อะไรที่เปลี่ยนไปในระลอกสองของ Jadepuffer

กลุ่มแรนซัมแวร์ใช้เวลาหลายปีที่ผ่านมารวมเข้าสู่แผนการเดียว: ขโมยข้อมูลก่อน เข้ารหัสทีหลัง แล้วขู่ว่าจะรั่วไหลทุกอย่างหากเหยื่อไม่ยอมจ่าย มันถูกเรียกว่าการรีดไถสองชั้น และกลายเป็นโมเดลการทำงานมาตรฐานของเกือบทุกกลุ่มแรนซัมแวร์ที่จริงจัง Jadepuffer เพิ่งแหกกฎนั้น

มัลแวร์เวอร์ชันล่าสุดที่ถูกบันทึกไว้ในรายงานการกลับมาครั้งนี้ ข้ามขั้นตอนการขโมยข้อมูลไปเลย ไม่มีการดึงข้อมูลออกไป ไม่มีไฟล์ที่ถูกขโมยไปวางบนเว็บไซต์รั่วไหล ไม่มีการข่มขู่ชั้นที่สองซ้อนทับอยู่บนชั้นแรก Jadepuffer มุ่งตรงไปที่การเข้ารหัส ไฟล์บนระบบที่ถูกบุกรุกจะถูกล็อค ข้อความเรียกค่าไถ่ปรากฏขึ้น และอำนาจต่อรองเดียวที่ผู้โจมตีมีคือคำสัญญา (หรือคำขู่) ว่าจะให้กุญแจถอดรหัส แค่นั้น ไม่มีบันทึกลูกค้าที่ถูกขโมย ไม่มีสัญญาที่รั่วไหล ไม่มีการประมูลในดาร์กเว็บ

เมื่อมองผิวเผิน นั่นฟังดูเหมือนการถอยหลังสำหรับผู้โจมตี การรีดไถสองชั้นมีขึ้นเพราะมันได้ผล: แม้องค์กรที่มีระบบสำรองข้อมูลที่มั่นคงบางครั้งก็ยังยอมจ่ายเพียงเพื่อป้องกันไม่ให้ข้อมูลที่ถูกขโมยถูกเปิดเผย การทิ้งเครื่องมือต่อรองนั้น ตามทฤษฎีแล้ว น่าจะทำให้ Jadepuffer มีประสิทธิภาพลดลง แต่รายงานชี้ให้เห็นสิ่งที่ตรงกันข้าม: เวอร์ชันที่สองนี้ถูกอธิบายว่าใหญ่และดุดันกว่าเวอร์ชันแรก ซึ่งตั้งคำถามสำคัญให้กับฝ่ายป้องกัน ถ้า Jadepuffer ไม่ได้พึ่งพาการเปิดเผยข้อมูลเพื่อกดดันเหยื่อ แล้วมันพึ่งพาอะไรแทน?

ทำไมการรีดไถด้วยการเข้ารหัสเพียงอย่างเดียวถึงยังอันตราย

คำตอบนั้นเรียบง่ายและไม่น่าสบายใจ: การเข้ารหัสเพียงอย่างเดียวมักจะเพียงพอแล้ว สำหรับองค์กรใดก็ตามที่ไม่มีระบบสำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบ การที่ไฟล์ทุกไฟล์บนเครือข่ายถูกเข้ารหัสในชั่วข้ามคืนเป็นเหตุการณ์ที่ทำให้ธุรกิจหยุดชะงัก ไม่ว่าข้อมูลจะถูกขโมยไปด้วยหรือไม่ ระบบจ่ายเงินเดือนหยุดทำงาน บันทึกผู้ป่วยเข้าถึงไม่ได้ สายการผลิตที่พึ่งพาซอฟต์แวร์ควบคุมที่เชื่อมต่อเครือข่ายดับลง การไม่มีภัยคุกคามเรื่องการรั่วไหลไม่ได้ทำให้การหยุดทำงานนั้นเป็นจริงน้อยลง

