Interlock Ransomware คืออะไร?

คู่มือการตรวจจับแรนซัมแวร์ฉบับใหม่กำลังเปิดเผยข้อมูลเกี่ยวกับ Interlock ซึ่งเป็นปฏิบัติการแรนซัมแวร์ที่สร้างขึ้นจากการขู่กรรโชกสองชั้น: ผู้โจมตีจะลักลอบนำข้อมูลละเอียดอ่อนออกจากเครือข่ายของเหยื่อ เข้ารหัสระบบ จากนั้นจึงขู่ว่าจะเผยแพร่ไฟล์ที่ขโมยมาหากไม่จ่ายค่าไถ่ภายในกำหนดเวลาที่รัดกุม การผสมผสานระหว่างการขโมยข้อมูลและการเข้ารหัสเช่นนี้ได้กลายเป็นคู่มือมาตรฐานของกลุ่มแรนซัมแวร์ยุคใหม่ และแนวทางของ Interlock ก็แสดงให้เห็นว่าปฏิบัติการเหล่านี้ดำเนินไปอย่างมีแบบแผนมากเพียงใด

สิ่งที่ทำให้ Interlock แตกต่างออกไปตามคู่มือคือมันทำงานเป็นไบนารีที่ขับเคลื่อนด้วยบรรทัดคำสั่ง การออกแบบเช่นนี้มีความสำคัญมากกว่าที่คิด แทนที่จะพึ่งพารูทีนอัตโนมัติเพียงลำพัง ผู้ควบคุมสามารถระบุอาร์กิวเมนต์บรรทัดคำสั่งเฉพาะเพื่อควบคุมได้อย่างละเอียดว่าการเข้ารหัสแต่ละรอบจะมีพฤติกรรมอย่างไร ทำให้พวกเขาควบคุมได้แบบละเอียดว่าไฟล์ โฟลเดอร์ หรือระบบใดตกเป็นเป้าหมาย และการโจมตีดำเนินไปอย่างไรแบบเรียลไทม์

เบื้องหลังกลยุทธ์ เทคนิค และขั้นตอนของ Interlock

คู่มือการตรวจจับเจาะลึกวิธีการคงอยู่และหลบเลี่ยงหลายรูปแบบที่ Interlock ใช้เมื่อมันยึดครองพื้นที่ในเครือข่ายได้แล้ว มัลแวร์ใช้ Scheduled Tasks และการแก้ไขรีจิสทรีเพื่อรักษาสถานะในระบบที่ติดเชื้อ ซึ่งเป็นเทคนิคที่ช่วยให้มันรอดจากการรีบูตและทำงานต่อไปได้แม้ว่ากระบวนการแรกจะถูกฆ่าทิ้ง

ที่น่ากังวลกว่าคือวิธีที่ Interlock ใช้กลไกเดียวกันนี้เพื่อบั่นทอนการป้องกันของระบบ แรนซัมแวร์จะปิดใช้งานไฟร์วอลล์และดัดแปลงใบรับรอง ซึ่งเป็นการเปลี่ยนแปลงสองอย่างที่สามารถลิดรอนชั้นการป้องกันที่องค์กรพึ่งพาเพื่อตรวจจับและบล็อกทราฟฟิกที่เป็นอันตรายได้อย่างเงียบเชียบ เมื่อไฟร์วอลล์ถูกปิด การเชื่อมต่อขาออกที่ใช้ในการลักลอบนำข้อมูลออกไปอาจผ่านการตรวจสอบที่น้อยลงมาก เมื่อใบรับรองถูกดัดแปลง เครื่องมือความปลอดภัยจะตรวจสอบได้ยากขึ้นว่าไฟล์และกระบวนการที่ทำงานบนระบบนั้นถูกต้องหรือไม่

เนื่องจาก Interlock รับอาร์กิวเมนต์บรรทัดคำสั่ง ทีมความปลอดภัยที่ตรวจสอบล็อกเอนด์พอยต์และประวัติกระบวนการจึงมีโอกาสจริงที่จะตรวจจับมันขณะกำลังทำงาน สตริงบรรทัดคำสั่งที่ผิดปกติ การสร้าง Scheduled Tasks โดยไม่คาดคิด และการเปลี่ยนแปลงไฟร์วอลล์หรือใบรับรองอย่างฉับพลัน ล้วนเป็นสัญญาณที่คู่มือการตรวจจับเช่นนี้แนะนำให้องค์กรเฝ้าระวังอย่างใกล้ชิด

เหตุใดการขู่กรรโชกสองชั้นจึงยกระดับผลกระทบต่อความเป็นส่วนตัว

การขู่กรรโชกสองชั้นคือสิ่งที่เปลี่ยนเหตุการณ์แรนซัมแวร์จากภาวะระบบล่มให้กลายเป็นวิกฤตความเป็นส่วนตัวเต็มรูปแบบ การเข้ารหัสเพียงอย่างเดียวสามารถแก้ไขได้ด้วยการสำรองข้อมูลและการสร้างระบบขึ้นใหม่ แต่เมื่อข้อมูลถูกนำออกไปแล้ว ความเสียหายจะขยายออกไปไกลเกินกว่าองค์กรเหยื่อ ข้อมูลพนักงาน ข้อมูลลูกค้า รายละเอียดทางการเงิน หรือในกรณีของผู้ให้บริการด้านสุขภาพ ข้อมูลผู้ป่วย อาจถูกเผยแพร่หรือขายหากไม่จ่ายค่าไถ่ทันเวลา

