คำแนะนำร่วมจาก FBI, CISA, NSA, ศูนย์อาชญากรรมไซเบอร์ของกระทรวงกลาโหม และหน่วยงานความมั่นคงไซเบอร์ของเกาหลีใต้ ยืนยันว่าผู้ปฏิบัติการแรนซัมแวร์ Gunra ค้นพบวิธีเลี่ยงหนึ่งในเครื่องมือความปลอดภัยองค์กรที่ได้รับความไว้วางใจมากที่สุด: การยืนยันตัวตนหลายปัจจัย (multi-factor authentication) แทนที่จะขโมยรหัสใช้ครั้งเดียวหรือฟิชชิงเซสชันล็อกอิน แอฟฟิลิเอตของ Gunra กลับแก้ไขไฟล์การยืนยันตัวตนบนเซิร์ฟเวอร์ของเหยื่อโดยตรง ซึ่งมีผลเท่ากับปิดการป้องกัน MFA จากภายในก่อนปล่อยการเข้ารหัสและขโมยข้อมูล

คำแนะนำที่ออกในเดือนนี้ ถือเป็นหนึ่งในการยืนยันต่อสาธารณะที่ชัดเจนขึ้นว่า กลุ่ม ransomware-as-a-service ไม่ได้มอง MFA เป็นอุปสรรคที่ต้องอาศัยการหลอกลวงอีกต่อไป แต่กลับมองว่าเป็นโครงสร้างพื้นฐานที่พวกเขาสามารถตั้งค่าใหม่ได้ทันทีเมื่อเจาะเข้าสู่ระบบได้แล้ว

Gunra เลี่ยง MFA ระดับเซิร์ฟเวอร์ได้อย่างไร

ตามคำแนะนำดังกล่าว แอฟฟิลิเอตของ Gunra ใช้ช่องโหว่ที่ทราบอยู่แล้วในอุปกรณ์ไฟร์วอลล์และ VPN ของ Fortinet รวมถึงข้อบกพร่องในระบบของ Schneider Electric เพื่อเจาะเข้าสู่เครือข่ายของหน่วยงานรัฐ โครงสร้างพื้นฐานสำคัญ และองค์กรเป็นจุดแรก เมื่อเข้าไปได้แล้ว แทนที่จะพยายามฝ่า MFA ที่หน้าจอล็อกอิน ผู้โจมตีมุ่งเป้าไปที่ไฟล์การตั้งค่าการยืนยันตัวตนที่เก็บอยู่บนเซิร์ฟเวอร์เอง

การแก้ไขไฟล์เหล่านั้นที่ต้นทางทำให้ผู้ปฏิบัติการ Gunra สามารถปิดหรือเลี่ยงการตรวจสอบ MFA ที่ปกติจะหยุดการล็อกอินโดยไม่ได้รับอนุญาตได้ โดยไม่จำเป็นต้องมีปัจจัยตัวที่สองของเหยื่อเลย นี่เป็นความแตกต่างอย่างสำคัญจากเทคนิคเลี่ยง MFA ทั่วไป เช่น การสลับซิม หรือการโจมตีด้วยการกดยืนยันจนล้า ซึ่งมุ่งเป้าไปที่ผู้ใช้ แนวทางของ Gunra มุ่งเป้าไปที่โครงสร้างพื้นฐานที่บังคับใช้นโยบายตั้งแต่แรก ซึ่งหมายความว่าช่องโหว่นี้เป็นปัญหาเชิงสถาปัตยกรรม ไม่ใช่เชิงพฤติกรรม การแพตช์ช่องโหว่ที่ทราบแล้วในอุปกรณ์ปลายขอบ เช่น ไฟร์วอลล์และอุปกรณ์ VPN ซึ่งคำแนะนำระบุว่าเป็นจุดเข้าที่ Gunra พึ่งพา ยังคงเป็นวิธีที่ตรงที่สุดที่องค์กรจะปิดประตูนี้ก่อนที่มันจะเปิดออก

