แรนซัมแวร์ Medusa กำลังอ่านงบการเงินของคุณ

กลุ่มแรนซัมแวร์พึ่งพาการเข้ารหัสเพื่อล็อกองค์กรไม่ให้เข้าถึงระบบของตนเองมานานแล้ว แต่แรนซัมแวร์ Medusa ได้เพิ่มกลอุบายที่คำนวณมาอย่างชัดเจน ตามรายงานวิเคราะห์คำแนะนำด้านความปลอดภัยไซเบอร์ล่าสุดจาก CISA นักพัฒนาและพันธมิตรของ Medusa ปรับจำนวนค่าไถ่ให้เข้ากับรายได้ที่องค์กรเปิดเผยต่อสาธารณะ กล่าวอีกนัยหนึ่ง ก่อนที่ข้อความเรียกค่าไถ่จะปรากฏขึ้น ผู้โจมตีอาจได้ตรวจสอบรายงานประจำปี เอกสารยื่นต่อนักลงทุน หรือการเปิดเผยข้อมูลทางการเงินสาธารณะอื่น ๆ ไปแล้วเพื่อตัดสินใจว่าเหยื่อสามารถจ่ายได้อย่างสมเหตุสมผลเท่าใด

นี่ไม่ใช่รายละเอียดการปฏิบัติการเล็กน้อย มันสะท้อนให้เห็นว่าการดำเนินการแบบแรนซัมแวร์ในรูปแบบบริการ (RaaS) อย่าง Medusa ได้พัฒนาเป็นธุรกิจที่ตั้งราคาการขู่กรรโชกในแบบที่ผู้ขายอาจตั้งราคาสัญญา: 基于ความสามารถในการจ่ายของผู้ซื้อ สำหรับองค์กร นี่หมายถึงขนาดของจำนวนค่าไถ่ที่อาจเกิดขึ้นไม่ใช่เรื่องลึกลับอีกต่อไป มันเป็นฟังก์ชันของปริมาณข้อมูลทางการเงินที่อยู่ในโดเมนสาธารณะอยู่แล้ว

กลยุทธ์การขู่กรรโชกสองชั้น

Medusa ดำเนินการตามรูปแบบที่คำแนะนำของ CISA อธิบายว่าเป็นการขู่กรรโชกสองชั้น แทนที่จะเพียงแค่เข้ารหัสไฟล์และเรียกร้องเงินเพื่อแลกกับคีย์ถอดรหัส นักพัฒนาและพันธมิตรของ Medusa ยังขโมยข้อมูลที่ละเอียดอ่อนออกไปก่อนเริ่มการเข้ารหัส หากเหยื่อปฏิเสธที่จะจ่าย กลุ่มจะขู่ว่าจะเปิดเผยข้อมูลที่ถูกขโมยต่อสาธารณะ เพิ่มแรงกดดันด้านชื่อเสียงและกฎระเบียบซ้อนบนการหยุดชะงักด้านการดำเนินงาน

แนวทางสองง่ามนี้ออกแบบมาเพื่อตัดทางออกง่าย ๆ องค์กรที่มีระบบสำรองข้อมูลที่แข็งแกร่งอาจกู้คืนระบบที่ถูกเข้ารหัสได้โดยไม่ต้องจ่ายเงิน แต่สิ่งนั้นไม่ช่วยป้องกันภัยคุกคามอีกอย่าง: การรั่วไหลของข้อมูลลูกค้า ข้อมูลทางการเงิน หรือการสื่อสารภายในที่ถูกขโมยออกไปต่อสาธารณะ รูปแบบของ Medusa บังคับให้เหยื่อต้องชั่งน้ำหนักทั้งความต่อเนื่องทางธุรกิจและความเสี่ยงจากการเปิดเผยข้อมูลพร้อมกัน ซึ่งเป็นเหตุผลที่กลุ่มนี้ยังคงเป็นภัยคุกคามที่ยั่งยืนตาม การอัปเดตคำแนะนำเกี่ยวกับแรนซัมแวร์ Medusa ร่วมจาก CISA, FBI และ HHS ซึ่งให้รายละเอียดว่าหน่วยงานรัฐบาลกลางยังคงติดตามและตอบสนองต่อกิจกรรมนี้อย่างไร

