บันทึกอินโฟสทีลเลอร์กำลังเปลี่ยนโฉมภูมิทัศน์ของการละเมิดข้อมูล

เป็นเวลาหลายปีที่อีเมลฟิชชิ่งและช่องโหว่ของซอฟต์แวร์เป็นจุดเริ่มต้นหลักที่ผู้โจมตีใช้เจาะเข้าสู่เครือข่ายองค์กร แต่สิ่งนั้นกำลังเปลี่ยนไป ตอนนี้นักวิจัยด้านความปลอดภัยชี้ว่ามัลแวร์อินโฟสทีลเลอร์และบันทึกข้อมูลประจำตัวที่มันสร้างขึ้น ได้กลายเป็นตัวการสำคัญที่นำไปสู่การละเมิดข้อมูลในองค์กรและการโจมตีด้วยแรนซัมแวร์ แทนที่จะสร้างเหยื่อฟิชชิ่งที่น่าเชื่อถือหรือค้นหาช่องโหว่ที่ยังไม่ได้รับการแก้ไข กลุ่มอาชญากรกลับหันมาซื้อหรือแลกเปลี่ยนข้อมูลประจำตัวที่ถูกขโมยมา ซึ่งอินโฟสทีลเลอร์เก็บเกี่ยวมาจากอุปกรณ์ที่ติดเชื้อแล้ว

การเปลี่ยนแปลงนี้มีความสำคัญ เพราะมันทำให้จุดอ่อนที่แท้จริงเปลี่ยนไป ปัญหาไม่ได้อยู่แค่ว่าไฟร์วอลล์หรือตัวกรองอีเมลของบริษัทจะตรวจจับลิงก์อันตรายได้หรือไม่ แต่อยู่ที่ว่าแล็ปท็อปส่วนตัวของพนักงาน คอมพิวเตอร์ที่บ้านของผู้รับเหมา หรืออุปกรณ์ที่ใช้ร่วมกันในซัพพลายเชนเคยติดมัลแวร์ขโมยข้อมูลประจำตัวมาก่อนหรือไม่ แม้ว่าจะเกิดขึ้นหลายเดือนหรือหลายปีก่อนการละเมิดข้อมูลในที่สุด

บันทึกอินโฟสทีลเลอร์จุดชนวนการละเมิดข้อมูลบนคลาวด์ได้อย่างไร

อินโฟสทีลเลอร์คือมัลแวร์ประเภทหนึ่งที่สร้างขึ้นเพื่อจุดประสงค์เดียวคือ ดึงข้อมูลชื่อผู้ใช้ รหัสผ่าน คุกกี้ของเบราว์เซอร์ โทเค็นเซสชัน และข้อมูลที่กรอกอัตโนมัติจากเครื่องที่ติดเชื้ออย่างเงียบ ๆ แล้วส่งทั้งหมดกลับไปยังผู้โจมตี ผลลัพธ์มักถูกบรรจุเป็นสิ่งที่อาชญากรไซเบอร์เรียกกันว่า "บันทึก" ซึ่งเป็นชุดรวมของข้อมูลประจำตัวและชิ้นส่วนเซสชันทุกรายการที่ดึงมาจากอุปกรณ์ที่ติดเชื้อ

บันทึกเหล่านี้ถูกซื้อขายในตลาดมืดของอาชญากรไซเบอร์ บ่อยครั้งในราคาถูกเพราะมีจำนวนมาก สิ่งที่ทำให้มันอันตรายสำหรับองค์กรคือ บันทึกเหล่านี้มักมีคุกกี้เซสชันและโทเค็นยืนยันตัวตนที่ยังใช้งานได้สำหรับบริการคลาวด์, VPN และพอร์ทัลขององค์กร นั่นหมายความว่าผู้โจมตีไม่จำเป็นต้องเดารหัสผ่านหรือหลอกให้ใครกรอกข้อมูล พวกเขาสามารถนำเซสชันที่ยังใช้งานอยู่กลับมาใช้ใหม่ และเดินผ่านหน้าจอเข้าสู่ระบบ แม้กระทั่งการยืนยันตัวตนแบบหลายปัจจัยไปได้เลย เพราะเซสชันนั้นได้รับการยืนยันตัวตนแล้วก่อนที่มัลแวร์จะขโมยมันมา

