วิธีที่ Gentlemen Ransomware ปิดการใช้งานเครื่องมือความปลอดภัย
แรนซัมแวร์สายพันธุ์ใหม่ที่เพิ่งได้รับการบันทึกข้อมูลชื่อว่า Gentlemen กำลังยกระดับการหลบหลีกบนอุปกรณ์ปลายทางขึ้นไปอีกขั้น ตามรายงานเกี่ยวกับภัยคุกคามดังกล่าว มัลแวร์ได้ติดตั้งไดรเวอร์ระดับเคอร์เนลซึ่งทำการยุติกระบวนการด้านความปลอดภัยเกือบ 180 รายการอย่างเป็นระบบ ก่อนที่จะเริ่มต้นการเข้ารหัสไฟล์ใดๆ ทั้งสิ้น เนื่องจากไดรเวอร์ทำงานในระดับเคอร์เนล ซึ่งเป็นชั้นที่ลึกและมีสิทธิ์พิเศษสูงสุดของระบบปฏิบัติการ มันจึงสามารถปิดการทำงานของโปรแกรมป้องกันไวรัส, เอเจนต์สำหรับการตรวจจับและตอบสนองบนอุปกรณ์ปลายทาง (EDR) และเครื่องมือเฝ้าติดตามอื่นๆ ที่โดยปกติแล้วจะตั้งค่าสถานะหรือขัดขวางกระบวนการเข้ารหัส
ลำดับขั้นตอนนี้มีความสำคัญมาก แรนซัมแวร์แบบดั้งเดิมมักจะกระตุ้นการแจ้งเตือนด้านความปลอดภัยทันทีที่เริ่มสัมผัสไฟล์ ทำให้ฝ่ายป้องกันมีช่วงเวลาสั้นๆ ในการแยกเครื่องหรือยุติกระบวนการ ด้วยการปิดใช้งานซอฟต์แวร์ความปลอดภัยก่อน Gentlemen จึงกำจัดระบบเตือนภัยล่วงหน้านั้นออกไปโดยสิ้นเชิง ขั้นตอนการเข้ารหัสที่ตามมาจึงเกิดขึ้นโดยแทบไร้การต่อต้าน เนื่องจากเครื่องมือที่ออกแบบมาเพื่อตรวจจับมันถูกทำให้เงียบเสียงไปเสียก่อนแล้ว
เหตุใดการฆ่ากระบวนการ EDR และโปรแกรมป้องกันไวรัสจึงเพิ่มความเสี่ยงให้กับองค์กร
สำหรับองค์กรที่พึ่งพาความปลอดภัยบนอุปกรณ์ปลายทางเป็นแนวป้องกันหลัก วิธีการนี้เป็นอันตรายอย่างยิ่ง แพลตฟอร์ม EDR สร้างขึ้นบนสมมติฐานที่ว่าแพลตฟอร์มจะยังคงทำงานและรายงานผลต่อไปแม้ในขณะที่กำลังถูกโจมตี เมื่อไดรเวอร์ระดับเคอร์เนลสามารถลิดรอนการมองเห็นนั้นได้ในคราวเดียว โมเดลการตรวจจับทั้งหมดก็ถูกบั่นทอนในจังหวะที่จำเป็นต้องใช้มากที่สุด
นี่ไม่ใช่เทคนิคที่เกิดขึ้นอย่างโดดเดี่ยว มันเข้ากับรูปแบบที่กว้างขึ้นซึ่งถูกบันทึกไว้ทั่วทั้งภูมิทัศน์ของแรนซัมแวร์ ซึ่งกลุ่มต่างๆ ให้ความสำคัญกับการปิดการใช้งานเครื่องมือป้องกันเป็นขั้นตอนแรกมากขึ้นเรื่อยๆ แทนที่จะเป็นความคิดที่เพิ่งมาคิดได้ในภายหลัง รายงาน Halcyon ไตรมาส 2 ปี 2026 เกี่ยวกับกลุ่มแรนซัมแวร์ที่ปิดการใช้งาน EDR