การโจมตีด้วยแรนซัมแวร์ BitLocker ที่ข้ามขั้นตอนการใช้มัลแวร์
นักวิจัยด้านความปลอดภัยได้ระบุกลุ่มขู่กรรโชกกลุ่มใหม่ที่พบทางลัดในการพัฒนาแรนซัมแวร์แบบเดิมที่น่าหวั่นใจ: แทนที่จะเขียนมัลแวร์เข้ารหัสปรับแต่งขึ้นเอง ผู้โจมตีกลุ่มนี้ใช้ BitLocker ซึ่งเป็นฟีเจอร์เข้ารหัสไดรฟ์ที่มีอยู่แล้วใน Windows เพื่อล็อกไม่ให้เหยื่อเข้าถึงไฟล์ของตัวเอง เมื่อไดรฟ์ถูกปิดกั้น กลุ่มดังกล่าวจะประกาศการโจมตีด้วยวิธีดั้งเดิมที่สุดเท่าที่จะทำได้ นั่นคือส่งบันทึกเรียกค่าไถ่ตรงไปยังเครื่องพิมพ์ในสำนักงาน
การผสมผสานระหว่างฟีเจอร์ของ Windows ที่เชื่อถือได้ กับวิธีการแจ้งเตือนที่จับต้องได้และทำถึงตัวอย่างนี้ ชี้ให้เห็นถึงการเปลี่ยนแปลงครั้งสำคัญในวิธีการทำงานของกลุ่มกรรโชก ทั้งยังตั้งคำถามที่ตอบยากสำหรับทีมไอทีซึ่งใช้เวลาหลายปีเสริมความแข็งแกร่งให้อุปกรณ์ปลายทางเพื่อต้านทานไฟล์ปฏิบัติการอันตราย แต่ตอนนี้กลับต้องเผชิญหน้ากับผู้โจมตีที่ใช้เครื่องมือซึ่งไม่เคยถูกมองว่าเป็นอันตรายเลยตั้งแต่แรก
ผู้โจมตีใช้ BitLocker เป็นอาวุธล็อกเหยื่อได้อย่างไร
BitLocker คือเครื่องมือเข้ารหัสที่ถูกกฎหมายจาก Microsoft ซึ่งออกแบบมาเพื่อปกป้องข้อมูลหากแล็ปท็อปหรือไดรฟ์สูญหายหรือถูกขโมย โดยจัดส่งมากับการติดตั้ง Windows ยุคใหม่ส่วนใหญ่ และได้รับความไว้วางใจจากแผนกไอทีทั่วโลก ความไว้วางใจนั้นเองที่ทำให้มันกลายเป็นอาวุธที่ทรงประสิทธิภาพสำหรับผู้โจมตีที่เจาะเข้ามาและได้รับสิทธิ์การดูแลระบบในเครือข่ายแล้ว
แทนที่จะปล่อยเพย์โหลดเข้ารหัสที่ปรับแต่งขึ้นเองซึ่งโปรแกรมแอนติไวรัสอาจตรวจจับได้ กลุ่มกรรโชกนี้เพียงแค่เปิด BitLocker บนไดรฟ์ของเหยื่อ แล้วยึดคีย์การกู้คืนไว้ ผลลัพธ์ที่ได้ก็เหมือนกับการติดแรนซัมแวร์ทุกประการ: ไฟล์เข้าถึงไม่ได้ ระบบหยุดชะงัก และองค์กรต้องมาต่อรองเพื่อขอคีย์ที่ตัวเองควรจะควบคุมมาตลอด เนื่องจาก BitLocker เป็นส่วนประกอบของ Microsoft ที่มีลายเซ็นดิจิทัลถูกต้องและเป็นของแท้ เครื่องมือรักษาความปลอดภัยที่อาศัยการตรวจจับลายเซ็นประสงค์ร้ายที่รู้จัก จึงแทบไม่มีเหตุผลที่จะเข้าแทรกแซง
การพิมพ์บันทึกเรียกค่าไถ่ส่งสัญญาณกลยุทธ์กรรโชกรูปแบบใหม่
กลุ่มแรนซัมแวร์ทั่วไปมักจะทิ้งไฟล์ข้อความไว้บนเดสก์ท็อป หรือแสดงหน้าจอล็อกเพื่อเรียกร้องการจ่ายเงิน แต่กลุ่มนี้กลับส่งคำเรียกค่าไถ่ตรงไปยังเครื่องพิมพ์ที่เชื่อมต่อเครือข่าย ผลิตเป็นเอกสารทางกายภาพที่พนักงานพบในห้องพักแต่ละชั้นหรือที่โต๊ะทำงานของตน
