิ่ง บริการเข้าถึงระยะไกลที่เปิดเผย หรือซอฟต์แวร์ที่ไม่ได้รับการอัปเดต ซึ่งเป็นจุดเข้าช่องทางเดียวกับที่ทำให้ข้อมูลส่วนบุคคลและเครือข่ายในบ้านตกอยู่ในความเสี่ยง การอัปเดตระบบให้ทันสมัย การใช้รหัสผ่านที่ไม่ซ้ำกัน และความระมัดระวังกับไฟล์แนบที่ไม่ได้รับการร้องขอยังคงเป็นการป้องกันพื้นฐานไม่ว่ามัลแวร์เบื้องหลังจะซับซ้อนแค่ไหน

สำหรับองค์กร แคมเปญนี้เป็นเครื่องเตือนใจว่าการจ่ายค่าไถ่ไม่ได้รับประกันความปลอดภัยในอนาคต ดังที่ครอบคลุมในการวิเคราะห์ก่อนหน้าของเราเกี่ยวกับ การศึกษา Proofpoint เรื่องผู้จ่ายค่าไถ่แรนซัมแวร์ ประมาณหนึ่งในสามของบริษัทที่จ่ายค่าไถ่จะตกเป็นเป้าหมายอีกครั้ง การป้องกันแบบหลายชั้น การสำรองข้อมูลแบบออฟไลน์ และนโยบายอนุญาตรายการไดรเวอร์ (driver allow-listing) ที่จำกัดว่าไดรเวอร์ระดับเคอร์เนลใดโหลดได้นั้นเป็นมาตรการป้องกันที่คงทนกว่าการหวังว่าเครื่องมือรักษาความปลอดภัยตัวเดียวจะจับภัยคุกคามได้ทั้งหมด

บทสรุป

  • อย่าพึ่งพาผลิตภัณฑ์รักษาความปลอดภัยเพียงตัวเดียว การป้องกันแบบหลายชั้นสำคัญกว่าเมื่อผู้โจมตีออกแบบเครื่องมือเพื่อเลี่ยงผู้จำหน่ายรายใดรายหนึ่งโดยเฉพาะ
  • จำกัดไดรเวอร์ที่สามารถโหลดบนระบบของคุณ เนื่องจากการโจมตีแบบ BYOVD ขึ้นอยู่กับการติดตั้งไดรเวอร์ภายนอกที่มีสิทธิ์เข้าถึงเคอร์เนล
  • เก็บการสำรองข้อมูลแบบออฟไลน์และผ่านการทดสอบ เพื่อให้การติดเชื้อแรนซัมแวร์ไม่บังคับให้ต้องตัดสินใจจ่ายเงิน
  • มองอีเมล ลิงก์ และคำขอเข้าถึงระยะไกลที่ไม่คาดคิดด้วยความระมัดระวัง เนื่องจากการเข้าถึงครั้งแรกยังคงเริ่มต้นด้วยวิศวกรรมสังคมพื้นฐานหรือซอฟต์แวร์ที่ไม่ได้รับการอัปเดต
  • ติดตามข้อมูลเกี่ยวกับกลุ่ม เช่น ปฏิบัติการแรนซัมแวร์ The Gentlemen อย่างต่อเนื่อง เนื่องจากเครื่องมือและเป้าหมายของพวกเขายังคงพัฒนาไปเรื่อยๆ