แก๊งแรนซัมแวร์ที่พิมพ์คำขู่ของตัวเองออกมา

กลุ่มแรนซัมแวร์ส่วนใหญ่ทิ้งบันทึกข่มขู่ไว้เป็นไฟล์ข้อความที่กระจายอยู่ตามโฟลเดอร์ที่ถูกเข้ารหัสของเหยื่อ แต่ INC ransomware ใช้วิธีที่น่าขนลุกกว่านั้น: จากรายงานทางเทคนิคของ Picus Security มัลแวร์นี้ยังพยายามส่งบันทึกเรียกค่าไถ่ไปยังเครื่องพิมพ์และเครื่องแฟกซ์ใดๆ ที่เชื่อมต่ออยู่ในเครือข่ายที่ถูกโจมตี พิมพ์ข้อเรียกร้องออกมาเป็นกระดาษให้ใครก็ตามในอาคารได้เห็น

นี่คือรายละเอียดเล็กๆ น้อยๆ แต่บอกอะไรได้มากถึงวิธีการทำงานของ INC นี่คือกลุ่มที่ต้องการสร้างแรงกดดันทางจิตใจสูงสุดต่อเหยื่อ และพวกเขาพบว่าเครือข่ายด้านสุขภาพและการศึกษา ซึ่งมักเต็มไปด้วยเครื่องพิมพ์รุ่นเก่า สายแฟกซ์ที่ใช้ร่วมกัน และอุปกรณ์เชื่อมต่อที่ทีมไอทีไม่ค่อยตรวจสอบ เป็นพื้นที่อันอุดมสมบูรณ์สำหรับการก่อกวนแบบนั้น

ทำไมธุรกิจสุขภาพและการศึกษาถึงถูกโจมตีซ้ำแล้วซ้ำเล่า

INC ransomware ซึ่งถูกจับตามองในฐานะปฏิบัติการแบบแรนซัมแวร์-as-a-service นับตั้งแต่โผล่มา ได้พุ่งเป้าไปที่โรงพยาบาล คลินิก และโรงเรียนซ้ำแล้วซ้ำเล่า ควบคู่ไปกับภาคส่วนอื่นๆ อย่างค้าปลีกและการเงิน เหตุผลไม่ใช่เรื่องลึกลับ เครือข่ายของธุรกิจสุขภาพทำงานอยู่บนอุปกรณ์การแพทย์ที่เชื่อมต่อถึงกัน โครงสร้างพื้นฐานที่เก่าแก่ และระบบที่ไม่สามารถอัปเดตหรือนำออกนอกระบบได้เสมอไปโดยไม่เสี่ยงต่อการดูแลผู้ป่วย ส่วนเครือข่ายการศึกษา ก็มักให้บริการนักเรียนและบุคลากรหลายพันคนบนโครงสร้างพื้นฐานที่ใช้ร่วมกันโดยมีงบประมาณด้านความปลอดภัยจำกัดและการควบคุมการเข้าถึงที่ไม่สม่ำเสมอ

ทั้งสองภาคส่วนยังถือครองประเภทข้อมูลที่ทำให้การขู่กรรโชกสองทาง (double-extortion) ทำกำไรได้อย่างงาม: เวชระเบียนผู้ป่วย ประวัติสุขภาพ รายละเอียดทางการเงิน และข้อมูลส่วนบุคคลของผู้เยาว์ เช่นเดียวกับปฏิบัติการแรนซัมแวร์สมัยใหม่จำนวนมาก INC ไม่ได้แค่เข้ารหัสไฟล์ แต่มันขโมยข้อมูลก่อน แล้วขู่ว่าจะรั่วไหลข้อมูลออกสู่สาธารณะหากไม่จ่ายค่าไถ่ ทำให้เหยื่อมีเหตุผลสองประการที่ต้องยอมจ่าย

คู่มือการโจมตีนั้นทำให้โรงพยาบาลกลายเป็นเป้าหมายที่มีความเสี่ยงสูงเป็นพิเศษ เมื่อแรนซัมแวร์ล็อกดาวน์เวชระเบียนอิเล็กทรอนิกส์หรือระบบนัดหมาย ผลกระทบไม่ได้จำกัดอยู่แค่ความไม่สะดวก แต่มันอาจทำให้การรักษาล่าช้า บังคับให้เปลี่ยนเส้นทางรถพยาบาล และทำให้ความปลอดภัยของผู้ป่วยตกอยู่ในความเสี่ยงโดยตรง ซึ่งเป็นส่วนหนึ่งของเหตุผลว่าทำไมความปลอดภัยทางไซเบอร์ด้านสุขภาพจึงกลายเป็นเรื่องสำคัญเชิงนโยบายที่ไกลเกินกว่าขอบเขตของแผนกไอที

ปัญหาจุดเชื่อมต่อที่ใช้เข้าถึง

กลุ่มแรนซัมแวร์จำเป็นต้องมีทางเข้าสู่เครือข่ายก่อนจึงจะปล่อยอะไรออกมาได้ และ INC ก็แสดงให้เห็นว่ามันยินดีจะใช้ประโยชน์จากช่องโหว่ใดๆ ก็ตามที่เปิดช่องให้มันเข้าไปได้ กรณีล่าสุดแสดงให้เห็นอย่างดี: SonicWall ยืนยันว่า ช่องโหว่ซีโร่เดย์ระดับร้ายแรงสองตัวในอุปกรณ์ SMA 1000 ซีรีส์ ถูกกลุ่มแรนซัมแวร์ INC โจมตีอย่างแข็งขันนาน 22 วันก่อนที่จะมีแพตช์ออกมาให้ใช้ ช่วงเวลานั้น เกือบสามสัปดาห์ของการถูกโจมตีอย่างต่อเนื่องก่อนจะมีตัวแก้ไข คือโอกาสที่ผู้ปฏิบัติการแรนซัมแวร์มองหา โดยเฉพาะอย่างยิ่งกับองค์กรที่อาจอัปเดตอุปกรณ์การเข้าถึงระยะไกลช้ากว่าเพราะข้อจำกัดด้านบุคลากรหรือความต้องการด้านปฏิบัติการ

