ปฏิบัติการแรนซัมแวร์ที่เพิ่งถูกระบุชื่อใหม่ชื่อว่า Panzer ได้เผยแพร่รายชื่อเหยื่อที่คาดว่าเป็นเหยื่อจริงจำนวน 16 รายกระจายอยู่ใน 11 ประเทศ ตามรายงานข่าวกรองด้านภัยคุกคามล่าสุด กลุ่มนี้ได้ถือกำเนิดขึ้นในฐานะปฏิบัติการแบบ Ransomware-as-a-Service (RaaS) ซึ่งผนวกการขโมยข้อมูลเข้ากับการเข้ารหัสไฟล์ในรูปแบบที่รู้จักกันในชื่อการขู่กรรโชกสองชั้น (double extortion) สำหรับปฏิบัติการที่เพิ่งเริ่มต้นขนาดนี้ การกระจายตัวทางภูมิศาสตร์และจำนวนเหยื่อที่มากบ่งชี้ว่ากลุ่มนี้กำลังดำเนินการอย่างรวดเร็วเพื่อสร้างสถานะของตนเองในระบบนิเวศแรนซัมแวร์ที่แออัด
Panzer Ransomware คืออะไรและทำงานอย่างไร
Panzer ดำเนินตามโมเดล RaaS ที่คุ้นเคยกันดีในปัจจุบัน โดยกลุ่มแกนกลางจะพัฒนาเครื่องมือเข้ารหัสและโครงสร้างพื้นฐานสำหรับการรั่วไหลของข้อมูล จากนั้นให้เช่าแก่พันธมิตร (affiliates) ซึ่งเป็นผู้ลงมือบุกรุกจริง โครงสร้างนี้ทำให้ปฏิบัติการแรนซัมแวร์สามารถขยายตัวอย่างรวดเร็ว เพราะภาระทางเทคนิคในการสร้างมัลแวร์ถูกแยกออกจากงานปฏิบัติการในการเจาะระบบเครือข่ายและเจรจากับเหยื่อ
เช่นเดียวกับตระกูลแรนซัมแวร์ในปัจจุบันหลายตระกูล Panzer ไม่ได้พึ่งพาการเข้ารหัสเพียงอย่างเดียวเพื่อกดดันให้เหยื่อจ่ายเงิน ก่อนที่จะล็อกไฟล์ พันธมิตรมีรายงานว่าขโมยข้อมูลจากเครือข่ายที่ถูกบุกรุก ข้อมูลที่ถูกขโมยนั้นกลายเป็นเครื่องต่อรอง แม้แต่องค์กรที่มีการสำรองข้อมูลที่แข็งแกร่งก็ยังเผชิญกับภัยคุกคามที่ไฟล์สำคัญจะถูกเผยแพร่หรือขายหากพวกเขาปฏิเสธที่จะจ่ายเงิน กลยุทธ์กดดันสองชั้นนี้ ซึ่งมักเรียกว่าการขู่กรรโชกสองชั้น ได้กลายเป็นแนวปฏิบัติมาตรฐานในวงการแรนซัมแวร์ เพราะมันปิดช่องโหว่ที่การสำรองข้อมูลที่เชื่อถือได้เคยใช้เป็นทางออก
ใครได้รับผลกระทบบ้างใน 11 ประเทศ
ตามรายงาน Panzer ได้ขึ้นบัญชีเหยื่อที่คาดว่าเป็นเหยื่อจริงจำนวน 16 รายกระจายอยู่ใน 11 ประเทศนับตั้งแต่เริ่มปฏิบัติการ ความกว้างขวางที่ครอบคลุมหลายพรมแดนประเทศในช่วงเวลาสั้นๆ เช่นนี้บ่งชี้ว่ากลุ่มนี้หรือพันธมิตรของกลุ่มไม่ได้โฟกัสที่ภูมิภาคเดียวหรืออุตสาหกรรมใดโดยเฉพาะ แต่กลับทอดแหกว้าง ซึ่งสอดคล้องกับพฤติกรรมของปฏิบัติการ RaaS จำนวนมากในช่วงแรกเริ่ม พันธมิตรมักจะโจมตีเป้าหมายที่มีความเสี่ยงใดก็ตามที่พวกเขาหาได้ แทนที่จะมุ่งเน้นเชิงกลยุทธ์ที่แคบ เพื่อแสดงให้เห็นถึงประสิทธิภาพของแพลตฟอร์มอย่างรวดเร็วและดึงดูดพันธมิตรเพิ่มเติม
รายละเอียดของเหยื่อแต่ละรายและอุตสาหกรรมเฉพาะที่ตกเป็นเป้าหมายยังไม่ได้รับการเปิดเผยอย่างครบถ้วนในรายงานที่มีอยู่ แต่ขนาดเพียงอย่างเดียวก็น่าสังเกต กลุ่มใหม่ที่ทำยอดเหยื่อเป็นเลขสองหลักครอบคลุมหลายสิบประเทศในช่วงเริ่มต้นปฏิบัติการสะท้อนให้เห็นว่าโครงสร้างพื้นฐานด้านแรนซัมแวร์ ตั้งแต่เว็บไซต์รั่วไหลไปจนถึงชุดเครื่องมือเข้ารหัส สามารถประกอบและนำไปใช้ได้เร็วเพียงใดโดยใช้เวลาเตรียมการค่อนข้างน้อย
สิ่งนี้เข้ากับแนวโน้ม RaaS และการขู่กรรโชกสองชั้นในวงกว้างอย่างไร
Panzer ไม่ได้เป็นกลุ่มที่ผิดปกติ หากแต่เป็นตัวอย่างล่าสุดของแนวโน้มที่ตั้งหลักมานาน แพลตฟอร์ม RaaS ได้ลดอุปสรรคในการเข้าสู่วงการสำหรับอาชญากรไซเบอร์ ทำให้ผู้กระทำความผิดที่มีความเชี่ยวชาญทางเทคนิคน้อยกว่าสามารถเปิดฉากโจมตีโดยใช้มัลแวร์และโครงสร้างพื้นฐานของผู้อื่น กลุ่มต่างๆ เช่น Medusa ซึ่งเจ้าหน้าที่รัฐบาลกลางได้ชี้ธงหลังจากบุกรุกองค์กรกว่า 500 แห่ง และ Royal ransomware ซึ่งเผยแพร่ข้อมูลที่เชื่อมโยงกับเหยื่อเกือบ 60 รายในเวลาเพียงสองเดือน แสดงให้เห็นว่าปฏิบัติการใหม่หรือที่กลับมาอีกครั้งสามารถยกระดับได้เร็วเพียงใดเมื่อเครือข่ายพันธมิตรของตนได้รับแรงผลักดัน
การขโมยข้อมูลยังกลายเป็นองค์ประกอบเกือบสากลของแคมเปญเหล่านี้ ไม่ใช่คุณสมบัติพิเศษที่จำกัดเฉพาะกลุ่มที่ซับซ้อนเพียงไม่กี่กลุ่ม การโจมตีเช่นที่เชื่อว่าเป็นฝีมือของ ShinyHunters ต่อ Addi.com ซึ่งมีรายงานว่าเผยให้เห็นบันทึกทางการเงินหลายล้านรายการ แสดงให้เห็นว่าข้อมูลที่ถูกขโมยได้กลายเป็นสินค้าโภคภัณฑ์ที่กลุ่มอาชญากรนำมาสร้างรายได้โดยตรง แยกต่างหากจากค่าไถ่ใดๆ ที่จ่ายเพื่อถอดรหัส การผสมผสานระหว่างการเข้ารหัสและการขโมยข้อมูลของ Panzer จึงอยู่ในกรอบแนวโน้มนี้โดยตรงแทนที่จะเป็นเทคนิคใหม่
แนวทางป้องกันเชิงปฏิบัติ: การสำรองข้อมูล การแบ่งส่วนเครือข่าย และการเข้าถึงระยะไกลที่ปลอดภัย
องค์กรไม่จำเป็นต้องรอรายงานทางเทคนิคโดยละเอียดเกี่ยวกับ Panzer เพื่อเสริมความแข็งแกร่งให้กับการป้องกันของตน เนื่องจากการขู่กรรโชกสองชั้นบั่นทอนคุณค่าของการสำรองข้อมูลเพียงอย่างเดียว ความยืดหยุ่นจึงต้องอาศัยแนวทางหลายชั้น การรักษาการสำรองข้อมูลแบบออฟไลน์ที่ทดสอบเป็นประจำยังคงจำเป็น แต่ควรจับคู่กับการแบ่งส่วนเครือข่ายเพื่อให้อุปกรณ์หรือบัญชีเดียวที่ถูกบุกรุกไม่สามารถเปิดทางไปยังทั้งสภาพแวดล้อมได้ การจำกัดการเคลื่อนที่ในแนวนอน (lateral movement) ทำให้ผู้โจมตีช้าลงและให้เวลาผู้ป้องกันในการตรวจจับและตอบสนองมากขึ้น
