งานวิจัยใหม่ที่ตรวจสอบโครงสร้างพื้นฐานทางเทคนิคเบื้องหลังการดำเนินการแรนซัมแวร์รายสำคัญหลายราย รวมถึง INC Ransom, Lynx, MedusaLocker และกิจกรรมที่เกี่ยวข้องกับ LockBit พบว่าแม้จะดำเนินการภายใต้ชื่อแบรนด์ที่แตกต่างกัน กลุ่มเหล่านี้กลับอาศัยรูปแบบการโจมตีที่คล้ายคลึงกันอย่างน่าทึ่ง ความสม่ำเสมอนี้มีความสำคัญสำหรับAnyoneที่พยายามทำความเข้าใจแรนซัมแวร์ เพราะหมายความว่าเครื่องมือและกลยุทธ์ที่นักป้องกันใช้จับกลุ่มหนึ่งมักใช้ได้ผลกับอีกหลายกลุ่มในเวลาเดียวกัน

โครงสร้างพื้นฐานร่วมเบื้องหลังแบรนด์แรนซัมแวร์ที่แตกต่างกัน

แรนซัมแวร์มักถูกนำเสนอราวกับว่าแต่ละกลุ่มที่มีชื่อเป็นองค์กรอาชญากรรมที่แยกจากกันโดยสิ้นเชิงและมีแผนการเล่นเฉพาะของตัวเอง ความเป็นจริงที่งานวิจัยนี้เปิดเผยนั้นยุ่งเหยิงกว่า และในบางแง่ก็มีประโยชน์ต่อการป้องกันมากกว่า การติดตามโครงสร้างพื้นฐาน ซึ่งหมายถึงเซิร์ฟเวอร์ ช่องทางสั่งการและควบคุม และระบบจัดเตรียมที่ใช้ในการโจมตีที่เชื่อมโยงกับ INC Ransom, Lynx, MedusaLocker และ LockBit นักวิจัยพบร่องรอยทางเทคนิคที่ปรากฏซ้ำ across แคมเปญที่ดูเหมือนไม่เกี่ยวข้องกัน

การทับซ้อนนี้สะท้อนแนวโน้มที่กว้างขึ้นซึ่งมองเห็นได้Alreadyในระบบนิเวศแรนซัมแวร์ที่อื่น ดังที่coveredในรายงานเกี่ยวกับวิธีที่กลุ่มแรนซัมแวร์แตะสถิติ 93 กลุ่มที่ยังเคลื่อนไหว โลกอาชญากรรมใต้ดินได้แตกกระจายออกเป็นปฏิบัติการที่มีชื่อจำนวนมาก แม้ว่าเทคนิคหลัก และในบางกรณีโครงสร้างพื้นฐานจริง ถูกนำกลับมาใช้ซ้ำหรือแบ่งปันกัน พันธมิตรแรนซัมแวร์-as-a-serviceมักย้ายระหว่างแบรนด์ และชุดเครื่องมือที่รั่วไหลหรือถูกขายต่อหมายความว่า "กลุ่ม" ต่างๆ อาจดูคล้ายกันมากภายใต้เปลือกนอก

ขโมยก่อน เข้ารหัสทีหลัง: มาตรฐานการกรรโชกสองชั้น

หนึ่งในรูปแบบที่ชัดเจนที่สุดที่ emergedจากงานวิจัยคือจังหวะเวลา ก่อนที่จะล็อกระบบของเหยื่อ การดำเนินการแรนซัมแวร์ส่วนใหญ่ที่ศึกษาจะขโมยข้อมูลละเอียดอ่อนออกไปอย่างเงียบๆ ก่อน การเข้ารหัส ซึ่งเป็นส่วนของการโจมตีที่ถูกสังเกตเพราะระบบหยุดทำงานกะทันหัน มักเป็นขั้นตอนสุดท้ายมากกว่าเป็นขั้นตอนแรก

ลำดับนี้เป็นแกนหลักของการกรรโชกสองชั้น: ผู้โจมตีขโมยข้อมูลอย่างเงียบๆ จากนั้นเข้ารหัสไฟล์ แล้วขู่ว่าจะเปิดเผยข้อมูลที่ขโมยมาต่อสาธารณะหากไม่จ่ายค่าไถ่ มันให้เหตุผลสองประการแก่เหยื่อในการจ่าย และให้อำนาจต่อรองแก่ผู้โจมตีแม้ว่าบริษัทจะสามารถกู้คืนระบบจากข้อมูลสำรองได้โดยไม่ต้องจ่ายค่าคีย์ถอดรหัส กลยุทธ์นี้กลายเป็นมาตรฐานจนการไม่มีมันตอนนี้จะถือเป็นข้อยกเว้นมากกว่ากฎเกณฑ์ และสอดคล้องกับ findingsแยกเกี่ยวกับวิธีที่กลยุทธ์การกรรโชกกำลังเปลี่ยนแปลงเมื่อค่าไถ่แตะระดับต่ำสุดเป็นประวัติการณ์ ซึ่งผลักดันกลุ่มต่างๆ ไปสู่กลยุทธ์กดดันที่รุนแรงขึ้นเมื่อเหยื่อปฏิเสธที่จะจ่าย