ทำไมการกำหนดเป้าหมายตามรายได้จึงเปลี่ยนสมการ

เมื่อจำนวนค่าไถ่ผูกกับตัวเลขรายได้ที่เปิดเผยต่อสาธารณะ มันทำให้เห็นชัดว่าองค์กรเปิดเผยข้อมูลการดำเนินงานและการเงินมากเพียงใดโดยไม่รู้ถึงความเสี่ยงที่ตามมา บริษัทจดทะเบียน ผู้รับเหมารัฐบาล และระบบสาธารณสุขที่เผยแพร่รายงานประจำปีหรือการเปิดเผยทุนสนับสนุน กำลังมอบจุดเริ่มต้นในการเจรจาให้ผู้โจมตีโดยพฤตินัย

พลวัตนี้เน้นบทเรียนกว้าง ๆ สำหรับทีมรักษาความปลอดภัย: ผู้คุกคามไม่จำเป็นต้องเจาะเครือข่ายของคุณเพื่อเริ่มจัดทำโปรไฟล์คุณเป็นเป้าหมาย ข้อมูลทางการเงินแบบโอเพนซอร์ส รวมกับการสำรวจจุดเชื่อมต่อระยะไกลที่เปิดเผยหรือระบบที่ไม่ได้รับการอัปเดต ทำให้พันธมิตรมีข้อมูลเพียงพอที่จะตัดสินใจว่าควรโจมตีองค์กรใดและเจรจาเชิงรุกแค่ไหนเมื่อเข้าไปข้างในแล้ว

สร้างการป้องกันที่จำกัดความเสียหาย

เนื่องจากรูปแบบของ Medusa พึ่งพาทั้งการเข้ารหัสระบบและการขโมยข้อมูล การป้องกันที่มีประสิทธิภาพต้องจัดการกับภัยคุกคามทั้งสองส่วน หลักการบางประการที่โดดเด่นมีดังนี้:

การแบ่งส่วนเครือข่าย จำกัดว่าผู้โจมตีสามารถเคลื่อนที่ได้ไกลแค่ไหนเมื่อเข้าถึงเบื้องต้นได้สำเร็จ หากพันธมิตรแรนซัมแวร์บุกรุกระบบหนึ่ง การแบ่งส่วนสามารถป้องกันไม่ให้จุดตั้งหลักนั้นแพร่กระจายไปยังเซิร์ฟเวอร์สำคัญที่เก็บข้อมูลละเอียดอ่อนหรือข้อมูลสำรอง

การควบคุมการเข้าถึงแบบ Zero-trust ลดการพึ่งพาเครือข่ายภายในที่แบนและเชื่อถือได้ แทนที่จะสมมติว่าทุกคนในขอบเขตปลอดภัย สถาปัตยกรรม zero-trust จะตรวจสอบทุกคำขอ ทำให้ผู้โจมตีเคลื่อนที่ด้านข้างได้ยากขึ้นหลังการบุกรุกครั้งแรก ซึ่งมักสำเร็จผ่านฟิชชิงหรือเครื่องมือเข้าถึงระยะไกลที่ถูกใช้ประโยชน์

ข้อมูลสำรองที่เข้ารหัสและออฟไลน์ ยังคงเป็นหนึ่งในมาตรการตอบโต้ที่มีประสิทธิภาพที่สุดต่อการเข้ารหัสครึ่งหนึ่งของการโจมตีของ Medusa ข้อมูลสำรองที่แยกจากเครือข่ายหลักและเข้ารหัสที่จัดเก็บไม่สามารถเข้าถึงหรือทำให้เสียหายได้ง่ายโดยผู้ดำเนินการแรนซัมแวร์ แม้ว่าพวกเขาจะเข้าถึงได้กว้างขวางก็ตาม

