นักล่ารายที่สองที่วนเวียนรอบเหยื่อกลุ่มเดียวกัน

การโดนโจมตีด้วยแรนซัมแวร์ก็แย่พออยู่แล้ว ตอนนี้กลุ่มผู้ไม่หวังดีที่เรียกตัวเองว่า "Ransom Busters" กำลังหาวิธีทำกำไรจากเหยื่อกลุ่มเดียวกันซ้ำเป็นครั้งที่สอง ตามรายงานเกี่ยวกับแผนการนี้ กลุ่มดังกล่าวเข้าหาองค์กรที่เคยตกเป็นเหยื่อการโจมตีด้วยแรนซัมแวร์มาแล้ว และเสนอจะ "ลบ" ข้อมูลที่ถูกขโมยไป โดยคิดค่าบริการตั้งแต่ 20,000 ถึง 60,000 ดอลลาร์

ข้อเสนอในตอนแรกฟังดูเหมือนช่วยเหลืออย่างแท้จริง: จ่ายเงินให้เรา แล้วเราจะทำให้แน่ใจว่าไฟล์ที่ถูกขโมยไปของคุณจะไม่ถูกเปิดเผยสู่สาธารณะหรือถูกนำไปขาย แต่ในความเป็นจริง นักวิจัยที่วิเคราะห์เครื่องมือและโครงสร้างพื้นฐานของกลุ่มนี้พบว่ามีหลักฐานเพียงเล็กน้อยที่บ่งชี้ว่าการจ่ายเงินจะการันตีอะไรเลยแม้แต่น้อย การหลอกลวงของ Ransom Busters ดูเหมือนจะไม่ใช่บริการกู้คืนข้อมูล แต่เป็นการข่มขู่เรียกเงินครั้งที่สองซ้อนทับบนครั้งแรกเสียมากกว่า

กลไกการทำงานของแผนการ Ransom Busters

การวิเคราะห์ความปลอดภัยเกี่ยวกับกิจกรรมของกลุ่มนี้ชี้ให้เห็นรูปแบบที่ได้รับการบันทึกไว้แล้วใน รายงานหลายฉบับ รายงานเพิ่มเติม: Ransom Busters วางตัวเป็นบุคคลที่สามที่เข้าถึงเซิร์ฟเวอร์ของแก๊งแรนซัมแวร์ได้ อ้างว่าสามารถเข้าไปแทรกแซงแทนเหยื่อได้ ในบางกรณี กลุ่มนี้ดูเหมือนจะเป็นพันธมิตรที่ปฏิบัติการอยู่ภายในระบบนิเวศแรนซัมแวร์เดียวกันกับที่มันอ้างว่าจะต่อสู้ ไม่ใช่ผู้กู้คืนข้อมูลจากภายนอกอย่างแท้จริง

นักวิจัยที่ตรวจสอบเครื่องมือที่อยู่เบื้องหลังแนวทางเหล่านี้พบเครื่องหมายแบ็คดอร์และความซ้ำซ้อนของโครงสร้างพื้นฐานที่บ่งชี้ถึงความต่อเนื่องกับการปฏิบัติการแรนซัมแวร์ที่มีอยู่ แทนที่จะเป็นบริการกู้คืนข้อมูลอิสระอย่างแท้จริง กล่าวอีกนัยหนึ่ง คนที่เสนอจะ "ลบ" ข้อมูลที่ถูกขโมยของคุณ อาจมีส่วนร่วมในการขโมยข้อมูลนั้นตั้งแต่แรก หรืออย่างน้อยก็มีความสัมพันธ์ใกล้ชิดกับผู้ที่ขโมย

สิ่งนี้มีความสำคัญเพราะมันเปลี่ยนวิธีคำนวณตัดสินใจของเหยื่อโดยสิ้นเชิง การจ่ายเงินด้วยความสุจริตใจให้กับบริษัทตอบสนองเหตุการณ์ที่ถูกกฎหมายเป็นเรื่องหนึ่ง แต่การจ่ายเงินให้กับหน่วยงานที่อาจยังคงควบคุมไฟล์ที่ถูกขโมยของคุณ หรือไม่มีความสามารถจริงในการรับประกันการลบข้อมูล เป็นอีกเรื่องหนึ่ง ดังที่กล่าวไว้ในรายงานเกี่ยวกับ วิธีที่บริษัทกู้คืนข้อมูลปลอมซ่อนตัวอยู่เบื้องหลังการหลอกลวงด้วยแรนซัมแวร์ ไม่มีกลไกที่ตรวจสอบได้ในการยืนยันว่าข้อมูลถูกทำลายจริงหลังจากที่การจ่ายเงินแบบเรียกค่าไถ่เปลี่ยนมือไป