ทำไมการตรวจจับตั้งแต่เนิ่นๆ จึงเป็นการป้องกันที่ดีที่สุดในตอนนี้

เนื่องจากการขโมยข้อมูลมักเกิดขึ้นก่อนการเข้ารหัสอย่างมาก จึงมักมีช่วงเวลา บางครั้งเป็นวันหรือสัปดาห์ ที่การบุกรุกกำลังดำเนินอยู่แต่ยังไม่กลายเป็นวิกฤตเต็มรูปแบบ รูปแบบโครงสร้างพื้นฐานที่ระบุในงานวิจัยนี้ให้นักป้องกันมีวิธีตรวจจับช่วงเวลานั้น: พฤติกรรมการสั่งการและควบคุมที่ปรากฏซ้ำ เทคนิคการจัดเตรียม และลายเซ็นเครือข่ายที่ปรากฏข้ามกิจกรรมที่เชื่อมโยงกับ INC Ransom, Lynx, MedusaLocker และ LockBit

สิ่งนี้สำคัญเพราะการบุกรุกครั้งแรกกลายเป็นจุดอ่อนที่สุดที่ผู้โจมตีใช้ประโยชน์มากขึ้น งานวิจัยแยกที่coveredบนเว็บไซต์นี้พบว่า 79% ของเหตุการณ์แรนซัมแวร์เริ่มต้นจากข้อมูลรับรองที่ถูกขโมย มากกว่าการโจมตีช่องโหว่ที่ซับซ้อน เมื่อรวมกับโครงสร้างพื้นฐานที่มีพฤติกรรมคาดเดาได้เมื่อผู้โจมตีอยู่ข้างใน ภาพที่ชัดเจนขึ้นก็ปรากฏ: การโจมตีแรนซัมแวร์ส่วนใหญ่ไม่ใช่การโจมตี zero-day ที่หยุดยั้งไม่ได้ พวกมันอาศัยการเข้าถึงที่ถูกขโมยและเครื่องมือที่ใช้ซ้ำ ซึ่งทั้งสองอย่างทิ้งร่องรอยที่ตรวจจับได้หากองค์กรรู้ว่าต้องมองหาอะไร

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

สำหรับผู้ใช้ทั่วไป งานวิจัยนี้เป็นเครื่องเตือนใจว่าแรนซัมแวร์ไม่ค่อยปรากฏขึ้นจากที่ไหนเฉยๆ มันมักตามมาหลังรหัสผ่านที่ถูกขโมย อีเมลฟิชชิ่ง หรือจุดเข้าถึงระยะไกลที่เปิดเผย และมันมักขโมยข้อมูลนานก่อนที่อะไรจะถูกล็อกหรือข้อความเรียกค่าไถ่จะปรากฏ สำหรับธุรกิจและทีมไอที ข้อสรุปตรงไปตรงมามากขึ้น: การเฝ้าติดตามรูปแบบโครงสร้างพื้นฐานที่ใช้ร่วมกัน across ตระกูลแรนซัมแวร์รายสำคัญสามารถจับการบุกรุกได้ในช่วงการขโมยข้อมูล ก่อนที่การเข้ารหัสจะเกิดขึ้น

สำหรับบุคคล การป้องกันเชิงปฏิบัติก็เหมือนเดิมเสมอ: รหัสผ่านที่ไม่ซ้ำกัน การยืนยันตัวตนหลายปัจจัย และความระมัดระวังต่อการแจ้งเตือนเข้าสู่ระบบหรือคำขอข้อมูลรับรองที่ไม่คาดคิด กลุ่มแรนซัมแวร์พึ่งพาการเข้าถึงที่ถูกขโมยเพื่อเข้ามา ดังนั้นการปิดจุดเข้าถึงนั้นจึงลดข้อได้เปรียบของพวกมันได้มากก่อนที่กลยุทธ์โครงสร้างพื้นฐานขั้นสูงจะเข้ามามีบทบาท

ประเด็นสำคัญ

  • กลุ่มแรนซัมแวร์ที่มีชื่อต่างกันมักใช้โครงสร้างพื้นฐานและกลยุทธ์ร่วมกัน หมายความว่าเครื่องมือตรวจจับที่สร้างสำหรับกลุ่มหนึ่งมักใช้ได้กับกลุ่มอื่นด้วย
  • การขโมยข้อมูลมักเกิดขึ้นก่อนการเข้ารหัส สร้างช่วงเวลาการตรวจจับที่นักป้องกันสามารถดำเนินการได้
  • ข้อมูลรับรองที่ถูกขโมยยังคงเป็นจุดเข้าหลัก ทำให้สุขอนามัยรหัสผ่านและการยืนยันตัวตนหลายปัจจัยเป็นการป้องกันที่มีประสิทธิผลที่สุดที่มีอยู่
  • องค์กรควรให้ความสำคัญกับการเฝ้าติดตามสัญญาณการบุกรุกตั้งแต่เนิ่นๆ ไม่ใช่แค่ขั้นตอนสุดท้ายที่มองเห็นได้ชัดที่สุดของแรนซัมแวร์

การเข้าใจว่าโครงสร้างพื้นฐานแรนซัมแวร์ทำงานอย่างไรจริงๆ แทนที่จะปฏิบัติต่อการโจมตีแต่ละครั้งเป็นเหตุการณ์ที่แยกจากกัน ให้เส้นทางที่ชัดเจนขึ้นแก่ทั้งบุคคลและองค์กรในการจับภัยคุกคามก่อนที่มันจะบานปลาย การติดตามข้อมูลเกี่ยวกับรูปแบบร่วมเหล่านี้เป็นหนึ่งในวิธีที่ง่ายที่สุดในการนำหน้าอยู่เสมอ