จุดเข้าถึงระยะไกลสมควรได้รับความสนใจเป็นพิเศษ การบุกรุกด้วยแรนซัมแวร์จำนวนมากเริ่มต้นจากบริการเดสก์ท็อประยะไกลที่เปิดเผย การตั้งค่า VPN ที่อ่อนแอ หรืออุปกรณ์ขอบเขตเครือข่ายที่ไม่ได้รับการอัปเดตแพตช์ การตรวจสอบว่าใครมีสิทธิ์เข้าถึงระยะไกล การบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย และการอัปเดตแพตช์ระบบที่เชื่อมต่ออินเทอร์เน็ตอย่างทันท่วงที ล้วนลดพื้นที่การโจมตีที่พันธมิตรใช้สแกนหา ช่องโหว่โครงสร้างพื้นฐานที่ไม่ได้รับการอัปเดต เช่น ประเภทที่ถูกชี้ให้เห็นใน ช่องโหว่ซีโร่เดย์ VMware vCenter ที่ถูกใช้โจมตีใน 47 ประเทศ แสดงให้เห็นว่าข้อบกพร่องที่ไม่ได้รับการอัปเดตเพียงจุดเดียวสามารถกลายเป็นจุดเริ่มต้นสำหรับการบุกรุกในวงกว้างที่เกินกว่าแรนซัมแวร์เพียงอย่างเดียว
สิ่งนี้หมายความต่อคุณอย่างไร
สำหรับผู้อ่านรายบุคคลส่วนใหญ่ การโจมตีด้วยแรนซัมแวร์ Panzer ไม่น่าจะเป็นภัยคุกคามโดยตรงต่อตัวบุคคล แต่การเกิดขึ้นของมันมีความสำคัญหากคุณทำงานให้ บริหาร หรือทำสัญญากับองค์กรที่อาจตกเป็นเป้าหมาย หากนายจ้างหรือลูกค้าของคุณได้รับแจ้งเกี่ยวกับการโจมตีด้วยแรนซัมแวร์ Panzer จงถือเรื่องนี้อย่างจริงจัง ข้อมูลที่ถูกขโมยอาจรวมถึงบันทึกพนักงานหรือลูกค้า ข้อมูลทางการเงิน หรือข้อมูลประจำตัวที่นำไปสู่การฉ้อโกงเพิ่มเติม ธุรกิจทุกขนาดควรตั้งสมมติฐานว่าทั้งการเข้ารหัสและการรั่วไหลของข้อมูลอาจเกิดขึ้นได้หากผู้โจมตีเข้ามาในระบบได้ ไม่ใช่เพียงอย่างใดอย่างหนึ่ง
ประเด็นสำคัญ
การที่ Panzer ไต่ระดับขึ้นมาอย่างรวดเร็วสู่เหยื่อ 16 รายใน 11 ประเทศเป็นเครื่องเตือนใจว่าปฏิบัติการแรนซัมแวร์ใหม่สามารถขยายตัวได้เร็วเพียงใดเมื่อนำโมเดล RaaS และกลยุทธ์การขู่กรรโชกสองชั้นมาใช้ องค์กรควรตรวจสอบการควบคุมการเข้าถึงระยะไกล บังคับใช้การแบ่งส่วนเครือข่าย และตรวจสอบให้แน่ใจว่าการสำรองข้อมูลเป็นแบบออฟไลน์และทดสอบอย่างสม่ำเสมอ การติดตามข้อมูลว่ากลุ่มต่างๆ เช่น Panzer ดำเนินการอย่างไร และกลุ่มที่เทียบเคียงได้ เช่น Medusa เติบโตเป็นภัยคุกคามขนาดใหญ่ได้เร็วเพียงใด ช่วยให้ทีมรักษาความปลอดภัยจัดลำดับความสำคัญของการป้องกันก่อนที่องค์กรของตนจะกลายเป็นรายการถัดไปบนเว็บไซต์รั่วไหล