กลยุทธ์นี้ไม่ได้เน้นความซับซ้อนทางเทคนิค แต่เน้นด้านจิตวิทยา กระดาษที่พิมพ์ออกมานั้นทำเป็นไม่สนใจได้ยากกว่าหน้าต่างป๊อปอัป และมันส่งสัญญาณให้พนักงานทุกคนในอาคาร ไม่ใช่แค่ทีมไอที ว่าองค์กรถูกบุกรุก เป็นการยกระดับต่อสาธารณะที่จับต้องได้ ออกแบบมาเพื่อกดดันให้เหยื่อจ่ายเงินเร็วขึ้น และมันสะท้อนแนวโน้มที่กว้างขึ้นซึ่งกลุ่มกรรโชกทดลองใช้กลยุทธ์กดดันนอกกรอบที่เลยไปจากคีย์บอร์ด ก่อนหน้านี้เอฟบีไอเคยเตือนเกี่ยวกับแนวทางสร้างสรรค์ในลักษณะเดียวกัน รวมถึงกรณีที่ กลุ่ม Silent Ransom Group ปลอมตัวเป็นทีมไอทีในสำนักงานกฎหมาย เพื่อขอกันเข้าถึงที่พวกเขาต้องการก่อนเริ่มการกรรโชกเสียอีก
ความเสี่ยงของการโจมตีแบบ Living-Off-the-Land ที่หลบเลี่ยงเครื่องมือแอนติไวรัส
ผู้เชี่ยวชาญด้านความปลอดภัยเรียกวิธีการนี้ว่า "living off the land": การใช้ซอฟต์แวร์และยูทิลิตี้ที่มีอยู่แล้วบนระบบเป้าหมาย แทนที่จะนำมัลแวร์ใหม่ที่ตรวจจับได้เข้าไป การใช้ BitLocker ในทางที่ผิดคือตัวอย่างตำราเรียน เนื่องจากเครื่องมือนี้มีลายเซ็นจาก Microsoft และคาดว่าจะทำงานบนเครื่องขององค์กร กิจกรรมของมันจึงมักไม่ก่อให้เกิดสัญญาณเตือนดังเช่นไฟล์ปฏิบัติการที่ไม่คุ้นเคย
ตรงนี้เองที่ทำให้กลยุทธ์ดังกล่าวเป็นอันตรายสำหรับองค์กรที่พึ่งพาแอนติไวรัสที่ใช้ลายเซ็นเป็นหลัก หรือการตรวจจับอุปกรณ์ปลายทางที่ปรับให้สังเกตเห็นเฉพาะไฟล์ที่แน่ชัดว่าเป็นอันตราย หากผู้โจมตีมีสิทธิ์ผู้ดูแลระบบที่จำเป็นในการเปิดใช้งานการเข้ารหัสและระงับคีย์การกู้คืนอยู่แล้ว การโจมตีก็สามารถดำเนินไปได้โดยใช้แค่ฟังก์ชันมาตรฐานของ Windows เท่านั้น ทำให้ยากต่อการแยกแยะจากกิจกรรมไอทีที่ถูกต้องตามกฎหมายจนกระทั่งสายเกินไป
การเสริมความแข็งแกร่งให้ระบบ Windows ป้องกันการใช้เครื่องมือในตัวในทางที่ผิด
การป้องกันการโจมตีประเภทนี้จำเป็นต้องเปลี่ยนโฟกัสจาก "มีซอฟต์แวร์อะไรทำงานอยู่" เป็น "ใครมีสิทธิ์ที่จะเรียกใช้มัน" ขั้นตอนปฏิบัติสองสามข้อมีความสำคัญในที่นี้ องค์กรควรจำกัดอย่างเข้มงวดว่าบัญชีใดบ้างที่สามารถเปิดใช้งานหรือปรับแต่งการตั้งค่า BitLocker และตรวจสอบให้แน่ใจว่าคีย์การกู้คืนถูกฝากไว้ใน Active Directory หรือ Azure AD โดยอัตโนมัติ แทนที่จะปล่อยให้เข้าถึงได้เฉพาะผู้ที่มีสิทธิ์ผู้ดูแลระบบเฉพาะเครื่องเท่านั้น การเฝ้าติดตามหาเหตุการณ์การเปิดใช้งาน BitLocker ที่ไม่คาดคิด โดยเฉพาะอย่างยิ่งนอกช่วงกรอบเวลาบำรุงรักษาปกติ ก็สามารถจับการโจมตีที่กำลังดำเนินอยู่ได้ก่อนที่การเข้ารหัสจะเสร็จสมบูรณ์ทั่วทั้งกลุ่มเครื่อง
นอกเหนือจาก BitLocker โดยเฉพาะแล้ว บทเรียนพื้นฐานคือเรื่องการจัดการสิทธิ์ การจำกัดสิทธิ์การเข้าถึงระดับผู้ดูแลระบบถาวร การแบ่งเครือข่ายเป็นส่วนๆ และการรักษาสำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบแล้วมาใช้ ล้วนลดรัศมีผลกระทบเมื่อผู้โจมตีแทรกตัวเข้ามาได้ โดยไม่คำนึงว่าสุดท้ายแล้วพวกเขาจะใช้เครื่องมือไหนในทางที่ผิดเพื่อล็อกไฟล์
สิ่งที่คุณควรทราบ
สำหรับผู้ใช้ทั่วไป การโจมตีด้วยแรนซัมแวร์ BitLocker ในรูปแบบนี้เป็นเรื่องขององค์กรเป็นหลัก เนื่องจากมันขึ้นอยู่กับว่าผู้โจมตีสามารถเข้าถึงระดับผู้ดูแลระบบในเครือข่ายได้แล้ว แต่ก็เป็นข้อเตือนใจที่มีประโยชน์ว่าเครื่องมือเข้ารหัสที่สร้างมาเพื่อปกป้องคุณ อาจถูกย้อนกลับมาใช้ต่อต้านได้ หากความปลอดภัยของบัญชีอ่อนแอ สำหรับผู้ดูแลระบบไอทีและเจ้าของธุรกิจขนาดเล็ก ข้อคิดนั้นตรงไปตรงมากกว่า: ตรวจสอบว่าใครสามารถจัดการการตั้งค่าการเข้ารหัสบนระบบของคุณได้บ้าง ยืนยันว่าคีย์การกู้คืนถูกสำรองไว้ในที่ที่ผู้โจมตีเข้าถึงไม่ได้ และปฏิบัติต่อเหตุการณ์การเข้ารหัสที่ไม่ได้วางแผนด้วยความเร่งด่วนเช่นเดียวกับการแจ้งเตือนมัลแวร์
ประเด็นสำคัญ
เหตุการณ์นี้เข้ากับรูปแบบที่กลุ่มกรรโชกเคลื่อนตัวออกจากการใช้มัลแวร์ปรับแต่ง ไปสู่การใช้เครื่องมือที่ถูกกฎหมายในทางที่ผิดและกลยุทธ์กดดันนอกกรอบ ซึ่งเป็นแนวโน้มที่เห็นได้ชัดในกรณีที่ กลุ่ม Silent Ransom Group ปลอมตัวเป็นทีมไอที เพื่อให้ได้การเข้าถึงที่ได้รับความไว้วางใจก่อนเริ่มโจมตี ไม่ว่าจุดเริ่มต้นจะเป็นสายโทรศัพท์ปลอมหรือบัญชีผู้ดูแลระบบที่ถูกบุกรุก การป้องกันก็คือสิ่งเดียวกัน: การควบคุมการเข้าถึงที่แข็งแกร่ง การเฝ้าติดตามกิจกรรมการดูแลระบบ และการสำรองข้อมูลที่ไม่ได้ขึ้นอยู่กับความปรารถนาดีของผู้โจมตี การตรวจสอบการจัดการคีย์ BitLocker และการเฝ้าติดตามอุปกรณ์ปลายทางขององค์กรคุณในตอนนี้ เป็นช่วงเวลาที่ดีกว่าการรอจนบันทึกเรียกค่าไถ่พิมพ์ออกมาจากเครื่องพิมพ์มากนัก