เมื่อเข้าไปได้แล้ว บันทึกที่ถูกบุกรุกเพียงชุดเดียวอาจกลายเป็นฐานที่มั่นเริ่มต้นสำหรับการบุกรุกที่ใหญ่กว่ามาก ไม่ว่าจะเป็นการเคลื่อนที่ในแนวราบผ่านสภาพแวดล้อมคลาวด์ การเข้าถึงไดรฟ์ที่แชร์และเครื่องมือภายใน และท้ายที่สุดคือการเปิดเผยข้อมูลหรือการปล่อยแรนซัมแวร์ในระดับที่เป็นข่าวใหญ่ การติดเชื้ออาจเกิดขึ้นบนอุปกรณ์ส่วนตัวที่ไม่เคยเชื่อมต่อกับเครือข่ายองค์กรโดยตรง ซึ่งเป็นส่วนหนึ่งของสาเหตุที่เส้นทางการโจมตีรูปแบบนี้ยากที่ทีมความปลอดภัยจะคาดการณ์ล่วงหน้าได้

เหตุใดองค์กรธุรกิจจึงปรับตัวไม่ทัน

ระบบการป้องกันแบบดั้งเดิมถูกสร้างขึ้นบนสมมติฐานที่ว่าความเสี่ยงที่ใหญ่ที่สุดมาจากความพยายามบุกรุกจากภายนอก ไฟล์แนบที่เป็นอันตราย ความพยายามเข้าสู่ระบบแบบถึกกำลัง หรือช่องโหว่ของซอฟต์แวร์ที่ยังไม่แก้ไข การละเมิดข้อมูลที่ขับเคลื่อนด้วยอินโฟสทีลเลอร์นั้นเลี่ยงสิ่งเหล่านั้นทั้งหมด การบุกรุกมักมีจุดเริ่มต้นจากนอกขอบเขตองค์กร บนอุปกรณ์ที่ทีมความปลอดภัยมองไม่เห็น และข้อมูลประจำตัวที่ได้มาก็ถูกซื้อหรือรับมาโดยอาชญากรอีกกลุ่มหนึ่งซึ่งเป็นผู้ก่อการละเมิดข้อมูลจริง

การแบ่งงานกันทำในลักษณะนี้—กลุ่มหนึ่งเชี่ยวชาญด้านการแพร่เชื้อและเก็บเกี่ยวบันทึก อีกกลุ่มเชี่ยวชาญด้านการแปลงการเข้าถึงให้เป็นเงิน—ทำให้เศรษฐกิจของอาชญากรรมไซเบอร์มีประสิทธิภาพมากขึ้นและยากต่อการขัดขวาง นอกจากนี้ยังหมายความว่า การแก้ไขช่องโหว่ของซอฟต์แวร์ที่ทราบ แม้จะยังสำคัญ แต่ก็แก้ปัญหาได้เพียงบางส่วนเท่านั้น รายงานของเราเกี่ยวกับ แคมเปญอินโฟสทีลเลอร์ FortiClient EMS แสดงให้เห็นว่าผู้โจมตีรวมช่องโหว่ทางเทคนิคเฉพาะเข้ากับมัลแวร์ขโมยข้อมูลประจำตัวเพื่อยึดฐานที่มั่นภายในระบบจัดการขององค์กรได้อย่างไร ซึ่งสะท้อนว่ากลยุทธ์ของอินโฟสทีลเลอร์และช่องโหว่แบบดั้งเดิมถูกใช้ร่วมกันมากขึ้น แทนที่จะแยกเป็นกลยุทธ์ต่างหาก

