เครื่องมือคลาวด์ที่คุ้นเคยกลายเป็นช่องทางขโมยข้อมูล

เมื่อทีมรับมือเหตุการณ์ของ Sygnia ตรวจสอบการโจมตีแบบเรียกค่าไถ่สองชั้น พวกเขาค้นพบบางอย่างที่ควรสร้างความกังวลให้กับทุกคนที่พึ่งพาที่เก็บข้อมูลคลาวด์สำหรับการดำเนินธุรกิจ: ผู้โจมตีเบื้องหลังการบุกรุกครั้งนี้ ซึ่งถูกระบุว่าเป็นกลุ่มแรนซัมแวร์ Vice Society ได้ใช้ Microsoft OneDrive เป็นช่องทางหลักในการขโมยข้อมูลองค์กร แทนที่จะใช้มัลแวร์ขโมยข้อมูลที่พัฒนาขึ้นเองซึ่งอาจกระตุ้นสัญญาณเตือน กลุ่มอาชญากรกลับพึ่งพาเครื่องมือที่แทบทุกองค์กรไว้วางใจและอนุญาตให้ใช้งานอยู่แล้ว

การเรียกค่าไถ่สองชั้นกลายเป็นแนวทางมาตรฐานสำหรับปฏิบัติการแรนซัมแวร์รายใหญ่ ผู้โจมตีไม่ได้แค่เข้ารหัสไฟล์และเรียกค่าไถ่เพื่อแลกกับคีย์ถอดรหัสเท่านั้น พวกเขายังขโมยข้อมูลสำคัญก่อน แล้วขู่ว่าจะเปิดเผยต่อสาธารณะหากเหยื่อไม่ยอมจ่ายเป็นครั้งที่สอง กลวิธีนี้ปรากฏซ้ำแล้วซ้ำเล่าในเหตุการณ์ล่าสุด รวมถึงแคมเปญเรียกค่าไถ่สองชั้น LockBit 5.0 ที่ยังคงโจมตีองค์กรทั่วโลกอย่างต่อเนื่อง สิ่งที่ทำให้กรณี Vice Society น่าสนใจไม่ใช่รูปแบบการเรียกค่าไถ่เอง แต่เป็นวิธีการที่ใช้ย้ายข้อมูลที่ถูกขโมยออกไปอย่างเงียบเชียบ

ทำไมการซ่อนอยู่ในการรับส่งข้อมูล OneDrive ถึงได้ผลดีขนาดนี้

เครื่องมือรักษาความปลอดภัยขององค์กรส่วนใหญ่ถูกสร้างขึ้นเพื่อตรวจจับการเชื่อมต่อขาออกที่ผิดปกติ ที่อยู่ IP ที่ไม่รู้จัก หรือแอปพลิเคชันที่ไม่รู้จักซึ่งพยายามเข้าถึงอินเทอร์เน็ต OneDrive ไม่ก่อให้เกิดการแจ้งเตือนเหล่านั้น เนื่องจากเป็นบริการที่ถูกต้องตามกฎหมายของ Microsoft ซึ่งถูกใช้งานอย่างแพร่หลาย และทีมรักษาความปลอดภัยมักอนุญาตโดยค่าเริ่มต้น การส่งไฟล์ที่ถูกขโมยผ่านกิจกรรมซิงค์ของ OneDrive ทำให้ผู้ปฏิบัติการของ Vice Society สามารถกลมกลืนการรับส่งข้อมูลขโมยเข้ากับการใช้งานคลาวด์ปกติในชีวิตประจำวันได้

นี่คือบทเรียนหลักจากการสืบสวนทางนิติเวชของ Sygnia: ผู้โจมตีประสบความสำเร็จมากขึ้นไม่ใช่เพราะสร้างเทคนิคใหม่ ๆ แต่เพราะใช้ประโยชน์จากความไว้วางใจที่องค์กรมอบให้กับแพลตฟอร์มกระแสหลัก รูปแบบนี้ปรากฏให้เห็นในภูมิทัศน์ภัยคุกคามอื่น ๆ ด้วยเช่นกัน สถานการณ์คล้ายกันเกิดขึ้นเมื่อโค้ดอันตรายที่ซ่อนอยู่ในส่วนขยาย VS Code ที่ถูกบุกรุกนำไปสู่การขโมยคลังข้อมูลนับพันรายการ อีกครั้งเพราะเครื่องมือนักพัฒนาที่น่าเชื่อถือเป็นช่องทาง而非สิ่งที่ดูน่าสงสัยชัดเจน เมื่อกลไกการส่งมอบดูเป็นเรื่องปกติ การตรวจจับก็ยากขึ้นมาก และหน้าต่างเวลาที่ผู้โจมตีจะปฏิบัติการโดยไม่ถูกพบก็ยาวนานขึ้น

Luna Moth: ภัยคุกคามที่ต่างออกไป แต่เป้าหมายข้อมูลองค์กรเดียวกัน

ทีมของ Sygnia ยังชี้ให้เห็นผู้คุกคามอีกกลุ่มหนึ่งที่ควรทำความเข้าใจตามบริบทของตัวเอง: Luna Moth ซึ่งต่างจากแนวทางแรนซัมแวร์พร้อมรั่วไหลของ Vice Society กลวิธีของ Luna Moth คล้ายกับการหลอกลวงแบบสมัครสมาชิกปลอม ซึ่งเป็นการวิศวกรรมสังคมที่หลอกให้เหยื่อเชื่อว่าตนได้สมัครบริการที่มีการเรียกเก็บเงินซ้ำ ๆ ที่ต้องยกเลิก แต่เป้าหมายสุดท้ายวนกลับมาที่สิ่งเดียวกับที่ทำให้กลุ่มแรนซัมแวร์อันตราย นั่นคือข้อมูลองค์กร Luna Moth ใช้จุดเข้าที่หลอกลวงนี้เพื่อเข้าถึงข้อมูลทางธุรกิจที่ละเอียดอ่อน แม้ไม่จำเป็นต้องใช้มัลแวร์เข้ารหัสเลยก็ตาม

