แคมเปญรีดไถสองทางของ LockBit 5.0 ยังคงดำเนินอยู่ทั่วโลก

LockBit 5.0 ยังคงโจมตีองค์กรต่างๆ ทั่วโลกอย่างแข็งขัน และกลุ่มพันธมิตรของมันได้ปรับวิธีการให้เป็นการโจมตีสองทางที่ป้องกันได้ยากขึ้น ตามรายงานข่าวกรองภัยคุกคามล่าสุด แคมเปญรีดไถสองทางของ LockBit 5.0 ในปัจจุบันพึ่งพาการเข้ารหัสแบบ brute-force เพียงอย่างเดียวน้อยลง และหันมาใช้การผสมผสานระหว่างการขโมยข้อมูลและการก่อกวนที่คำนวณมาเพื่อเพิ่มแรงกดดันให้เหยื่อจ่ายค่าไถ่มากที่สุด

นี่ไม่ใช่ตระกูลแรนซัมแวร์ใหม่ที่โผล่มาจากไหน LockBit มีประวัติศาสตร์ยาวนานและมีข้อมูลชัดเจนว่าเป็นหนึ่งในปฏิบัติการแรนซัมแวร์-as-a-service ที่แพร่หลายที่สุดในโลก และการกลับมาของมันหลังจากปฏิบัติการโครนอสของหน่วยงานบังคับใช้กฎหมายได้ถูกนักวิจัยด้านความปลอดภัยติดตามอย่างใกล้ชิด สำหรับผู้อ่านที่ต้องการข้อมูลความเป็นมาที่สมบูรณ์ยิ่งขึ้นว่ากลุ่มนี้สร้างตัวเองขึ้นมาใหม่และพัฒนามาเป็นรูปแบบปัจจุบันได้อย่างไร บทความอธิบาย LockBit 5.0 ของเรา ครอบคลุมประวัติศาสตร์นั้นอย่างละเอียด บทความนี้จะเน้นที่สิ่งที่เกิดขึ้นในขณะนี้: กลไกของแคมเปญปัจจุบันและสิ่งที่องค์กรต่างๆ สามารถทำได้

กลไกการโจมตีแบบรีดไถสองทางของ LockBit 5.0

รูปแบบการโจมตีที่กลุ่มพันธมิตรใช้ดำเนินไปตามลำดับที่ตั้งใจไว้ ก่อนที่ไฟล์ใดๆ จะถูกเข้ารหัส ผู้โจมตีจะขโมยข้อมูลออกจากเครือข่ายเป้าหมายก่อน โดยใช้เครื่องมืออย่าง Rclone ซึ่งเป็นยูทิลิตี้ถ่ายโอนไฟล์ที่ถูกกฎหมายที่ถูกนำมาใช้ใหม่เพื่อเคลื่อนย้ายข้อมูลที่ถูกขโมยปริมาณมากไปยังที่จัดเก็บภายนอกอย่างเงียบๆ หรือมัลแวร์ขโมยข้อมูลที่สร้างขึ้นเองโดยเฉพาะสำหรับงานนี้

หลังจากที่ข้อมูลถูกคัดลอกออกไปแล้วเท่านั้น ขั้นตอนการเข้ารหัสจึงจะเริ่มขึ้น และมันถูกออกแบบมาให้รวดเร็ว กลุ่มพันธมิตรใช้กระบวนการเข้ารหัสแบบรวดเร็วและไม่ต่อเนื่อง หมายความว่าไฟล์ถูกล็อกเป็นช่วงๆ แทนที่จะเข้ารหัสทั้งหมดในครั้งเดียวในกระบวนการต่อเนื่อง วิธีการนี้ทำให้ผู้โจมตีสามารถเข้ารหัสไฟล์จำนวนมากได้อย่างรวดเร็ว ในขณะที่ตรวจจับโดยเครื่องมือตรวจสอบแบบดั้งเดิมได้ยากขึ้น ไฟล์ที่ถูกเข้ารหัสยังถูกกำหนดนามสกุลไฟล์แบบสุ่ม ซึ่งทำให้การกู้คืนยุ่งยากและยากขึ้นสำหรับผู้ป้องกันที่จะระบุขอบเขตของสิ่งที่ได้รับผลกระทบอย่างรวดเร็ว

