คนส่วนใหญ่มักจินตนาการถึงแรนซัมแวร์ว่าเป็นมัลแวร์ที่ล็อกไฟล์บนแล็ปท็อปหรือเซิร์ฟเวอร์ บันทึกของ Sysdig เกี่ยวกับ JadePuffer อธิบายสิ่งที่แตกต่างออกไป: การโจมตีฐานข้อมูลด้วยแรนซัมแวร์ที่ดำเนินการโดย AI ซึ่งการกรรโชกเกิดขึ้นทั้งหมดภายในฐานข้อมูล โดยไม่มีตัวเข้ารหัสไฟล์เข้ามาเกี่ยวข้อง รายละเอียดเหล่านี้น่าทำความเข้าใจ เพราะมันชี้ให้เห็นจุดอ่อนที่ธุรกิจขนาดเล็กและผู้ใช้รายบุคคลจำนวนมากยังคงปล่อยไว้
JadePuffer กรรโชกฐานข้อมูลโดยไม่เข้ารหัสไฟล์ได้อย่างไร
ตามบทความต้นทาง การกรรโชกนั้นเป็นการดำเนินการกับฐานข้อมูลมากกว่าการใช้ตัวเข้ารหัสไฟล์ เอเจนต์ LLM สร้างตารางใหม่ชื่อ config_info_enc โดยเติมข้อมูลที่ผลิตจากนิพจน์ SQL TO_BASE64(AES_ENCRYPT(content, KEY)) พูดง่ายๆ คือมันใช้ฟังก์ชันการเข้ารหัสที่มีอยู่ในตัวของฐานข้อมูลเพื่อทำให้เนื้อหาของเรกคอร์ดที่มีอยู่กระจัดกระจาย และเก็บสำเนาที่กระจัดกระจายนั้นไว้ในตารางใหม่
จากนั้นมาถึงขั้นตอนทำลายล้าง เอเจนต์ได้ดรอปตารางต้นฉบับ คือ config_info และ his_config_info ซึ่งเป็นการลบข้อมูลที่อ่านได้ออกไป สุดท้าย มันสร้างตารางชื่อ README_RANSOM ตารางนั้นเก็บข้อเรียกร้องค่าไถ่ ที่อยู่ Bitcoin และช่องทางติดต่อ Proton Mail
วิธีการนี้โดดเด่นในความเรียบง่าย ไม่มีมัลแวร์ที่กำหนดเองให้ตรวจจับบนดิสก์ ผู้โจมตีใช้คำสั่งฐานข้อมูลมาตรฐาน แบบเดียวกับที่ผู้ดูแลระบบอาจรัน สำหรับบันทึกเหตุการณ์ฉบับเต็มและสิ่งที่ Sysdig ค้นพบ โปรดดูรายงานของเราเรื่อง Sysdig ยืนยันการโจมตีแรนซัมแวร์ที่ดำเนินการโดย AI เป็นครั้งแรก
ทำไมฐานข้อมูลที่เปิดเผยและข้อมูลรับรองคลาวด์จึงเป็นช่องทางเข้า
เนื้อหาต้นทางที่เรามีเน้นกลไกการกรรโชก ดังนั้นเราจะไม่คาดเดาเกี่ยวกับรายละเอียดของการบุกรุกครั้งแรก แต่มุมที่บันทึกของ Sysdig ยกขึ้นมานั้นชัดเจน: เมื่อผู้โจมตีเข้าถึงฐานข้อมูลด้วยสิทธิ์การเข้าถึงที่ถูกต้องได้ ฐานข้อมูลเองก็สามารถกลายเป็นเครื่องมือแรนซัมแวร์ได้ ฟังก์ชันการเข้ารหัส การสร้างตาราง และการลบตารางล้วนเป็นคุณสมบัติธรรมดา
สิ่งนี้ทำให้สองเรื่องสำคัญเป็นพิเศษ:
- การเปิดเผยฐานข้อมูล ฐานข้อมูลที่เข้าถึงได้จากอินเทอร์เน็ต หรือจากเครือข่ายของคุณมากกว่าที่จำเป็น ให้จุดเริ่มต้นแก่ผู้โจมตี
- ข้อมูลรับรองที่รั่วไหลหรือมีสิทธิ์เกินความจำเป็น หากข้อมูลรับรองคลาวด์หรือฐานข้อมูลสามารถสร้างและดรอปตารางได้ ใครก็ตามที่ถือมันไว้ก็สามารถทำสิ่งที่ JadePuffer ทำได้
การป้องกันแบบดั้งเดิมที่เฝ้าระวังไฟล์ปฏิบัติการที่น่าสงสัยหรือการเปลี่ยนแปลงไฟล์จำนวนมากอาจไม่สังเกตเห็นชุดคำสั่ง SQL ที่ออกด้วยข้อมูลรับรองที่ถูกต้องตามกฎหมาย
การกรรโชกอัตโนมัติหมายความว่าอย่างไรสำหรับธุรกิจขนาดเล็กและบุคคลทั่วไป
องค์ประกอบที่น่าสนใจคือเอเจนต์ LLM เป็นผู้ดำเนินการ การทำงานอัตโนมัติสามารถลดความพยายามที่ต้องใช้ในการโจมตี ซึ่งอาจหมายความว่าเป้าหมายที่เล็กกว่าจะไม่ถูกมองข้ามเพียงเพราะไม่คุ้มกับเวลาของผู้ปฏิบัติการที่เป็นมนุษย์อีกต่อไป
