แรนซัมแวร์ LockBit ไม่ได้หายไป แต่มันปรับตัว

เป็นเวลาหลายปีที่แรนซัมแวร์ LockBit ดำเนินงานในฐานะหนึ่งในปฏิบัติการแรนซัมแวร์-as-a-service (RaaS) ที่แพร่หลายที่สุดในโลก โดยให้เช่าเครื่องมือเข้ารหัสและโครงสร้างพื้นฐานแก่เครือข่ายพันธมิตรที่ดำเนินการโจมตีเพื่อแลกกับส่วนแบ่งค่าไถ่ เมื่อหน่วยงานบังคับใช้กฎหมายเปิดตัวปฏิบัติการโครนอส ซึ่งเป็นความพยายามปราบปรามระหว่างประเทศที่มุ่งเป้าไปที่เซิร์ฟเวอร์ ไซต์รั่วไหลข้อมูล และโครงสร้างพื้นฐานพันธมิตรของ LockBit หลายคนสันนิษฐานว่าการครองอำนาจของกลุ่มได้สิ้นสุดลงแล้ว แต่ในทางกลับกัน ปฏิบัติการดังกล่าวกลับมาพร้อมกับ LockBit 5.0 ซึ่งเป็นมัลแวร์เวอร์ชันอัปเดตที่สะท้อนบทเรียนที่ได้เรียนรู้จากการหยุดชะงัก

การทำความเข้าใจว่าแรนซัมแวร์นี้ทำงานอย่างไร และมันเปลี่ยนแปลงไปอย่างไร มีความสำคัญเกินกว่าแผนกไอที การโจมตีด้วยแรนซัมแวร์มักเปิดเผยบันทึกลูกค้า ข้อมูลพนักงาน และไฟล์ธุรกิจที่เป็นความลับ ซึ่งหมายความว่าผลกระทบจากการบุกรุกที่สำเร็จมักกลายเป็นเหตุการณ์ความเป็นส่วนตัวสำหรับทุกคนที่ข้อมูลถูกเก็บไว้บนเครือข่ายที่ถูกโจมตี

LockBit ดำเนินงานในฐานะธุรกิจ RaaS อย่างไร

LockBit ทำหน้าที่เหมือนแฟรนไชส์อาชญากรรมมากกว่ากลุ่มแฮ็กเกอร์กลุ่มเดียว ผู้พัฒนาหลักดูแลรักษามัลแวร์เข้ารหัสและเจรจาโครงสร้างพื้นฐาน ในขณะที่พันธมิตรอิสระจัดการการบุกรุกจริง เคลื่อนที่ผ่านเครือข่ายของเหยื่อ ขโมยข้อมูล และปล่อยเพย์โหลดแรนซัมแวร์ เนื่องจากมีพันธมิตรจำนวนมากใช้ชุดเครื่องมือ LockBit เดียวกัน คำว่า "การโจมตีของ LockBit" จึงสามารถอธิบายวิธีการบุกรุกและพฤติกรรมที่แตกต่างกันอย่างมาก ขึ้นอยู่กับพันธมิตรที่ดำเนินการ

รูปแบบพันธมิตรนี้คือสิ่งที่ทำให้ LockBit คงอยู่อย่างต่อเนื่อง แม้เมื่อบุคคลเฉพาะเจาะจงถูกจับกุมหรือโครงสร้างพื้นฐานถูกยึด เช่นที่เกิดขึ้นระหว่างปฏิบัติการโครนอส เครือข่ายพันธมิตรที่กว้างขึ้นและชื่อเสียงของแบรนด์ LockBit ก็สามารถอยู่รอดได้นานกว่าการปราบปรามใด ๆ นั่นเป็นส่วนหนึ่งของเหตุผลที่ LockBit 5.0 เกิดขึ้นแทนที่กลุ่มจะหายไปเฉย ๆ

