แรนซัมแวร์ Medusa โจมตีโครงสร้างพื้นฐานสำคัญในวงกว้าง

ปฏิบัติการแรนซัมแวร์แบบบริการที่รู้จักกันในชื่อ Medusa ได้โจมตีองค์กรกว่า 300 แห่งในภาคโครงสร้างพื้นฐานสำคัญ ตามคำแนะนำร่วมจาก CISA, FBI และกรมบริการมนุษย์และสุขภาพ สหรัฐอเมริกา เหยื่อครอบคลุมภาคการดูแลสุขภาพ การผลิต การศึกษา และเทคโนโลยี ซึ่งเป็นอุตสาหกรรมที่การบุกรุกเพียงครั้งเดียวสามารถ disrupting การดูแลผู้ป่วย ห่วงโซ่อุปทาน หรือบริการจำเป็นได้นานเป็นสัปดาห์

สิ่งที่ทำให้ Medusa น่าสนใจไม่ใช่แค่ขอบเขตการโจมตี แต่เป็นกลยุทธ์กดดันหลายชั้นที่พันธมิตร (affiliates) ของกลุ่มใช้บีบเงินจากเหยื่อเป็นเวลานานหลังการบุกรุกครั้งแรก รวมถึงสัญญาณที่น่ากังวลว่าเหยื่อบางรายถูกขู่กรรโชกมากกว่าหนึ่งครั้งจากการโจมตีเดียวกัน

โมเดลการขู่กรรโชกสองชั้นของ Medusa ทำงานอย่างไร

เช่นเดียวกับปฏิบัติการแรนซัมแวร์สมัยใหม่หลายแห่ง Medusa ไม่ได้แค่เข้ารหัสไฟล์เท่านั้น แต่ยังขโมยข้อมูลสำคัญออกมาก่อน จากนั้นขู่ว่าจะเผยแพร่ต่อสาธารณะหากเหยื่อไม่จ่ายเงิน นี่คือสูตรมาตรฐานของการขู่กรรโชกสองชั้น: จ่ายเพื่อให้ข้อมูลถูกถอดรหัส และจ่ายอีกครั้ง (หรือจ่ายแทน) เพื่อไม่ให้ข้อมูลรั่วไหลออนไลน์

Medusa เพิ่มมิติทางจิตวิทยาให้กับแคมเปญกดดันนี้ กลุ่มรายงานว่าเสนอทางเลือกให้เหยื่อจ่ายเงินเพิ่มเพื่อเลื่อนเวลานับถอยหลังก่อนที่ข้อมูลที่ขโมยมาจะถูกเผยแพร่ ซึ่งเท่ากับหาเงินจากความตื่นตระหนกของกำหนดเวลาที่กำลังใกล้เข้ามา เป็นรายละเอียดเล็กน้อย แต่แสดงให้เห็นว่าผู้ดำเนินการแรนซัมแวร์ปฏิบัติต่อการขู่กรรโชกเป็นธุรกิจที่มีระดับราคา ไม่ใช่แค่การข่มขู่เพียงครั้งเดียว

จุดพลิกผันที่เป็นไปได้: การขู่กรรโชกสามชั้น

ข้อค้นพบที่น่ากังวลที่สุดจากการสืบสวนของ FBI เกี่ยวข้องกับสิ่งที่เกิดขึ้นหลังจากเหยื่อจ่ายเงินแล้ว ในอย่างน้อยหนึ่งกรณี เหยื่อที่จ่ายค่าไถ่แล้วถูกติดต่ออีกครั้ง คราวนี้โดยผู้ดำเนินการที่เกี่ยวข้องกับ Medusa รายอื่นที่เรียกร้องเงินเพิ่มสำหรับ "ตัวถอดรหัสที่แท้จริง" ซึ่งบ่งบอกว่าการจ่ายเงินครั้งแรกอาจไม่ได้ส่งมอบเครื่องมือถอดรหัสที่ใช้งานได้ หรือถูกเก็บโดยพันธมิตรแยกต่างหาก

สิ่งนี้ทำให้เกิดความเป็นไปได้สองประการที่ผู้สืบสวนกำลังพิจารณา: พันธมิตรของ Medusa กำลังดำเนินการแผนขู่กรรโชกสามชั้นอย่างไม่เป็นทางการ บีบเงินเหยื่อรายเดียวกันหลายครั้ง หรือโครงสร้างแรนซัมแวร์แบบบริการมีการประสานงานหลวมมากจนผู้ดำเนินการหลายรายพยายามหาประโยชน์จากการบุกรุกครั้งเดียวกันโดยอิสระโดยไม่ให้เกียรติการจ่ายเงินครั้งก่อน ไม่ว่ากรณีใด บทเรียนสำหรับเหยื่อเหมือนกัน: ไม่มีการรับประกันว่าการจ่ายเงินให้กลุ่มแรนซัมแวร์จะยุติเหตุการณ์ได้จริง และองค์กรที่จ่ายอาจยังเผชิญกับการเรียกร้องซ้ำ

ทำไมโครงสร้างพื้นฐานสำคัญถึงถูกโจมตีซ้ำแล้วซ้ำเล่า

องค์กรโครงสร้างพื้นฐานสำคัญยังคงเป็นเป้าหมายที่น่าดึงดูดเพราะมักใช้งานระบบเก่าและเทคโนโลยีไอทีสมัยใหม่ผสมกัน ขณะที่มีเจ้าหน้าที่รักษาความปลอดภัยจำกัด และการหยุดชะงักของบริการสร้างแรงกดดันให้ต้องจ่ายเงินอย่างเร่งด่วน ผู้ให้บริการด้านสุขภาพโดยเฉพาะเผชิญผลกระทบต่อชีวิตและความปลอดภัยหากระบบล่ม ซึ่งกลุ่มแรนซัมแวร์เข้าใจและใช้ประโยชน์เมื่อกำหนดเวลาและจำนวนค่าไถ่