ผลลัพธ์คือสถานการณ์ที่บีบบังคับเหยื่อสองทาง แม้ว่าองค์กรจะสามารถกู้คืนระบบที่ถูกเข้ารหัสจากข้อมูลสำรองและหลีกเลี่ยงการจ่ายค่าคีย์ถอดรหัสได้ แต่ผู้โจมตียังคงครอบครองข้อมูลที่ถูกขโมยและสามารถข่มขู่ที่จะรั่วไหลหรือขายข้อมูลนั้นได้ แรงกดดันที่สองนี่เองคือเหตุผลที่โมเดลนี้ยังคงมีประสิทธิภาพสำหรับกลุ่มแรนซัมแวร์ในอุตสาหกรรม และเหตุผลที่กลุ่มพันธมิตรของ LockBit ยังคงพึ่งพามันในสภาพแวดล้อม Windows, Linux และ virtualized

เหตุใดการขโมยข้อมูลจึงเป็นภัยคุกคามที่แท้จริง ไม่ใช่แค่การเข้ารหัส

มันน่าดึงดูดที่จะคิดว่าแรนซัมแวร์เป็นปัญหาการเข้ารหัสไฟล์เป็นหลัก ซึ่งเป็นสิ่งที่คุณแก้ไขได้โดยการสำรองข้อมูลที่ดี แต่วิธีคิดแบบนั้นพลาดจุดที่แรงกดดันที่แท้จริงอยู่ เมื่อข้อมูลออกจากเครือข่ายไปแล้ว การสำรองข้อมูลก็ไม่สามารถย้อนกลับการเปิดเผยข้อมูลได้ ไฟล์ที่ถูกขโมย ไม่ว่าจะเป็นข้อมูลลูกค้า ข้อมูลทางการเงิน การสื่อสารภายใน หรือทรัพย์สินทางปัญญา อยู่ในมือผู้โจมตีแล้ว ไม่ว่าองค์กรเหยื่อจะจ่ายค่าไถ่หรือไม่ก็ตาม

การเปลี่ยนแปลงนี้มีความสำคัญเพราะมันเปลี่ยนความหมายของ 'การกู้คืน' อย่างแท้จริง การกู้คืนระบบจากข้อมูลสำรองที่สะอาดช่วยแก้ไขเวลาหยุดทำงานจากการปฏิบัติการ แต่ไม่ได้ป้องกันข้อมูลอ่อนไหวจากการถูกเผยแพร่บนเว็บไซต์รั่วไหลหรือถูกขายให้ผู้คุกคามรายอื่น องค์กรจำเป็นต้องมองว่าการขโมยข้อมูลเป็นความเสี่ยงหลักที่ต้องวางแผนรับมือ ไม่ใช่แค่ความคิดภายหลังจากการเข้ารหัส

ขั้นตอนการเสริมความแข็งแกร่ง: การสำรองข้อมูล การแบ่งส่วนเครือข่าย และการควบคุมการเข้าถึง

เมื่อพิจารณารูปแบบการโจมตีนี้ ลำดับความสำคัญในการป้องกันบางประการโดดเด่นขึ้นมาเกี่ยวข้องอย่างยิ่งกับวิธีที่กลุ่มพันธมิตร LockBit 5.0 ดำเนินการ:

• การสำรองข้อมูลแบบเข้ารหัสและออฟไลน์ การสำรองข้อมูลควรเข้ารหัสเมื่อเก็บและแยกออกจากเครือข่ายหลัก โดยควรมีสำเนาแบบเขียนไม่ได้ (immutable) หรือ air-gapped เพื่อที่แม้ผู้โจมตีจะเข้าถึงได้กว้าง ก็ไม่สามารถเข้าถึงหรือยุ่งเกี่ยวกับข้อมูลกู้คืนได้
• การแบ่งส่วนเครือข่าย เนื่องจากกลุ่มพันธมิตรย้ายข้อมูลออกก่อนเข้ารหัส การจำกัดว่าผู้บุกรุกสามารถเดินทางข้ามเครือข่ายได้ไกลแค่ไหนเมื่อเข้ามาแล้ว จะช่วยลดทั้งปริมาณข้อมูลที่เสี่ยงและจำนวนระบบที่อาจถูกโจมตีในช่วงการเข้ารหัส
• การเฝ้าติดตามการถ่ายโอนข้อมูลที่ผิดปกติ เนื่องจากเครื่องมือขโมยข้อมูลอย่าง Rclone เป็นซอฟต์แวร์ที่ถูกกฎหมายที่ถูกนำไปใช้ในทางที่ผิด ทีมรักษาความปลอดภัยควรเฝ้าดูปริมาณการถ่ายโอนข้อมูลขาออกที่ผิดปกติ หรือการใช้ยูทิลิตี้ซิงค์ไฟล์ที่ไม่คุ้นเคย ไม่ใช่แค่ลายเซ็นมัลแวร์
• การควบคุมการเข้าถึงที่เข้มงวด การจำกัดว่าบัญชีและระบบใดที่สามารถเข้าถึงข้อมูลอ่อนไหวได้ จะลดปริมาณข้อมูลที่อาจถูกขโมยลง แม้ว่าผู้โจมตีจะบุกรุกบัญชีแรกเริ่มได้แล้ว
• การวางแผนตอบสนองต่อเหตุการณ์ที่ยอมรับว่ามีการขโมยข้อมูล แผนการตอบสนองควรคำนึงอย่างชัดเจนถึงความเป็นไปได้ที่ข้อมูลถูกคัดลอกออกไปแล้วก่อนมีการตรวจพบการเข้ารหัส เพื่อให้ภาระผูกพันทางกฎหมาย การสื่อสาร และข้อบังคับต่างๆ ไม่เป็นแค่การแก้ไขภายหลัง