การเข้าถึงระยะไกลที่ปลอดภัย มีความสำคัญไม่แพ้กัน การบุกรุกแรนซัมแวร์จำนวนมากเริ่มต้นจากข้อมูลประจำตัว VPN ที่ถูกบุกรุกหรือบริการเดสก์ท็อประยะไกลที่เปิดเผย องค์กรควรให้ความสำคัญกับการยืนยันตัวตนหลายปัจจัย ตรวจสอบสิทธิ์การเข้าถึงระยะไกลเป็นประจำ และยกเลิกบัญชีที่ไม่ได้ใช้หรือวิธีการเชื่อมต่อแบบเดิมที่ผู้โจมตีมักตรวจสอบหาจุดอ่อน

สิ่งนี้หมายถึงอะไรสำหรับคุณ

ไม่ว่าคุณจะดูแลไอทีสำหรับธุรกิจขนาดกลางหรือ oversight ด้านความปลอดภัยสำหรับองค์กรขนาดใหญ่ กลยุทธ์ของ Medusa เป็นเครื่องเตือนใจว่าการป้องกันแรนซัมแวร์ไม่ใช่แค่การหยุดการเข้ารหัส แต่是关于การจำกัดสิ่งที่ผู้โจมตีสามารถขโมยและแพร่กระจายได้ไกลแค่ไหนหากพวกเขาเข้าไปได้ องค์กรที่เผยแพร่ข้อมูลทางการเงินโดยละเอียดควรสันนิษฐานว่าตัวเลขนั้นเป็นส่วนหนึ่งของสมการกำหนดเป้าหมายของกลุ่มแรนซัมแวร์อยู่แล้ว และวางแผนการป้องกันตามนั้น แทนที่จะถือว่าจำนวนค่าไถ่เป็นเรื่องสุ่ม

สิ่งที่นำไปปฏิบัติได้

  • ตรวจสอบว่าองค์กรของคุณเปิดเผยข้อมูลทางการเงินและการดำเนินงานใดต่อสาธารณะ และเข้าใจว่าข้อมูลนั้นถูกใช้เพื่อจัดทำโปรไฟล์ธุรกิจของคุณเป็นเป้าหมายแรนซัมแวร์ได้อย่างไร
  • นำการแบ่งส่วนเครือข่ายไปใช้เพื่อให้อุปกรณ์หรือบัญชีเดียวที่ถูกบุกรุกไม่นำไปสู่การเข้ารหัสทั้งองค์กร
  • รักษาข้อมูลสำรองแบบออฟไลน์และเข้ารหัสที่ทดสอบเป็นประจำและแยกจากเครือข่ายการผลิตหลัก
  • บังคับใช้การยืนยันตัวตนหลายปัจจัยและหลักการ zero-trust กับเครื่องมือเข้าถึงระยะไกลทั้งหมด รวมถึง VPN เพื่อปิดจุดเข้าที่พันธมิตรแรนซัมแวร์พึ่งพามากที่สุด
  • ติดตามคำแนะนำของหน่วยงานรัฐบาลกลางอย่างสม่ำเสมอ รวมถึงการอัปเดตเช่น คำแนะนำร่วมเกี่ยวกับแรนซัมแวร์ Medusa จาก CISA, FBI และ HHS ซึ่งระบุกลยุทธ์ที่เปลี่ยนแปลงและการบรรเทาความเสี่ยงที่แนะนำ

กลุ่มแรนซัมแวร์อย่าง Medusa กำลังปรับปรุงรูปแบบธุรกิจของพวกเขาเร็วพอ ๆ กับที่ทีมรักษาความปลอดภัยปรับปรุงการป้องกัน การรับทราบข้อมูลเกี่ยวกับวิธีการทำงานของกลุ่มเหล่านี้ ตั้งแต่กลยุทธ์การขู่กรรโชกสองชั้นไปจนถึงการกำหนดเป้าหมายตามรายได้ เป็นหนึ่งในวิธีที่ง่ายที่สุดที่องค์กรสามารถจัดลำดับความสำคัญของการป้องกันที่เหมาะสมก่อนการโจมตี ไม่ใช่หลังการโจมตี