พบว่าแม้ปริมาณการโจมตีด้วยแรนซัมแวร์โดยรวมจะลดลง แต่ความซับซ้อนของเทคนิคที่ใช้ในการทำให้ซอฟต์แวร์ความปลอดภัยตาบอดนั้นกลับเพิ่มขึ้นจริง วิธีการไดรเวอร์ระดับเคอร์เนลของ Gentlemen ดูเหมือนจะเป็นส่วนหนึ่งของแนวโน้มเดียวกันนั้น: การโจมตีโดยรวมน้อยลง แต่แต่ละครั้งถูกออกแบบมาให้โจมตีหนักขึ้นเมื่อสามารถตั้งหลักได้
สำหรับองค์กร สิ่งที่ควรนำไปปฏิบัติคือความปลอดภัยบนอุปกรณ์ปลายทางไม่สามารถเป็นแนวป้องกันเพียงอย่างเดียวได้ หากเทคนิคเพียงหนึ่งเดียวสามารถลบล้างกระบวนการด้านความปลอดภัยได้หลายสิบรายการในคราวเดียว ดังนั้นส่วนที่เหลือของระบบความปลอดภัย ไม่ว่าจะเป็นการแบ่งส่วนเครือข่าย การควบคุมการเข้าถึง และการเฝ้าติดตามภายนอกตัวอุปกรณ์ปลายทางเอง ก็ต้องแข็งแกร่งพอที่จะตรวจจับสิ่งที่อุปกรณ์ปลายทางพลาดไป
VPN และการป้องกันระดับเครือข่ายมีบทบาทอย่างไรในการป้องกันแรนซัมแวร์
นี่คือจุดที่เครื่องมือระดับเครือข่าย รวมถึง VPN มีบทบาทสนับสนุนในกลยุทธ์การป้องกันแบบหลายชั้น VPN จะไม่สามารถหยุดแรนซัมแวร์ไม่ให้เข้ารหัสไฟล์ได้เมื่อมันกำลังทำงานบนอุปกรณ์แล้ว และไม่ควรถูกนำเสนอเป็นวิธีแก้ปัญหาเดียวสำหรับภัยคุกคามอย่าง Gentlemen แต่ VPN และการควบคุมการเข้าถึงเครือข่ายอื่นๆ มีจุดประสงค์ที่แท้จริงในการจำกัดวิธีที่ผู้โจมตีเคลื่อนย้ายข้ามเครือข่าย และวิธีที่พวกเขาสร้างการเข้าถึงครั้งแรกซึ่งนำไปสู่การติดตั้งแรนซัมแวร์ตั้งแต่แรก
การบุกรุกของแรนซัมแวร์จำนวนมากเริ่มต้นจากข้อมูลประจำตัวที่ถูกบุกรุกหรือจุดเชื่อมต่อระยะไกลที่ถูกเปิดเผย ไม่ใช่จากตัวมัลแวร์เอง การจำกัดและเข้ารหัสการเชื่อมต่อระยะไกล การแบ่งส่วนการรับส่งข้อมูลเครือข่าย และการกำหนดให้มีการเข้าถึงที่ผ่านการตรวจสอบยืนยันก่อนที่อุปกรณ์จะสามารถเข้าถึงระบบที่มีความสำคัญ ล้วนลดจำนวนเส้นทางที่ผู้โจมตีต้องใช้เพื่อเข้าถึงเครื่องที่พวกเขาสามารถรันสิ่งที่เป็นอันตรายอย่างไดรเวอร์ระดับเคอร์เนลได้ในที่สุด กล่าวอีกนัยหนึ่ง VPN มีความสำคัญมากที่สุดก่อนที่การโจมตีจะเริ่มต้น ไม่ใช่หลังจากที่ซอฟต์แวร์ความปลอดภัยถูกปิดการใช้งานไปแล้ว
ข้อคิดสำหรับผู้ใช้ทั่วไป: การสำรองข้อมูล, ความปลอดภัยแบบหลายชั้น และการตรวจจับตั้งแต่เนิ่นๆ