ไม่มีมาตรการใดในนี้ที่แปลกใหม่ สิ่งสำคัญคือการนำไปใช้โดยคำนึงถึงรูปแบบเฉพาะของ LockBit 5.0: การเข้ารหัสอย่างรวดเร็วและไม่ต่อเนื่องที่นำหน้าด้วยการขโมยข้อมูลอย่างเงียบๆ

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณดูแลไอทีหรือความปลอดภัยให้กับองค์กรขนาดใดก็ตาม ข้อคิดที่นำไปใช้ได้จริงคือ การป้องกันแรนซัมแวร์ไม่สามารถหยุดอยู่แค่การป้องกันการเข้ารหัสได้ เหตุการณ์รีดไถสองทางของ LockBit 5.0 ประสบความสำเร็จแม้กับองค์กรที่มีแนวปฏิบัติด้านการสำรองข้อมูลที่แข็งแกร่ง เนื่องจากการขโมยเกิดขึ้นก่อนและแรงกดดันไม่ได้ขึ้นอยู่กับการเข้ารหัสเพียงอย่างเดียว การทบทวนวิธีการแบ่งส่วนข้อมูลอ่อนไหว ใครสามารถเข้าถึงได้ และมีการเฝ้าติดตามการถ่ายโอนข้อมูลขาออกหรือไม่นั้น อย่างน้อยก็สำคัญพอๆ กับสุขอนามัยการสำรองข้อมูลในตอนนี้

สำหรับบุคคลทั่วไป การเปิดเผยนั้นเป็นทางอ้อมมากกว่าแต่ก็ยังเป็นจริง หากบริษัทที่คุณได้แบ่งปันข้อมูลส่วนบุคคลด้วยถูกโจมตีด้วยแคมเปญแบบนี้ ข้อมูลของคุณอาจถูกเปิดเผยออกไป ไม่ว่าองค์กรนั้นจะจ่ายค่าไถ่หรือไม่ก็ตาม มันเป็นเครื่องเตือนใจที่ดีให้เลือกแบ่งปันข้อมูลส่วนบุคคลกับบริการต่างๆ อย่างระมัดระวัง และคอยสังเกตประกาศแจ้งการละเมิดข้อมูลที่เกี่ยวข้องกับบริษัทที่คุณใช้บริการ

ประเด็นสำคัญ

กิจกรรมที่ต่อเนื่องของ LockBit 5.0 เป็นเครื่องเตือนใจว่าปฏิบัติการแรนซัมแวร์-as-a-service ปรับตัวอย่างรวดเร็ว และการป้องกันจำเป็นต้องก้าวให้ทัน เพื่อลดความเสี่ยงจากแคมเปญเช่นนี้:

• รักษาการสำรองข้อมูลแบบเข้ารหัส ออฟไลน์ หรือแบบไม่สามารถเปลี่ยนแปลงได้ที่ผู้โจมตีไม่สามารถเข้าถึงหรือทำให้เสียหายได้
• แบ่งส่วนเครือข่ายเพื่อไม่ให้บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวเข้าถึงทั้งสภาพแวดล้อมได้
• เฝ้าติดตามการถ่ายโอนข้อมูลขาออกที่ผิดปกติ ไม่ใช่แค่ลายเซ็นมัลแวร์
• ใช้การควบคุมการเข้าถึงข้อมูลอ่อนไหวแบบจำเป็นต้องรู้อย่างเข้มงวด
• สร้างแผนการตอบสนองต่อเหตุการณ์ที่สันนิษฐานว่าการขโมยข้อมูลเกิดขึ้นก่อนการตรวจจับ

สำหรับความเป็นมาเพิ่มเติมว่า LockBit สร้างปฏิบัติการของตนขึ้นมาใหม่ได้อย่างไรหลังจากการขัดขวางของหน่วยงานบังคับใช้กฎหมาย และสิ่งที่เปลี่ยนไปในเวอร์ชันล่าสุด อ่าน บทความอธิบายวิวัฒนาการของ LockBit 5.0 ฉบับเต็มของเรา