สิ่งนี้มีความหมายต่อคุณอย่างไร

หากคุณทำงานในบริษัทที่พึ่งพาบริการคลาวด์ และเกือบทุกองค์กรในตอนนี้ก็เป็นเช่นนั้น ความปลอดภัยของอุปกรณ์ส่วนตัวของคุณเชื่อมโยงกับความเสี่ยงของนายจ้างมากกว่าที่คุณคิด การติดอินโฟสทีลเลอร์เพียงครั้งเดียวบนคอมพิวเตอร์ที่บ้านซึ่งใช้เช็คอีเมลงานหรือเข้าสู่ระบบพอร์ทัลบริษัท สามารถสร้างบันทึกข้อมูลประจำตัวที่นำไปสู่การละเมิดข้อมูลที่ใหญ่กว่ามากในภายหลัง

สำหรับบุคคลทั่วไป สิ่งนี้ตอกย้ำพฤติกรรมที่คุ้นเคยแต่เร่งด่วนขึ้นเรื่อย ๆ ได้แก่ การอัปเดตอุปกรณ์ให้ทันสมัยอยู่เสมอ หลีกเลี่ยงซอฟต์แวร์ละเมิดลิขสิทธิ์และการดาวน์โหลดที่ไม่เป็นทางการ (ซึ่งเป็นพาหะทั่วไปของอินโฟสทีลเลอร์) ใช้ตัวจัดการรหัสผ่านแทนการบันทึกรหัสผ่านในเบราว์เซอร์ และเปิดใช้การยืนยันตัวตนแบบหลายปัจจัยทุกที่ที่มีให้ แม้ไม่มีวิธีใดเป็นกระสุนเงินสำหรับการขโมยโทเค็นเซสชัน แต่ก็เพิ่มต้นทุนและความยากให้กับผู้โจมตีอย่างมีนัยสำคัญ

ข้อปฏิบัติที่นำไปใช้ได้จริง

ขั้นตอนที่นำไปปฏิบัติได้จริงสองสามประการสามารถลดความเสี่ยงจากอินโฟสทีลเลอร์ของคุณได้:

  • หลีกเลี่ยงการดาวน์โหลดซอฟต์แวร์ละเมิดลิขสิทธิ์ เกมแคร็ก หรือส่วนขยายเบราว์เซอร์ที่ไม่เป็นทางการ ซึ่งล้วนเป็นวิธีการแพร่กระจายอินโฟสทีลเลอร์ที่พบบ่อย
  • ใช้ตัวจัดการรหัสผ่านโดยเฉพาะแทนการบันทึกข้อมูลประจำตัวในเบราว์เซอร์ เนื่องจากข้อมูลที่เก็บในเบราว์เซอร์คือเป้าหมายหลักของอินโฟสทีลเลอร์
  • เปิดใช้การยืนยันตัวตนแบบหลายปัจจัยในทุกบัญชีที่รองรับ และพิจารณาตัวเลือกที่ต้านทานฟิชชิ่งหากมี
  • ล้างเซสชันเบราว์เซอร์ที่เก็บไว้เป็นประจำและออกจากระบบบัญชีที่ละเอียดอ่อนบนอุปกรณ์ที่ใช้ร่วมกันหรืออุปกรณ์ส่วนตัวที่ใช้งานด้านงาน
  • หากสงสัยว่าอุปกรณ์อาจติดเชื้อ ให้เปลี่ยนรหัสผ่านจากอุปกรณ์ที่เชื่อถือได้อีกเครื่องหนึ่ง และเฝ้าติดตามความเคลื่อนไหวที่ผิดปกติในบัญชี

การเพิ่มขึ้นของบันทึกอินโฟสทีลเลอร์ในฐานะเครื่องมือเข้าถึงเริ่มต้นที่อุตสาหกรรมอาชญากรรมไซเบอร์ชื่นชอบ เป็นการย้ำเตือนว่าการป้องกันการละเมิดข้อมูลเริ่มต้นขึ้นจากนอกเครือข่ายองค์กรมากขึ้นเรื่อย ๆ บนอุปกรณ์ประจำวันที่ผู้คนใช้เข้าสู่ระบบจากทุกที่