ขนาดของอันตรายที่การโจมตีแบบนี้ก่อให้เกิดขึ้นได้ไม่ใช่แค่ทฤษฎี เหตุการณ์ข้อมูลรั่วไหลของ Kettering Health ซึ่งกระทบผู้ป่วยเกือบ 1.7 ล้านคน แสดงให้เห็นว่าการบุกรุกด้วยแรนซัมแวร์เพียงครั้งเดียวที่เกี่ยวข้องกับข้อมูลที่ถูกขโมยสามารถส่งผลกระทบเป็นวงกว้างไปถึงผู้คนจำนวนมหาศาลที่ไม่มีบทบาทโดยตรงต่อการรั่วไหล และมักไม่มีทางรู้ได้ทันทีว่าข้อมูลของตนถูกเปิดเผย แคมเปญขู่กรรโชกสองชั้นแบบที่อธิบายไว้ในคู่มือ Interlock ก็ดำเนินตามโครงสร้างพื้นฐานนี้: ขโมยก่อน เข้ารหัสตาม ขู่จะเผยแพร่เป็นลำดับถัดไป

นี่คือเหตุผลว่าทำไมการตรวจจับจึงมีความสำคัญพอๆ กับการกู้คืน การจับไบนารีที่ขับเคลื่อนด้วยบรรทัดคำสั่งอย่าง Interlock ได้ในช่วงการคงอยู่และหลบเลี่ยง ก่อนที่ข้อมูลจะออกจากเครือข่าย มีประสิทธิภาพมากกว่าการพยายามเจรจาหลังเกิดเหตุ

สิ่งนี้มีความหมายต่อคุณอย่างไร

ผู้อ่านส่วนใหญ่ไม่ได้มีหน้าที่ในการเสริมความแข็งแกร่งให้กับไฟร์วอลล์ขององค์กร แต่แรนซัมแวร์ Interlock ยังคงส่งผลกระทบที่แท้จริงต่อความเป็นส่วนตัวในชีวิตประจำวัน หากคุณเป็นลูกค้า ผู้ป่วย หรือพนักงานขององค์กรที่ถูกโจมตีด้วยการขู่กรรโชกสองชั้น ข้อมูลส่วนบุคคลของคุณอาจกลายเป็นส่วนหนึ่งของเครื่องมือต่อรองที่ผู้โจมตีใช้ ไม่ว่าคุณจะเคยโต้ตอบกับระบบที่ถูกบุกรุกโดยตรงหรือไม่ก็ตาม

สำหรับทีมไอทีและความปลอดภัย การที่คู่มือเน้นเรื่องอาร์กิวเมนต์บรรทัดคำสั่ง Scheduled Tasks การเปลี่ยนแปลงรีจิสทรี สถานะไฟร์วอลล์ และความสมบูรณ์ของใบรับรอง ถือเป็นจุดเริ่มต้นที่ใช้งานได้จริงสำหรับการสร้างกฎการตรวจจับ การเฝ้าติดตามการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตในส่วนเฉพาะเหล่านี้สามารถแจ้งเตือนการบุกรุกของ Interlock ได้เป็นอย่างดีก่อนที่การเข้ารหัสและการลักลอบนำข้อมูลออกไปจะเสร็จสมบูรณ์

ประเด็นที่นำไปปฏิบัติได้

  • องค์กรควรเฝ้าติดตามการสร้าง Scheduled Tasks และการแก้ไขรีจิสทรีโดยไม่คาดคิด โดยเฉพาะที่เชื่อมโยงกับการตั้งค่าไฟร์วอลล์หรือใบรับรอง
  • ทีมความปลอดภัยควรบันทึกและตรวจสอบกิจกรรมบรรทัดคำสั่งบนเอนด์พอยต์ เนื่องจากอาร์กิวเมนต์บรรทัดคำสั่งของ Interlock สามารถเปิดเผยขอบเขตของการโจมตีที่กำลังดำเนินไปได้
  • บุคคลทั่วไปควรให้ความสำคัญกับประกาศแจ้งการรั่วไหลของข้อมูลจากองค์กรใดๆ ที่ถือข้อมูลของตนอย่างจริงจัง เนื่องจากกลุ่มแรนซัมแวร์ขู่กรรโชกสองชั้นอย่าง Interlock ขู่เป็นพิเศษว่าจะเผยแพร่ข้อมูลส่วนบุคคลที่ขโมยมา
  • การสำรองข้อมูลเพียงอย่างเดียวไม่เพียงพอต่อการป้องกันแรนซัมแวร์ Interlock เพราะมันขโมยข้อมูลก่อนเข้ารหัส แผนการกู้คืนจึงต้องคำนึงถึงการเปิดเผยข้อมูล ไม่ใช่แค่เวลาหยุดทำงาน
  • การติดตามข้อมูลเกี่ยวกับการทำงานของกลุ่มอย่าง Interlock ช่วยให้ทั้งองค์กรและบุคคลทั่วไปรับรู้สัญญาณเตือนได้เร็วยิ่งขึ้นและตอบสนองได้เร็วขึ้นเมื่อเกิดเหตุการณ์