แรนซัมแวร์ถูกหยุดก่อนจะแพร่กระจาย

Microsoft Defender เพิ่งแสดงให้เห็นว่าเครื่องมือรักษาความปลอดภัยอัตโนมัติสามารถหยุดการโจมตีด้วยแรนซัมแวร์ได้เร็วเพียงใด เมื่อมันหยุดการบุกรุกที่ QNET ได้ภายใน 128 วินาที ตั้งแต่การตรวจจับครั้งแรกไปจนถึงการแยกอุปกรณ์ออกจากเครือข่ายอย่างสมบูรณ์ การโจมตีเริ่มต้นจากไฟล์อันตรายที่ใช้ mshta.exe ซึ่งเป็นยูทิลิตี้ที่ถูกต้องตามกฎหมายของ Windows เพื่อดึงเพย์โหลดอันตรายเข้ามาอย่างเงียบ ๆ จากนั้นผู้โจมตีพยายามสร้างการคงอยู่ ขโมยข้อมูลประจำตัว และเคลื่อนที่ไปทั่วเครือข่าย ระบบตอบสนองอัตโนมัติของ Defender ได้ตัดกระบวนการนั้นออกก่อนที่จะลุกลามกลายเป็นเหตุการณ์แรนซัมแวร์เต็มรูปแบบ

เหตุการณ์นี้สำคัญไม่ใช่แค่เพราะความเร็วที่เกี่ยวข้อง แต่เพราะมันแสดงให้เห็นถึงการเปลี่ยนแปลงในวงกว้างว่าเครื่องมือรักษาความปลอดภัยยุคใหม่ถูกออกแบบมาให้ตอบสนองต่อภัยคุกคามโดยไม่ต้องรอให้นักวิเคราะห์ที่เป็นมนุษย์เข้ามาแทรกแซงอย่างไร

ลำดับเหตุการณ์ของการโจมตี

การบุกรุก QNET ดำเนินตามรูปแบบที่พบได้บ่อยขึ้นเรื่อย ๆ ในแคมเปญแรนซัมแวร์ แทนที่จะใช้ไฟล์ที่เรียกทำงานได้ซึ่งดูเป็นอันตรายอย่างชัดเจน ผู้โจมตีกลับพึ่งพา mshta.exe ซึ่งเป็นไบนารีของ Windows ที่ปกติใช้เรียกใช้แอปพลิเคชัน HTML เนื่องจาก mshta.exe เป็นเครื่องมือระบบที่ลงชื่อและเชื่อถือได้ มันจึงสามารถเล็ดลอดผ่านการตรวจสอบความปลอดภัยแบบดั้งเดิมที่มุ่งเน้นไปที่ไฟล์ที่ไม่คุ้นเคยหรือไม่ได้ลงชื่อ

เมื่อไฟล์อันตรายถูกเรียกทำงานผ่าน mshta.exe มันจะดึงเพย์โหลดตัวที่สองที่ออกแบบมาเพื่อให้ผู้โจมตีตั้งหลักบนอุปกรณ์ที่ถูกบุกรุก จากจุดนั้น เป้าหมายคือการสร้างความคงอยู่ เก็บเกี่ยวข้อมูลประจำตัว และพยายามแพร่กระจายไปทั่วเครือข่าย ซึ่งเป็นองค์ประกอบพื้นฐานเดียวกันกับที่เห็นในปฏิบัติการแรนซัมแวร์จำนวนมากที่นำไปสู่การเข้ารหัสลับในวงกว้างและการกรรโชกทรัพย์ในที่สุด การขโมยข้อมูลประจำตัวเป็นขั้นตอนที่สำคัญอย่างยิ่ง เพราะข้อมูลการเข้าสู่ระบบที่ถูกขโมยอาจทำให้ผู้โจมตีปลอมตัวเป็นผู้ใช้ที่ถูกต้องและเข้าถึงระบบที่ควรได้รับการปกป้อง การพึ่งพาข้อมูลประจำตัวที่ถูกขโมยแบบเดียวกันนี้ปรากฏให้เห็นในเหตุการณ์ล่าสุดอื่น ๆ รวมถึงแคมเปญที่ แฮกเกอร์ที่มีความเชื่อมโยงกับรัฐรัสเซียใช้ช่องโหว่ zero-day ใน Zimbra เพื่อขโมยรหัสยืนยันตัวตนสองชั้น ซึ่งตอกย้ำว่าบ่อยครั้งที่การเข้าถึงข้อมูลประจำตัวคือรางวัลที่แท้จริงที่ผู้โจมตีต้องการ

เหตุใดการตอบสนองใน 128 วินาทีจึงสำคัญ

สิ่งที่ทำให้เหตุการณ์นี้แตกต่างไม่ใช่ตัวเทคนิคการโจมตี ซึ่งเป็นวิธีการที่มีการบันทึกไว้เป็นอย่างดี แต่เป็นความรวดเร็วในการสกัดกั้น ฟีเจอร์แยกอุปกรณ์อัตโนมัติของ Microsoft Defender ตรวจจับกิจกรรมที่เป็นอันตรายและตัดการเชื่อมต่อเครือข่ายของอุปกรณ์ที่ถูกบุกรุกภายในเวลาประมาณสองนาทีนับจากการแจ้งเตือนระดับความรุนแรงสูงครั้งแรก การแยกนั้นป้องกันไม่ให้ผู้โจมตีเคลื่อนที่ไปยังระบบอื่น ซึ่งโดยปกติแล้วเป็นขั้นตอนที่ผู้ดำเนินการแรนซัมแวร์ใช้ระบุข้อมูลที่มีค่า ปิดการสำรองข้อมูล และเตรียมที่จะปรับใช้เพย์โหลดเข้ารหัสทั่วทั้งสภาพแวดล้อม