ความแตกต่างนี้สำคัญสำหรับผู้ป้องกัน ไม่ใช่ทุกเหตุการณ์ขโมยข้อมูลร้ายแรงจะมีหน้าตาเหมือนการโจมตีแรนซัมแวร์คลาสสิกที่มีจดหมายเรียกค่าไถ่และไฟล์ถูกล็อก บางกลุ่มข้ามการเข้ารหัสแล้วตรงไปรีดไถด้วยข้อมูลที่ถูกขโมยเพียงอย่างเดียว ซึ่งหมายความว่าทีมรักษาความปลอดภัยไม่สามารถพึ่งพาเพียงการตรวจจับพฤติกรรมการเข้ารหัสเพื่อจับการบุกรุกที่กำลังเกิดขึ้นได้

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

สำหรับทีมไอทีและความมั่นคงปลอดภัย กรณีนี้เป็นเครื่องเตือนใจว่าการอนุญาตให้บริการอย่าง OneDrive ใช้งานไม่ได้เท่ากับการรักษาความปลอดภัยให้มัน การตรวจสอบควรขยายไปถึงปริมาณข้อมูลที่ผิดปกติที่เคลื่อนผ่านแอปพลิเคชันคลาวด์ที่ได้รับอนุมัติ ไม่ใช่แค่ปลายทางที่ไม่คุ้นเคย เครื่องมือป้องกันการสูญเสียข้อมูล การตรวจจับความผิดปกติที่ปรับให้เหมาะกับพฤติกรรมการซิงค์คลาวด์ และการควบคุมการเข้าถึงที่เข้มงวดว่าใครสามารถย้ายข้อมูลปริมาณมากได้ ล้วนมีความเกี่ยวข้องมากขึ้นกว่าที่เคย โดยเฉพาะเมื่อผู้โจมตีปรับปรุงกลวิธีของตน เช่นเดียวกับที่ AI กำลังเปลี่ยนโฉมปฏิบัติการแรนซัมแวร์ บีบให้ผู้ให้บริการจัดการต้องทบทวนกลยุทธ์การกู้คืนทางไซเบอร์ใหม่ทั้งหมด

สำหรับบุคคลและองค์กรขนาดเล็ก บทเรียนกว้างกว่านั้น: การเข้ารหัสไฟล์สำคัญก่อนที่มันจะไปถึงที่เก็บข้อมูลคลาวด์ การใช้การยืนยันตัวตนที่แข็งแกร่งบนบัญชีคลาวด์ และการตั้งข้อสงสัยกับอีเมลหรือป๊อปอัปที่เกี่ยวกับการสมัครสมาชิก สามารถลดความเสี่ยงจากทั้งกลุ่มแรนซัมแวร์และการเล่นวิศวกรรมสังคมอย่าง Luna Moth ได้ การเข้ารหัสการรับส่งข้อมูลและข้อมูลระหว่างการส่งผ่าน ไม่ว่าจะผ่าน VPN ที่น่าเชื่อถือหรือเครื่องมือเข้ารหัสในตัว เพิ่มชั้นการป้องกันอีกชั้น แม้จะไม่สามารถหยุดผู้โจมตีที่ได้สิทธิ์เข้าถึงบัญชีโดยชอบแล้วก็ตาม การป้องกันแบบหลายชั้น ไม่ใช่เครื่องมือเดียว คือสิ่งที่จำกัดความเสียหายได้จริง

ประเด็นสำคัญ

  • Vice Society ขโมยข้อมูลที่ถูกขโมยผ่าน OneDrive โดยใช้ประโยชน์จากความไว้วางใจที่องค์กรมีต่อบริการคลาวด์กระแสหลัก แทนที่จะพึ่งพามัลแวร์ที่พัฒนาขึ้นเอง
  • Luna Moth ปฏิบัติการต่างออกไป โดยใช้กลวิธีคล้ายการหลอกลวงสมัครสมาชิกปลอมเพื่อไปให้ถึงเป้าหมายเดียวกัน: การขโมยข้อมูลองค์กร
  • การตรวจสอบพฤติกรรมแอปคลาวด์สำหรับปริมาณข้อมูลที่ผิดปกติ ไม่ใช่แค่ปลายทางที่ไม่คุ้นเคย เป็นสิ่งจำเป็นในการจับการขโมยข้อมูลแบบนี้
  • การเรียกค่าไถ่สองชั้นยังคงเป็นโมเดลแรนซัมแวร์ที่โดดเด่น หมายความว่าข้อมูลที่ถูกขโมยยังคงเป็นความเสี่ยงแม้การสำรองข้อมูลจะช่วยให้คุณไม่ต้องจ่ายเพื่อถอดรหัส
  • การเข้ารหัสข้อมูลสำคัญก่อนที่มันจะไปถึงคลาวด์และการบังคับใช้การควบคุมการเข้าถึงที่เข้มงวดช่วยลดความเสี่ยงไม่ว่าผู้โจมตีจะใช้เทคนิคใด

ในขณะที่กลุ่มแรนซัมแวร์ยังคงหาวิธีซ่อนตัวในที่โล่งแจ้ง การติดตามข้อมูลว่ากลวิธีเหล่านี้พัฒนาไปอย่างไรเป็นหนึ่งในขั้นตอนที่ง่ายที่สุดที่องค์กรและบุคคลสามารถทำได้เพื่อการปกป้องที่ดีขึ้น