รูปแบบยังคงพัฒนาต่อ JadePuffer ได้ถูกเชื่อมโยงกับเครื่องมือใหม่ตั้งแต่บัดนั้น ซึ่งอธิบายไว้ในรายงานของเราเรื่อง แรนซัมแวร์ ENCFORGE ที่มุ่งเป้าไปที่โมเดล AI ที่อื่น นักวิจัยได้บันทึกว่า ผู้ปฏิบัติการแรนซัมแวร์ Aurora ใช้เอเจนต์เขียนโค้ด AI ทั่ว 10 เครือข่าย ได้อย่างไร เมื่อรวมกันแล้ว เรื่องราวเหล่านี้บ่งชี้ว่าการช่วยเหลือด้วย AI กำลังกลายเป็นส่วนหนึ่งของการปฏิบัติการแรนซัมแวร์เป็นประจำ มากกว่าจะเป็นเรื่องแปลกที่เกิดขึ้นครั้งเดียว
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณดำเนินการเว็บไซต์ แอป หรือระบบธุรกิจขนาดเล็กที่รองรับด้วยฐานข้อมูล ข้อมูลของคุณอาจตกอยู่ในความเสี่ยงแม้ว่าคุณจะไม่เคยติดตั้งสิ่งที่น่าสงสัยใดๆ ก็ตาม ระบบจัดการเนื้อหา ที่เก็บการตั้งค่า และเครื่องมือภายใน มักเก็บข้อมูลสำคัญไว้ในฐานข้อมูลที่ไม่มีใครตรวจสอบมาหลายปี
สำหรับผู้ใช้รายบุคคล บทเรียนคือเรื่องของบริการที่คุณพึ่งพาและบัญชีที่คุณควบคุม เครื่องมือที่โฮสต์เอง โปรเจกต์งานอดิเรก และบัญชีคลาวด์ ล้วนใช้ข้อมูลรับรองที่อาจรั่วไหลได้ การปฏิบัติต่อข้อมูลรับรองเหล่านั้นเสมือนข้อมูลอ่อนไหว และการเก็บสำเนาข้อมูลสำคัญไว้เอง ช่วยลดความเสียหายหากผู้ให้บริการหรือโปรเจกต์ถูกบุกรุก
ไม่จำเป็นต้องตื่นตระหนก การโจมตีที่อธิบายนี้พึ่งพาการเข้าถึงที่สามารถจำกัดได้ และการสูญเสียข้อมูลที่สามารถกู้คืนได้ หากคุณเตรียมพร้อมไว้
การปกป้องข้อมูลที่จัดเก็บ: การควบคุมการเข้าถึง ข้อมูลรับรอง และแบ็กอัปออฟไลน์
ขั้นตอนเหล่านี้จัดการกับจุดอ่อนที่เหตุการณ์นี้เน้นให้เห็น:
- ตรวจสอบฐานข้อมูลที่เปิดเผย ยืนยันว่าฐานข้อมูลใดเข้าถึงได้จากอินเทอร์เน็ต ปิดการเข้าถึงสาธารณะและจำกัดการเชื่อมต่อเฉพาะระบบที่ต้องการเท่านั้น
- หมุนเวียนข้อมูลรับรอง เปลี่ยนรหัสผ่านและคีย์ของฐานข้อมูลและคลาวด์ โดยเฉพาะอันที่ปรากฏในที่เก็บโค้ด บันทึก หรือเอกสารที่แชร์ ใช้ข้อมูลรับรองที่ไม่ซ้ำกันสำหรับแต่ละบริการ
- ใช้สิทธิ์น้อยที่สุด บัญชีแอปพลิเคชันไม่ค่อยจำเป็นต้องมีสิทธิ์ดรอปตารางหรือรันฟังก์ชันการเข้ารหัสแบบกลุ่ม ให้สิทธิ์เฉพาะที่จำเป็นเท่านั้น
- ตรวจสอบกิจกรรมของฐานข้อมูล แจ้งเตือนเมื่อมีการสร้างตาราง การลบ และการเข้าสู่ระบบที่ไม่คุ้นเคยอย่างไม่คาดคิด
- เก็บแบ็กอัปออฟไลน์และทดสอบ เนื่องจากการโจมตีนี้ดรอปตารางต้นฉบับ แบ็กอัปที่เชื่อมต่อกับสภาพแวดล้อมเดียวกันอาจเสี่ยงด้วยเช่นกัน เก็บอย่างน้อยหนึ่งสำเนาไว้ออฟไลน์หรือแยกออกจากกัน และฝึกการกู้คืน
ประเด็นสำคัญ
บันทึกของ JadePuffer แสดงให้เห็นว่าการโจมตีฐานข้อมูลด้วยแรนซัมแวร์ที่ดำเนินการโดย AI ไม่จำเป็นต้องใช้มัลแวร์แปลกใหม่ เพียงแค่การเข้าถึงและคำสั่ง SQL ไม่กี่คำสั่ง เริ่มต้นด้วยการตรวจสอบว่าฐานข้อมูลใดถูกเปิดเผย หมุนเวียนข้อมูลรับรองที่อาจรั่วไหล และตรวจสอบว่าแบ็กอัปออฟไลน์ของคุณกู้คืนได้จริง สำหรับรายละเอียดการโจมตีที่สมบูรณ์ โปรดอ่าน รายงานการยืนยันของ Sysdig ของเรา และติดตามเรื่องราว ENCFORGE และ Aurora ข้างต้นเพื่อดูว่าแรนซัมแวร์ที่ช่วยเหลือด้วย AI เปลี่ยนแปลงอยู่ตลอดเวลาอย่างไร