รูปแบบนี้ตอกย้ำความจริงที่ใหญ่กว่าเกี่ยวกับแรนซัมแวร์โดยทั่วไป และโดยเฉพาะอย่างยิ่งกับ INC: การเจาะเข้าครั้งแรกมักไม่ได้มาจากอะไรที่แปลกใหม่ แต่มันมาจากซอฟต์แวร์ที่ไม่ได้แพตช์ เครื่องมือเข้าถึงระยะไกลที่เปิดไว้ หรือข้อมูลประจำตัวที่ไม่เคยถูกเปลี่ยน เมื่อเข้าไปข้างในแล้ว กลุ่มจะเคลื่อนที่ไปด้านข้าง ระบุข้อมูลที่มีค่าเพื่อขโมยออกไป ปล่อยเพย์โหลดสำหรับเข้ารหัส และในกรณีของ INC ก็พยายามให้ข้อความของมันถูกพิมพ์ออกมาให้เห็นอย่างเด่นชัดที่สุด

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณทำงานหรือมีปฏิสัมพันธ์กับระบบสุขภาพหรือการศึกษา ไม่ว่าจะในฐานะพนักงาน ผู้ป่วย นักเรียน หรือผู้ปกครอง INC ransomware คือเครื่องเตือนว่าข้อมูลที่สถาบันเหล่านี้เก็บเกี่ยวกับตัวคุณนั้นเป็นเป้าหมายจริงๆ ไม่ใช่แค่สมมติฐาน เวชระเบียนและข้อมูลนักเรียนมีเสน่ห์ดึงดูดเพราะมันยากที่จะทดแทนและมักผูกโยงกับโอกาสในการฉ้อโกงทางการเงินหรือทางการแพทย์

สำหรับทีมไอทีและความปลอดภัย บทเรียนเชิงปฏิบัติคือเรื่องวงจรการอัปเดตแพตช์และการแบ่งแยกเครือข่าย อุปกรณ์การเข้าถึงระยะไกล เครื่องพิมพ์ที่เชื่อมต่ออยู่ และเกตเวย์แฟกซ์ มักถูกปฏิบัติเหมือนเป็นอุปกรณ์ที่มีลำดับความสำคัญต่ำ แต่พฤติกรรมของ INC แสดงให้เห็นว่าผู้โจมตีจะใช้ทุกอุปกรณ์บนเครือข่าย ไม่ว่ามันจะดูธรรมดาสามัญแค่ไหน เพื่อบรรลุเป้าหมายของตน การแบ่งแยกเครื่องพิมพ์และอุปกรณ์สไตล์ IoT ออกจากระบบงานหลัก และการอัปเดตอุปกรณ์ที่เผชิญหน้ากับอินเทอร์เน็ตอย่างรวดเร็วเมื่อผู้ผลิตเปิดเผยช่องโหว่ จะช่วยลดพื้นที่ผิวของการโจมตีได้อย่างมีความหมาย

สำหรับบุคคลทั่วไป ขั้นตอนที่ลงมือทำได้นั้นคุ้นเคยดีแต่ยังควรย้ำซ้ำ: ติดตามประกาศแจ้งข้อมูลรั่วไหลจากผู้ให้บริการสุขภาพหรือเขตการศึกษา ใช้รหัสผ่านที่แตกต่างกันสำหรับพอร์ทัลต่างๆ ที่จัดเก็บข้อมูลส่วนบุคคลหรือทางการแพทย์ และระวังการโจมตีแบบฟิชชิ่งที่ตามมา ซึ่งมักเกาะท้ายเหตุการณ์แรนซัมแวร์เมื่อข้อมูลที่ถูกขโมยเริ่มแพร่กระจาย

ก้าวนำหน้าแคมเปญแรนซัมแวร์ที่เจาะจงเป้าหมาย

INC ransomware ไม่ได้มีเอกลักษณ์ในการพุ่งเป้าไปที่ภาคสุขภาพและการศึกษา แต่ความเต็มใจที่จะพิมพ์บันทึกค่าไถ่ออกมาเน้นย้ำว่ากลุ่มพวกนี้จะยอมทำได้ไกลแค่ไหนเพื่อบีบบังคับให้จ่ายเงิน องค์กรในภาคส่วนเหล่านี้ควรปฏิบัติต่อทุกอุปกรณ์ที่เผชิญหน้ากับอินเทอร์เน็ต ไม่ว่ามันจะดูไม่เด่นสะดุดตาแค่ไหน ว่าเป็นจุดเชื่อมต่อที่มีศักยภาพ และบุคคลทั่วไปควรตื่นตัวต่อประกาศแจ้งข้อมูลรั่วไหลที่ผูกกับสถาบันที่ถือข้อมูลละเอียดอ่อนของตน การตระหนักรู้และการอัปเดตแพตช์อย่างทันท่วงดียังคงเป็นแนวป้องกันที่มีประสิทธิภาพที่สุดต่อภัยคุกคามที่ไม่มีทีท่าว่าจะชะลอตัวลง