เรื่องนี้ควรค่าแก่การไตร่ตรอง เพราะการรายงานข่าวเกี่ยวกับแรนซัมแวร์จำนวนมาก มุ่งเน้นไปที่มุมการขโมยข้อมูลอย่างเข้าใจได้: อะไรถูกขโมย ใครได้รับผลกระทบ มันปรากฏบนเว็บไซต์รั่วไหลหรือไม่ การที่ Jadepuffer กลับไปใช้โมเดลเข้ารหัสล้วนๆ เป็นเครื่องเตือนใจว่า การทำให้การดำเนินงานหยุดชะงักเพียงอย่างเดียวก็เพียงพอที่จะเรียกค่าไถ่ได้ กลุ่มที่ข้ามการดึงข้อมูลออกไปยังเคลื่อนไหวได้เร็วขึ้นและทิ้งร่องรอยภายในเครือข่ายของเหยื่อน้อยลง เพราะพวกเขาไม่ต้องใช้เวลาค้นหา จัดการ และถ่ายโอนไฟล์สำคัญก่อนจะเริ่มเข้ารหัส ความเร็วและการซ่อนตัวกลายเป็นสิ่งแลกเปลี่ยนกับการสละอำนาจต่อรองจากการรั่วไหลข้อมูล

Jadepuffer เวอร์ชันนี้เป็นส่วนหนึ่งของรูปแบบที่กว้างขึ้นที่กลุ่มนี้แสดงให้เห็นในประวัติเครื่องมือของตน รายงานก่อนหน้านี้เกี่ยวกับ การโจมตีแรนซัมแวร์ที่ขับเคลื่อนด้วย AI ครั้งแรกของ JadePuffer อธิบายถึงปฏิบัติการที่โดดเด่นตรงที่การบุกรุกส่วนใหญ่เป็นอัตโนมัติมากกว่าที่จะขับเคลื่อนโดยมนุษย์ เครื่องมือที่เกี่ยวข้องจากผู้ก่อการรายเดียวกัน Encforge แหกกฎจากมาตรฐานของแรนซัมแวร์ในแบบของมันเอง ผู้อ่านที่ต้องการภาพรวมเต็มๆ ว่าชุดเครื่องมือของกลุ่มนี้มีวิวัฒนาการอย่างไร รวมถึง การที่ Encforge ใช้ประโยชน์จากช่องโหว่ Langflow เพื่อเข้าถึงโครงสร้างพื้นฐาน AI จะพบว่าบริบทที่มีประโยชน์ในรายงานก่อนหน้านี้

สิ่งที่ตัวระบุเหยื่อและข้อความเรียกค่าไถ่เปิดเผย

รายละเอียดหนึ่งที่ควรค่าแก่การใส่ใจคือความเป็นระบบของข้อความเรียกค่าไถ่เอง เหยื่อแต่ละรายจะได้รับตัวระบุเฉพาะ และข้อความรวมถึงคำเตือนที่เชื่อมโยงกับกุญแจถอดรหัส โครงสร้างนั้นไม่ใช่เรื่องบังเอิญ รหัสประจำตัวที่ไม่ซ้ำกันทำให้ผู้ปฏิบัติการติดตามได้ว่าเหยื่อรายไหนเป็นรายไหนในการสื่อสาร เชื่อมโยงการชำระเงินกับกุญแจถอดรหัสเฉพาะ และจัดการเหตุการณ์ที่เกิดขึ้นพร้อมกันหลายเหตุการณ์ได้โดยไม่สับสน มันเป็นโครงสร้างพื้นฐานแบบที่คุณคาดหวังจากกลุ่มที่ดำเนินการนี้เป็นปฏิบัติการที่ทำซ้ำได้ มากกว่าจะเป็นการโจมตีครั้งเดียว

สำหรับผู้ตอบสนองเหตุการณ์และทีมข่าวกรองภัยคุกคาม การจัดรูปแบบข้อความเรียกค่าไถ่ โครงสร้างตัวระบุ และคำแนะนำการชำระเงิน ก็เป็นวัตถุที่มีประโยชน์เช่นกัน พวกมันสามารถช่วยยืนยันว่าเหตุการณ์หนึ่งเชื่อมโยงกับผู้ก่อการที่รู้จักอย่าง Jadepuffer จริง หรือเป็นพวกก็อปปี้ที่ใช้เครื่องมือที่รั่วไหลหรือซื้อมา ซึ่งสำคัญต่อการตัดสินใจว่าจะตอบสนองอย่างไรและคาดหวังอะไรต่อไป