ในกรณีของแรนซัมแวร์จำนวนมาก ช่องว่างระหว่างการบุกรุกครั้งแรกกับผลกระทบทั่วทั้งเครือข่ายอาจยืดยาวเป็นชั่วโมงหรือหลายวัน ทำให้ทีมรักษาความปลอดภัยมีเวลาในการสืบสวน แต่ก็ทำให้ผู้โจมตีมีเวลาฝังตัวลึกขึ้นด้วย การแยกอัตโนมัติบีบอัดช่องว่างนั้นลงอย่างมหาศาล แทนที่จะรอให้นักวิเคราะห์ตรวจสอบการแจ้งเตือน เชื่อมโยงกับสัญญาณอื่น ๆ และกักกันอุปกรณ์ด้วยตนเอง ระบบจะดำเนินขั้นตอนการควบคุมนั้นด้วยตัวเองทันทีที่ความมั่นใจในการตรวจจับสูงเพียงพอ

สิ่งนี้หมายถึงอะไรสำหรับคุณ

สำหรับผู้ใช้ทั่วไปและองค์กรขนาดเล็กที่ไม่มีทีมปฏิบัติการด้านความปลอดภัยโดยเฉพาะ การตอบสนองอัตโนมัติในลักษณะนี้อาจมีค่ามากกว่าการปรับปรุงการตรวจจับใด ๆ แรนซัมแวร์ไม่ค่อยประสบความสำเร็จเพราะผู้โจมตีไม่สามารถถูกตรวจจับได้ มันประสบความสำเร็จเพราะมักมีความล่าช้าระหว่างการตรวจจับและการลงมือ และความล่าช้านั้นเปิดช่องให้ผู้โจมตีแพร่กระจาย เครื่องมือที่แยกอุปกรณ์ที่ถูกบุกรุกโดยอัตโนมัติจะบีบช่องนั้นให้เล็กลงจนแทบไม่เหลือ

นอกจากนี้ยังตอกย้ำประเด็นที่มักถูกมองข้ามในการรายงานข่าวเกี่ยวกับแรนซัมแวร์: การป้องกันสำคัญ แต่การจำกัดรัศมีผลกระทบเมื่อการป้องกันล้มเหลวก็สำคัญเช่นกัน ไม่มีระบบใดที่ปลอดภัยอย่างสมบูรณ์แบบจากไฟล์อันตรายที่ปลอมตัวอย่างแนบเนียน โดยเฉพาะไฟล์ที่ใช้เครื่องมือ Windows ที่เชื่อถือได้อย่าง mshta.exe สิ่งที่แยกเหตุการณ์ที่ถูกควบคุมได้ออกจากการละเมิดที่สร้างความเสียหายสูง มักเป็นความรวดเร็วในการตัดอุปกรณ์ที่ถูกบุกรุกออกจากทุกสิ่งอื่น

สำหรับบุคคลทั่วไป บทเรียนเชิงปฏิบัติไม่ได้อยู่ที่เครื่องมือเฉพาะเจาะจง แต่อยู่ที่คุณค่าของการปกป้องอุปกรณ์ปลายทางที่มีความสามารถในการตอบสนองอัตโนมัติร่วมด้วย ไม่ใช่แค่การตรวจจับและแจ้งเตือน หากคุณจัดการอุปกรณ์สำหรับธุรกิจขนาดเล็กหรือเครือข่ายในบ้าน ให้มองหาซอฟต์แวร์รักษาความปลอดภัยที่สามารถแยกอุปกรณ์ด้วยตัวเองได้ แทนที่จะพึ่งพาการแจ้งเตือนเพียงอย่างเดียวที่ต้องมีคนมาดำเนินการต่อ

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

อัปเดตการปกป้องอุปกรณ์ปลายทางและระบบปฏิบัติการให้เป็นปัจจุบันเสมอ เนื่องจากผู้โจมตีมักพึ่งพาการป้องกันที่ล้าสมัยเพื่อให้ไฟล์อันตรายเล็ดลอดผ่านการตรวจจับได้ ระมัดระวังกับการดาวน์โหลดไฟล์หรือไฟล์แนบอีเมลที่ไม่คาดคิด เพราะการเข้าถึงครั้งแรกในกรณีเช่นนี้มักเริ่มต้นจากไฟล์อันตรายไฟล์เดียว ในทุกที่ที่ทำได้ ให้ใช้เครื่องมือรักษาความปลอดภัยที่มีฟีเจอร์การแยกหรือการควบคุมอัตโนมัติ แทนการเฝ้าตรวจสอบที่แจ้งเตือนเพียงอย่างเดียว สุดท้าย ให้ถือว่าการขโมยข้อมูลประจำตัวเป็นความเสี่ยงระดับสูงสุด: เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยในทุกที่ที่มี และเฝ้าสังเกตกิจกรรมการเข้าสู่ระบบที่ผิดปกติ เนื่องจากข้อมูลประจำตัวที่ถูกขโมยยังคงเป็นเส้นทางที่พบบ่อยที่สุดที่ผู้โจมตีใช้ขยายการเข้าถึงเมื่อพวกเขาเข้ามาในเครือข่ายแล้ว

กรณีของ QNET เป็นเครื่องเตือนใจที่มีประโยชน์ว่าความเร็วในการตอบสนองอาจสำคัญพอ ๆ กับความแข็งแกร่งของการป้องกันขั้นต้น ในขณะที่กลยุทธ์แรนซัมแวร์วิวัฒนาการต่อไป องค์กรและบุคคลที่มีตำแหน่งดีที่สุดในการหลีกเลี่ยงความเสียหายร้ายแรง คือผู้ที่เครื่องมือสามารถลงมือได้ในหน่วยวินาที ไม่ใช่ชั่วโมง