การบุกรุกของ LockBit ส่วนใหญ่ทำตามรูปแบบการรีดไถสองขั้นตอน: ผู้โจมตีจะขโมยไฟล์สำคัญออกไปก่อน จากนั้นเข้ารหัสระบบ และสุดท้ายขู่ว่าจะเผยแพร่ข้อมูลที่ถูกขโมยหากไม่จ่ายค่าไถ่ นี่เป็นกลยุทธ์กดดันแบบเดียวกับที่เห็นในเหตุการณ์รีดไถที่มีชื่อเสียงอื่น ๆ เช่น กรณีที่แฮ็กเกอร์ใช้นามแฝง "888" อ้างว่าขโมยซอร์สโค้ดของ Accenture ไป 35 GB ซึ่งแสดงให้เห็นว่าข้อมูลองค์กรที่ถูกขโมยกลายเป็นสิ่งต่อรองได้อย่างไรแม้ไม่มีการเข้ารหัสแรนซัมแวร์เกี่ยวข้อง

ปฏิบัติการโครนอสเปลี่ยนแปลงอะไร และ LockBit 5.0 นำเสนออะไร

ปฏิบัติการโครนอสขัดขวางไซต์รั่วไหลข้อมูลและโครงสร้างพื้นฐานหลังบ้านของ LockBit บังคับให้กลุ่มต้องสร้างความไว้วางใจกับพันธมิตรใหม่ และแสดงให้เห็นว่ายังสามารถดำเนินงานได้อย่างมีประสิทธิภาพ LockBit 5.0 แสดงถึงความพยายามสร้างใหม่นั้น: เวอร์ชันมัลแวร์ที่พัฒนาขึ้น ออกแบบมาเพื่อแก้ไขปัญหาบทเรียนด้านความปลอดภัยในการปฏิบัติงานที่ได้เรียนรู้จากการถูกปราบปราม

สำหรับฝ่ายป้องกัน ประเด็นสำคัญไม่ใช่การปรับแต่งทางเทคนิคเฉพาะในมัลแวร์เวอร์ชันใหม่ แต่อยู่ที่รูปแบบ ปฏิบัติการแรนซัมแวร์ที่ถูกขัดขวางแทบจะไม่หายไปอย่างสมบูรณ์ พวกมันเปลี่ยนชื่อตัวตน แก้ไขจุดอ่อน และกลับมาพร้อมกับเครื่องมือที่อัปเดต การปฏิบัติต่อการปราบปรามของหน่วยงานบังคับใช้กฎหมายว่าเป็นจุดสิ้นสุดของภัยคุกคามเป็นความผิดพลาด องค์กรจำเป็นต้องสันนิษฐานว่าปฏิบัติการสไตล์ LockBit ไม่ว่าจะดำเนินการโดยกลุ่มดั้งเดิมหรือพันธมิตรลอกเลียนแบบที่ใช้เครื่องมือสร้างที่รั่วไหลออกมา จะยังคงมุ่งเป้าไปที่เครือข่ายที่มีการป้องกันที่อ่อนแอ

การตรวจจับ การตอบสนอง และการกู้คืน

เนื่องจากพันธมิตรของ LockBit มีเทคนิคที่แตกต่างกันไป จึงไม่มีมาตรการควบคุมเดียวที่ป้องกันการโจมตีได้ทุกครั้ง การป้องกันที่มีประสิทธิภาพอาศัยการซ้อนทับการป้องกันหลายชั้น:

  • ดูแลรักษาการสำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบแล้ว เพื่อให้ระบบที่ถูกเข้ารหัสสามารถกู้คืนได้โดยไม่ต้องจ่ายค่าไถ่
  • บังคับใช้การยืนยันตัวตนหลายปัจจัยบนจุดเชื่อมต่อระยะไกล เนื่องจากข้อมูลประจำตัวที่ถูกขโมยยังคงเป็นเส้นทางเข้าสำหรับพันธมิตร
  • อัปเดตแพตช์ระบบที่หันหน้าเข้าอินเทอร์เน็ตทันที เนื่องจากช่องโหว่ที่ไม่ได้รับการแพตช์มักถูกใช้เพื่อการเข้าถึงครั้งแรก
  • ติดตั้งเครื่องมือตรวจจับปลายทางที่สามารถสังเกตการเคลื่อนที่ด้านข้างและการยกระดับสิทธิ์ที่มักเกิดขึ้นก่อนการเข้ารหัส
  • แบ่งส่วนเครือข่ายเพื่อให้อุปกรณ์ที่ถูกบุกรุกเพียงเครื่องเดียวไม่สามารถเข้าถึงระบบสำคัญหรือที่เก็บสำรองข้อมูลได้ง่าย