Gunra ดำเนินการในรูปแบบ ransomware-as-a-service กล่าวคือมัลแวร์หลักถูกสร้างและดูแลโดยกลุ่มหนึ่ง ขณะที่แอฟฟิลิเอตเป็นผู้โจมตีรายกรณี โดยมักนำโค้ดที่หลุดออกมาจากตระกูลแรนซัมแวร์ก่อนหน้ามาใช้ซ้ำ โครงสร้างเช่นนี้ช่วยให้ปฏิบัติการขยายตัวอย่างรวดเร็วข้ามภาคส่วนและพื้นที่ทางภูมิศาสตร์ เนื่องจากคำแนะนำระบุว่าโจมตีหน่วยงานรัฐ สถานพยาบาล และเป้าหมายโครงสร้างพื้นฐานสำคัญในหลายประเทศไปแล้ว

แง่ดีในตัวแปร Linux

คำแนะนำยังชี้ถึงจุดอ่อนที่สำคัญในตัวเข้ารหัสบน Linux ของ Gunra นักวิจัยพบว่ากระบวนการเข้ารหัสทิ้งร่องรอย timestamp ของไฟล์ไว้ ซึ่งในบางกรณีสามารถใช้สร้างคีย์ถอดรหัสขึ้นใหม่ได้โดยไม่ต้องจ่ายเงินให้ผู้โจมตีเลย สำหรับองค์กรที่ใช้เซิร์ฟเวอร์ Linux และถูกโจมตีด้วยตัวแปรเฉพาะนี้ นั่นเปิดทางให้กู้คืนข้อมูลที่ถูกเข้ารหัสผ่านการวิเคราะห์ทางนิติวิทยาศาสตร์ แทนที่จะต้องเจรจากับกลุ่มอาชญากร

ข้อบกพร่องด้านการใช้งานทำนองนี้ไม่ใช่เรื่องแปลกในตระกูลแรนซัมแวร์ที่นำโค้ดหลุดมาใช้ซ้ำหรือดัดแปลง และไม่ได้หมายความว่าเหยื่อ Gunra ทุกรายจะกู้คืนข้อมูลได้ฟรี ตัวเข้ารหัสฝั่ง Windows ดูเหมือนจะไม่มีจุดอ่อนแบบเดียวกัน และองค์กรควรมองว่าความพยายามกู้คืนใด ๆ เป็นงานของผู้เชี่ยวชาญด้านรับมือเหตุการณ์ มากกว่าการแก้ไขด้วยตนเอง ถึงกระนั้น นี่ก็เป็นข่าวดีที่พบได้ไม่บ่อยในภูมิทัศน์ของแรนซัมแวร์ ซึ่งเหยื่อมักเหลือทางเลือกระหว่างการจ่ายเงินหรือการสร้างระบบขึ้นใหม่จากข้อมูลสำรอง

ทางเลือกนั้นสำคัญเพราะหลักฐานชี้มากขึ้นเรื่อย ๆ ว่าการจ่ายเงินไม่ได้แก้ปัญหาได้อย่างน่าเชื่อถือ ผลสำรวจของ Proofpoint พบว่าการจ่ายเงินให้แก๊งแรนซัมแวร์มักย้อนกลับมาทำร้าย โดยหลายองค์กรรายงานว่ายังคงสูญเสียข้อมูล ถูกโจมตีซ้ำ หรือไม่เคยได้รับเครื่องมือถอดรหัสที่ใช้งานได้เลยแม้จ่ายเงินไปแล้ว คำแนะนำเรื่อง Gunra ยิ่งตอกย้ำรูปแบบนี้: ทางเลือกปลอดภัยที่สุดคือการป้องกันและความสามารถในการกู้คืน ไม่ใช่การเจรจา