การลดความเสี่ยง: การแบ่งส่วนเครือข่าย, VPN และกลยุทธ์การสำรองข้อมูล

การตอบสนองเชิงปฏิบัติต่อแรนซัมแวร์ที่เข้ารหัสอย่างเดียวไม่ได้เปลี่ยนไปมากนัก แม้ว่าเครื่องมือจะพัฒนาขึ้นก็ตาม ระบบสำรองข้อมูลออฟไลน์ที่ผ่านการทดสอบยังคงเป็นวิธีที่น่าเชื่อถือที่สุดที่จะทำให้เหตุการณ์เข้ารหัสอยู่รอดได้โดยไม่ต้องจ่ายเงิน ข้อมูลสำรองที่อยู่บนเครือข่ายเดียวกับระบบการผลิตมักจะถูกเข้ารหัสไปพร้อมกับทุกสิ่งทุกอย่าง ดังนั้นการแยกส่วนจึงสำคัญพอๆ กับตัวสำรองข้อมูลเอง

การแบ่งส่วนเครือข่ายจำกัดว่าผู้โจมตีจะเคลื่อนที่ไปได้ไกลแค่ไหนเมื่อพวกเขาได้จุดตั้งหลัก นั่นจำกัดรัศมีความเสียหายของเหตุการณ์เข้ารหัสแม้การเข้าถึงครั้งแรกจะสำเร็จก็ตาม การจำกัดเครื่องมือการเข้าถึงระยะไกล การเฝ้าติดตามการเคลื่อนที่ด้านข้างที่ผิดปกติ และการใช้วิธีการเข้าถึงระยะไกลที่ปลอดภัย (รวมถึง VPN ที่กำหนดค่าด้วยการควบคุมการเข้าถึงที่เข้มงวดแทนที่จะเชื่อใจเครือข่ายทั้งหมด) ล้วนลดโอกาสที่ข้อมูลประจำตัวที่ถูกบุกรุกเพียงชุดเดียวจะกลายเป็นการหยุดทำงานทั่วทั้งองค์กร

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากองค์กรของคุณจัดการข้อมูลสำคัญหรือพึ่งพาระบบเครือข่ายสำหรับการดำเนินงานประจำวัน ระลอกสองของ Jadepuffer เป็นเครื่องเตือนใจว่าแรนซัมแวร์ไม่จำเป็นต้องขโมยข้อมูลของคุณเพื่อทำร้ายคุณ การเข้ารหัสเพียงอย่างเดียวเมื่อทำในวงกว้าง เป็นรูปแบบธุรกิจที่ใช้ได้สำหรับผู้โจมตี นั่นหมายความว่ากลยุทธ์การสำรองข้อมูลและการแบ่งส่วนเครือข่ายสมควรได้รับความสนใจพอๆ กับการป้องกันข้อมูลสูญหาย ไม่ใช่น้อยกว่า การทบทวนว่าองค์กรของคุณจะกู้คืนการดำเนินงานจากระบบสำรองออฟไลน์ได้เร็วแค่ไหน โดยไม่ต้องแตะข้อความเรียกค่าไถ่เลย เป็นแบบฝึกหัดที่มีประสิทธิผลมากกว่าการพยายามคาดเดาการเคลื่อนไหวครั้งต่อไปของกลุ่มใดกลุ่มหนึ่ง

ประเด็นสำคัญ

  • Jadepuffer เวอร์ชันใหม่ล่าสุดข้ามการขโมยข้อมูลไปเลย โดยพึ่งพาการเข้ารหัสเพียงอย่างเดียวเป็นเครื่องมือต่อรอง
  • การโจมตีด้วยการเข้ารหัสเพียงอย่างเดียวสามารถสร้างความเสียหายได้พอๆ กับการรีดไถสองชั้น หากระบบสำรองข้อมูลไม่ได้แยกจากเครือข่ายการผลิต
  • ตัวระบุเหยื่อที่ไม่ซ้ำกันในข้อความเรียกค่าไถ่ชี้ไปที่ปฏิบัติการที่มีโครงสร้างและสามารถทำซ้ำได้ มากกว่าการโจมตีแบบเฉพาะหน้า
  • ระบบสำรองข้อมูลออฟไลน์ที่ผ่านการทดสอบและการแบ่งส่วนเครือข่ายยังคงเป็นการป้องกันที่มีประสิทธิภาพที่สุดต่อการโจมตีรูปแบบนี้
  • การทบทวนการกำหนดค่าการเข้าถึงระยะไกลและ VPN เพื่อการเข้าถึงแบบสิทธิ์น้อยที่สุด สามารถจำกัดว่าผู้บุกรุกจะแพร่กระจายไปได้ไกลแค่ไหนก่อนที่การเข้ารหัสจะเริ่มขึ้น