การตรวจจับอย่างรวดเร็วในช่วงการขโมยข้อมูลออก ก่อนที่การเข้ารหัสจะเริ่มขึ้น ให้โอกาสที่ดีที่สุดในการจำกัดความเสียหายและหลีกเลี่ยงกระบวนการกู้คืนที่มีค่าใช้จ่ายสูง

สิ่งนี้หมายถึงอะไรสำหรับคุณ

แม้ว่าคุณจะไม่ใช่ผู้ดูแลระบบไอที กิจกรรมของ LockBit ก็ส่งผลกระทบต่อคุณโดยอ้อม การโจมตีด้วยแรนซัมแวร์ต่อโรงพยาบาล ผู้ค้าปลีก ผู้ให้บริการ และหน่วยงานรัฐบาล มักเปิดเผยข้อมูลส่วนบุคคลของลูกค้าและผู้ป่วยที่ไม่มีบทบาทในการรั่วไหลนั้น หากบริษัทที่คุณมีปฏิสัมพันธ์ด้วยเปิดเผยเหตุการณ์แรนซัมแวร์ ให้ถือเป็นเรื่องจริงจัง: ตรวจสอบบัญชีของคุณสำหรับกิจกรรมที่ผิดปกติ เปลี่ยนรหัสผ่านที่ใช้ซ้ำ และระวังความพยายามฟิชชิงที่อ้างอิงถึงการรั่วไหล สำหรับธุรกิจ การเกิดขึ้นของ LockBit 5.0 เป็นเครื่องเตือนใจว่าการดำเนินการของหน่วยงานบังคับใช้กฎหมายในอดีตต่อกลุ่มแรนซัมแวร์ไม่ใช่การรับประกันความปลอดภัยในระยะยาว

ข้อสรุปที่นำไปปฏิบัติได้

  • สันนิษฐานว่ากลุ่มแรนซัมแวร์ที่ถูกขัดขวางโดยหน่วยงานบังคับใช้กฎหมายอาจกลับมาภายใต้เวอร์ชันใหม่ อย่าลดการระมัดระวัง
  • ให้ความสำคัญกับการสำรองข้อมูลออฟไลน์และ MFA เป็นการป้องกันพื้นฐานต่อการโจมตีแรนซัมแวร์-as-a-service
  • หากคุณได้รับแจ้งว่ามีการรั่วไหลที่เกี่ยวข้องกับ LockBit หรือแรนซัมแวร์ที่คล้ายกัน ให้ตรวจสอบบัญชีส่วนตัวของคุณและตื่นตัวต่อความพยายามฟิชชิงที่อาจตามมา
  • ติดตามข้อมูลเกี่ยวกับกลยุทธ์แรนซัมแวร์ที่พัฒนาไปเรื่อยๆ เนื่องจากปฏิบัติการที่ขับเคลื่อนโดยพันธมิตรอย่าง LockBit ปรับเปลี่ยนวิธีการอย่างต่อเนื่อง

แรนซัมแวร์ LockBit ยังคงเป็นหนึ่งในตัวอย่างที่ชัดเจนที่สุดของความยืดหยุ่นและปรับตัวได้ของปฏิบัติการอาชญากรรมไซเบอร์สมัยใหม่ การรับทราบข้อมูลว่ากลุ่มเหล่านี้พัฒนาอย่างไร และดำเนินขั้นตอนป้องกันเชิงปฏิบัติ ยังคงเป็นวิธีที่มีประสิทธิภาพที่สุดในการลดความเสี่ยงสำหรับทั้งองค์กรและบุคคลที่ข้อมูลของพวกเขาถูกเก็บไว้