ขนาดของแคมเปญ Medusa ที่มีเหยื่อยืนยันกว่า 300 ราย ยังสะท้อนว่าแรนซัมแวร์แบบบริการลดอุปสรรคในการเข้าสู่ตลาด พันธมิตรไม่จำเป็นต้องสร้างมัลแวร์หรือโครงสร้างพื้นฐานของตนเอง พวกเขาเช่าเข้าถึงชุดเครื่องมือและกรอบการเจรจาที่ตั้งไว้แล้ว ซึ่งเป็นส่วนหนึ่งที่ทำให้การโจมตีแบบนี้สามารถขยายไปยังองค์กรหลายร้อยแห่ง แทนที่จะเป็นเพียงกลุ่มเป้าหมายระดับสูงจำนวนไม่กี่ราย

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณทำงานที่หรือพึ่งพาบริการจากโรงพยาบาล ระบบโรงเรียน ผู้ผลิต หรือสาธารณูปโภค แคมเปญนี้เป็นเครื่องเตือนใจว่าแรนซัมแวร์ไม่ใช่ภัยคุกคามเชิงนามธรรมที่จำกัดอยู่แค่พาดหัวข่าวเกี่ยวกับบริษัทใหญ่ แต่กำลังโจมตีองค์กรที่จัดการบันทึกสุขภาพของคุณ ข้อมูลโรงเรียนของลูกคุณ และโครงสร้างพื้นฐานที่คุณพึ่งพาทุกวัน

สำหรับบุคคล ความเสี่ยงในทางปฏิบัติคือการเปิดเผยข้อมูลส่วนตัวหากองค์กรที่คุณติดต่อด้วยตกเป็นเหยื่อของ Medusa และปฏิเสธหรือไม่สามารถจ่ายค่าไถ่ได้ สำหรับทีมไอทีและความปลอดภัยที่องค์กรที่อาจได้รับผลกระทบ ข้อค้นพบของ FBI เกี่ยวกับการเรียกร้องซ้ำเป็นข้อโต้แย้งที่แข็งแกร่งต่อการสันนิษฐานว่าการจ่ายเงินรับประกันการแก้ไขปัญหา การวางแผนสำรองข้อมูลและการกู้คืนที่ไม่พึ่งพาความร่วมมือจากผู้โจมตียังคงเป็นเส้นทางที่น่าเชื่อถือกว่า

นอกจากนี้ยังควรจำไว้ว่าความปลอดภัยเครือข่ายเป็นปัญหาหลายชั้น เครื่องมือเช่น VPN มักใช้เพื่อรักษาความปลอดภัยการเข้าถึงระยะไกลไปยังระบบสำคัญ แต่ไม่ได้คงกระพันต่อการหยุดชะงักหรือการใช้งานในทางที่ผิด ดังที่เห็นในกรณีที่ไม่เกี่ยวข้องแต่ให้บทเรียน เช่น รัสเซียหยุดแบนด์วิดท์อินเทอร์เน็ตเพื่อปิดกั้นการเข้าถึง VPN ซึ่งโครงสร้างพื้นฐานการเข้าถึงกลายเป็นจุดควบคุม เครื่องมือเดียวไม่ว่าจะเป็น VPN ไฟร์วอลล์ หรือระบบสำรองข้อมูล เป็นเพียงชั้นหนึ่งในกลยุทธ์การป้องกันที่กว้างขึ้น

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • องค์กรในภาคโครงสร้างพื้นฐานสำคัญควรสันนิษฐานว่าตนเป็นเป้าหมายที่มีโอกาสถูกโจมตีโดยไม่คำนึงถึงขนาด และให้ความสำคัญกับการสำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบมากกว่าการจ่ายค่าไถ่เป็นแผนการกู้คืน
  • อย่าสันนิษฐานว่าการจ่ายค่าไถ่ Medusa จะยุติเหตุการณ์ FBI ได้บันทึกกรณีการเรียกร้องซ้ำหลังการจ่ายเงินแล้ว
  • บุคคลควรติดตามบัญชีและกิจกรรมเครดิตหากได้รับแจ้งว่าองค์กรที่ถือข้อมูลของตนประสบเหตุละเมิดข้อมูล
  • ทีมไอทีควรทบทวนรายละเอียดคำแนะนำร่วมจาก CISA และ FBI เกี่ยวกับกลยุทธ์ของ Medusa และใช้มาตรการบรรเทาที่แนะนำ รวมถึงการแพตช์ช่องโหว่ที่ถูกใช้ประโยชน์ที่รู้จัก และการบังคับใช้การยืนยันตัวตนหลายปัจจัย

การที่ Medusa ขึ้นมามีเหยื่อกว่า 300 รายแสดงให้เห็นว่ากลุ่มแรนซัมแวร์แบบบริการกำลังปรับปรุงกลยุทธ์การขู่กรรโชกเร็วกว่าที่องค์กรหลายแห่งจะปรับปรุงการป้องกัน การรับทราบข้อมูลว่าการโจมตีเหล่านี้ทำงานอย่างไร และการวางแผนกู้คืนบนพื้นฐานความยืดหยุ่นมากกว่าการจ่ายค่าไถ่ ยังคงเป็นวิธีที่น่าเชื่อถือที่สุดในการลดความเสียหายเมื่อเกิดการโจมตี ไม่ใช่หากแต่จะเกิดเมื่อไหร่