ทำไมการจ่ายเงินจึงไม่รับประกันอะไรเลย

ปัญหาหลักของข้อเสนอจ่ายเงินเพื่อลบข้อมูล ไม่ว่าจะมาจากผู้โจมตีดั้งเดิมหรือบุคคลที่สามที่อ้างตัวว่าเข้ามาช่วยอย่าง Ransom Busters ก็คือการตรวจสอบยืนยัน เมื่อข้อมูลที่ถูกขโมยออกจากเครือข่ายขององค์กรไปแล้ว เหยื่อไม่มีทางยืนยันได้ว่าจะเกิดอะไรขึ้นกับข้อมูลนั้นต่อไป ภาพหน้าจอของโฟลเดอร์ที่ถูกลบหรือคำรับรองด้วยวาจาไม่ใช่หลักฐาน สามารถทำสำเนาได้ก่อนที่ "การลบ" จะเกิดขึ้น และไม่มีผู้ตรวจสอบอิสระคอยตรวจสอบว่ากลุ่มอาชญากรปฏิบัติตามข้อตกลงการจ่ายเงินหรือไม่

นี่คือแนวโน้มที่ผู้เชี่ยวชาญด้านความปลอดภัยชี้ให้เห็นมานานหลายปีในเรื่องการจ่ายค่าไถ่แบบดั้งเดิม และมันยิ่งใช้ได้มากขึ้นในกรณีนี้ Ransom Busters กำลังขอให้เหยื่อไว้ใจหน่วยงานที่โมเดลธุรกิจทั้งหมดต้องพึ่งพาเหยื่อที่กำลังสิ้นหวังอยู่แล้ว เพิ่งผ่านเหตุการณ์ข่มขู่ครั้งแรกมา และตอนนี้ต้องเผชิญกับความต้องการครั้งที่สองจากฝ่ายที่อ้างว่าจะช่วยบรรเทาทุกข์ แนวโน้มคำเตือนที่นักวิจัยชี้ให้เห็นนั้นตรงไปตรงมา: เศรษฐกิจการข่มขู่เรียกค่าไถ่กำลังขยายความหลากหลาย โดยมีนักแสดงรายใหม่หาวิธีทำเงินจากความกลัวของเหยื่อแม้หลังจากการโจมตีครั้งแรกสิ้นสุดลงแล้ว

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากองค์กรของคุณเคยประสบเหตุการณ์แรนซัมแวร์ และมีคนติดต่อคุณในภายหลัง ไม่ว่าจะผ่านทางอีเมล พอร์ทัลดาร์กเว็บ หรือข้อความโดยตรง เสนอจะลบข้อมูลที่ถูกขโมยโดยคิดค่าธรรมเนียม ให้ปฏิบัติต่อการติดต่อนั้นด้วยความกังขาแบบเดียวกับที่คุณใช้กับจดหมายเรียกค่าไถ่ฉบับเดิม ไม่มีวิธีที่เชื่อถือได้ในการตรวจสอบข้อกล่าวอ้าง และการจ่ายเงินไม่ได้สร้างการรับประกันที่บังคับใช้ได้ใดๆ

เส้นทางที่ปลอดภัยที่สุดคือส่งต่อการติดต่อดังกล่าวทั้งหมดผ่านทีมตอบสนองเหตุการณ์ของคุณหรือบริษัทรักษาความปลอดภัยทางไซเบอร์ที่เชื่อถือได้ แทนที่จะเจรจาโดยตรง หน่วยงานบังคับใช้กฎหมายที่ดูแลคดีแรนซัมแวร์โดยทั่วไปจะรู้จักแผนการข่มขู่ครั้งที่สองแบบนี้ และสามารถช่วยประเมินได้ว่าการติดต่อเฉพาะนั้นน่าเชื่อถือหรือเป็นเพียงอีกมุมมองหนึ่งของการโจมตีครั้งเดียวกัน

ข้อปฏิบัติที่นำไปใช้ได้จริง

  • อย่าถือว่าข้อเสนอ "ลบข้อมูล" หลังการละเมิดใดๆ ถูกต้องตามกฎหมายunless มีการตรวจสอบยืนยันโดยอิสระจากทีมรักษาความปลอดภัยหรือทีมกฎหมายของคุณ
  • รายงานการติดต่อจากกลุ่มเช่น Ransom Busters ต่อหน่วยงานบังคับใช้กฎหมาย แทนที่จะเจรจาฝ่ายเดียว
  • สมมติว่าข้อมูลใดๆ ที่ถูกขโมยออกไปแล้วในการโจมตีด้วยแรนซัมแวร์ควรถือว่าเผยแพร่สู่สาธารณะอย่างถาวร ไม่ว่าคุณจะจ่ายเงินใดๆ ในภายหลัง
  • เสริมความแข็งแกร่งให้กับการสำรองข้อมูลและการตรวจจับตั้งแต่วันนี้ เพื่อให้เหตุการณ์แรนซัมแวร์ครั้งแรก และการข่มขู่ที่ตามมาที่มันเชิญชวน มีโอกาสเกิดขึ้นน้อยลงตั้งแต่แรก

การเพิ่มขึ้นของแผนการอย่าง Ransom Busters เป็นเครื่องเตือนใจว่าผลพวงของแรนซัมแวร์อาจอันตรายพอๆ กับการโจมตีครั้งแรก การคงไว้ซึ่งความกังขาต่อใครก็ตามที่เสนอทางลัดกลับสู่ความปลอดภัย โดยเฉพาะอย่างยิ่งหากต้องแลกด้วยเงิน ยังคงเป็นเกราะป้องกันที่ดีที่สุด