สิ่งนี้มีความหมายอย่างไรต่อคุณ

ผู้อ่านคำแนะนำนี้ส่วนใหญ่อาจไม่ใช่เป้าหมายโดยตรงของ Gunra แต่บทเรียนเบื้องล่างใช้ได้ในวงกว้าง MFA เป็นชั้นการป้องกันที่สำคัญ แต่ก็ไม่ใช่สิ่งที่ไม่มีทางพลาด โดยเฉพาะเมื่อผู้โจมตีสามารถเข้าถึงการตั้งค่าฝั่งเซิร์ฟเวอร์ที่บังคับใช้มันได้ หากคุณดูแลระบบไอทีให้กับธุรกิจ โรงพยาบาล โรงเรียน หรือหน่วยงานรัฐส่วนท้องถิ่น คำแนะนำนี้เป็นสัญญาณให้ตรวจสอบว่าเฟิร์มแวร์ไฟร์วอลล์และอุปกรณ์ VPN ของคุณเป็นเวอร์ชันล่าสุดหรือไม่ เนื่องจากการเข้าถึงครั้งแรกของ Gunra พึ่งพาช่องโหว่ที่ทราบแล้วและแพตช์ได้เป็นอย่างมาก

สำหรับผู้ใช้ทั่วไป ข้อสรุปสำคัญไม่ใช่เรื่องของตระกูลแรนซัมแวร์นี้โดยเฉพาะ แต่เป็นเรื่องวิธีจัดการข้อมูลของคุณเอง การสำรองข้อมูลสำคัญแบบออฟไลน์เป็นประจำยังคงเป็นหนึ่งในไม่กี่วิธีป้องกันที่ใช้ได้ผลไม่ว่าผู้โจมตีจะเข้ามาทางไหน ระยะเวลาที่คุณเก็บสำเนาไฟล์สำคัญไว้ และสถานที่เก็บ ยังส่งผลต่อความเสี่ยงของคุณหากบริการที่คุณใช้ถูกเจาะระบบ การทำความเข้าใจพฤติกรรม การเก็บรักษาข้อมูล ของคุณเองและของแพลตฟอร์มที่คุณใช้งาน ถือเป็นขั้นตอนที่ใช้ได้จริงในการจำกัดสิ่งที่การรั่วไหลครั้งเดียวจะเปิดเผยได้

ข้อสรุปสำคัญ

องค์กรที่ใช้งานอุปกรณ์ Fortinet หรือ Schneider Electric ที่เปิดเผยต่ออินเทอร์เน็ตควรให้ความสำคัญกับการแพตช์ทันที เนื่องจากนี่คือจุดเข้าที่มีการบันทึกไว้สำหรับการเจาะระบบของ Gunra ทีมไอทีควรตรวจสอบการตั้งค่าการยืนยันตัวตนฝั่งเซิร์ฟเวอร์ว่ามีการเปลี่ยนแปลงโดยไม่ได้รับอนุญาตหรือไม่ แทนที่จะคิดว่า MFA ทำงานอยู่เพียงเพราะเปิดใช้งานไว้ ผู้ดูแลระบบ Linux ที่ถูก Gunra โจมตีควรปรึกษาผู้เชี่ยวชาญด้านรับมือเหตุการณ์ก่อนจะสรุปว่าไฟล์สูญหายถาวร เนื่องจากข้อบกพร่องด้านการกู้คืนที่อิงกับ timestamp ตามที่ระบุในคำแนะนำ และสำหรับคนอื่น ๆ คำแนะนำนี้เป็นอีกหนึ่งเครื่องเตือนใจว่าแรนซัมแวร์ Gunra และกลุ่มลักษณะเดียวกันประสบความสำเร็จบ่อยที่สุดกับโครงสร้างพื้นฐานที่ล้าสมัย การจัดการแพตช์และวินัยในการสำรองข้อมูลจึงมีค่ามากกว่าเครื่องมือความปลอดภัยใด ๆ เพียงชิ้นเดียว