ในขณะที่ Gentlemen กำลังถูกพูดถึงในบริบทของการโจมตีองค์กรเป็นหลัก บทเรียนที่ซ่อนอยู่ก็สามารถนำไปใช้กับผู้ใช้รายบุคคลและธุรกิจขนาดเล็กได้เช่นกัน ไม่มีเครื่องมือรักษาความปลอดภัยใดๆ เพียงหนึ่งเดียว ไม่ว่าจะเป็นซอฟต์แวร์ป้องกันไวรัส, เอเจนต์ EDR หรือ VPN ที่สามารถถูกมองว่าเป็นโซลูชันที่สมบูรณ์ได้ด้วยตัวเอง
สิ่งนี้มีความหมายต่อคุณอย่างไร
หากคุณจัดการความปลอดภัยด้านไอทีสำหรับธุรกิจ หรือเพียงแค่ต้องการปกป้องอุปกรณ์ของคุณเองให้มีประสิทธิภาพมากขึ้น ขั้นตอนปฏิบัติบางประการต่อไปนี้จะช่วยลดความเสี่ยงที่คุณจะเผชิญกับการโจมตีเช่นนี้:
- บำรุงรักษาการสำรองข้อมูลแบบออฟไลน์หรือแบบเปลี่ยนแปลงไม่ได้ หากเกิดการเข้ารหัสขึ้นจริง การมีข้อมูลสำรองที่สะอาดซึ่งแรนซัมแวร์ไม่สามารถเข้าถึงได้ก็ยังคงเป็นวิธีที่เร็วที่สุดในการกู้คืนโดยไม่ต้องจ่ายเงินให้ใคร
- วางระบบป้องกันของคุณเป็นชั้นๆ ผสมผสานการป้องกันบนอุปกรณ์ปลายทางเข้ากับการควบคุมระดับเครือข่าย เช่น VPN, ไฟร์วอลล์ และการแบ่งส่วนการเข้าถึง เพื่อไม่ให้เครื่องมือเพียงหนึ่งเดียวที่ถูกปิดการใช้งาน ทำให้คุณตกอยู่ในความเสี่ยงอย่างเต็มที่
- เฝ้าติดตามสัญญาณเตือนล่วงหน้า การติดตั้งไดรเวอร์ที่ผิดปกติ, การยุติกระบวนการที่ไม่คาดคิด, หรือซอฟต์แวร์ความปลอดภัยที่เงียบหายไปอย่างกะทันหัน ล้วนเป็นสัญญาณที่ควรค่าแก่การตรวจสอบในทันทีมากกว่าที่จะมองข้าม
- หมั่นอัปเดตแพตช์และจำกัดสิทธิ์การติดตั้งไดรเวอร์ ไดรเวอร์ระดับเคอร์เนลต้องการสิทธิ์ระดับสูงในการโหลด ดังนั้นการจำกัดว่าใครและอะไรสามารถติดตั้งไดรเวอร์บนระบบได้ จะเป็นการปิดจุดเริ่มต้นที่สำคัญอย่างหนึ่งของ Gentlemen
เทคนิคไดรเวอร์ระดับเคอร์เนลของแรนซัมแวร์ Gentlemen เป็นสิ่งเตือนใจที่ชัดเจนว่าผู้โจมตีกำลังสรรค์สร้างหนทางต่างๆ เพื่อหลีกเลี่ยงเครื่องมือที่ฝ่ายป้องกันพึ่งพามากที่สุดอย่างแข็งขัน การคงความปลอดภัยไว้ได้หมายถึงการคิดให้ไกลกว่าผลิตภัณฑ์ใดๆ เพียงหนึ่งเดียว และสร้างระบบป้องกันที่ซ้อนทับกันหลายชั้น เพื่อที่ว่าเมื่อชั้นการป้องกันหนึ่งล้มเหลว อีกชั้นหนึ่งก็ยังคงตั้งมั่นอยู่ระหว่างข้อมูลของคุณกับผู้โจมตี
