วิธีที่เงียบกว่าในการทำให้ระบบป้องกันของคุณมืดบอด

ผู้ดำเนินการแรนซัมแวร์พยายามฆ่าซอฟต์แวร์ความปลอดภัยมานานก่อนที่จะเริ่มโจมตี โดยปิดเครื่องมือแอนตี้ไวรัส เอเจนต์การตรวจจับและตอบสนองต่อภัยคุกคามบนปลายทาง (EDR) และบริการสำรองข้อมูล เพื่อไม่ให้มีอะไรมาขัดขวางการเข้ารหัส แต่เครื่องมือรุ่นใหม่ที่บางครั้งเรียกว่า "เครื่องมือสังหารแรนซัมแวร์" กลับใช้แนวทางที่แนบเนียนกว่า แทนที่จะยุติกระบวนการความปลอดภัยอย่างสมบูรณ์ เครื่องมือเหล่านี้จะเขียนทับหน่วยความจำของกระบวนการนั้นอย่างแม่นยำ ในขณะที่ปล่อยให้แอปพลิเคชันยังคงทำงานอยู่ตามเทคนิค

ความแตกต่างนี้มีความสำคัญมากกว่าที่คิด เมื่อกระบวนการความปลอดภัยถูกฆ่า มันมักจะหายไปจากรายการกระบวนการของระบบ และหลายองค์กรมีการเฝ้าระวังเพื่อตรวจจับการหายไปดังกล่าวโดยเฉพาะ บริการเฝ้าระวัง, คอนโซลผู้ดูแลระบบ หรือกฎแจ้งเตือนสามารถจับจังหวะที่กระบวนการแอนตี้ไวรัสหยุดตอบสนองและแจ้งเตือนได้ แต่เมื่อผู้โจมตีเขียนทับหน่วยความจำของกระบวนการนั้นแทน พวกเขาสามารถทำให้ความสามารถในการตรวจจับหรือตอบสนองต่อภัยคุกคามหมดฤทธิ์ โดยที่ตัวกระบวนการเองยังดูเหมือนทำงานปกติสำหรับใครก็ตามที่ดูผ่านตัวจัดการงานหรือการตรวจสอบเบื้องต้น

เหตุใดการเขียนทับหน่วยความจำจึงจับได้ยากกว่า

เทคนิคนี้ใช้ประโยชน์จากช่องว่างระหว่างสิ่งที่เครื่องมือรักษาความปลอดภัยถูกออกแบบมาให้เฝ้าระวัง กับสิ่งที่บ่งชี้ถึงการบุกรุกจริง ระบบป้องกันส่วนใหญ่สร้างขึ้นบนสมมติฐานว่าเอเจนต์ความปลอดภัยที่ทำงานอยู่หมายความว่าการป้องกันยังสมบูรณ์ หากกระบวนการนั้นปรากฏและกำลังทำงาน ก็จะถูกอนุมานว่ามันกำลังทำหน้าที่ของมัน เครื่องมือสังหารแรนซัมแวร์ที่จัดการหน่วยความจำโดยตรงจะบ่อนทำลายสมมติฐานนั้นโดยไม่ส่งสัญญาณที่ชัดเจนอย่างการล่มหรือการยุติของกระบวนการ ซึ่งระบบตรวจจับจำนวนมากพึ่งพา

นี่คือวิวัฒนาการตามธรรมชาติของแนวโน้มที่ได้ปรับเปลี่ยนวิธีการทำงานของกลุ่มแรนซัมแวร์ไปแล้ว ดังที่ได้กล่าวถึงในบทวิเคราะห์ล่าสุดเกี่ยวกับ เฟรมเวิร์กแรนซัมแวร์ที่มุ่งทำลาย EDR ผู้โจมตีได้เปลี่ยนจากการเร่งเข้ารหัสไฟล์ก่อนที่ระบบป้องกันจะตอบสนอง ไปสู่การทำให้ระบบป้องกันเหล่านั้นใช้การไม่ได้อย่างมีแบบแผนเสียก่อน เทคนิคการเขียนทับหน่วยความจำคือขั้นตอนต่อไปในแผนการเดียวกัน แทนที่จะเพียงแค่ปิดการใช้งานเครื่องมือ ผู้โจมตีกำลังเรียนรู้ที่จะทำให้ดูเหมือนไม่มีอะไรเกิดขึ้นเลย

สำหรับทีมรักษาความปลอดภัย สิ่งนี้ก่อให้เกิดปัญหาที่ใช้งานได้จริง กลยุทธ์การตรวจจับที่พึ่งพาการตรวจสอบว่า "กระบวนการความปลอดภัยยังทำงานอยู่หรือไม่" เป็นตัวแทนของ "ปลายทางนั้นยังคงได้รับการป้องกันอยู่หรือไม่" อาจถูกทำให้ไร้ผลอย่างเงียบ ๆ ได้ นั่นไม่ได้หมายความว่าเครื่องมือเหล่านั้นไร้ประโยชน์ แต่องค์กรจำเป็นต้องมีสัญญาณเพิ่มเติม เช่น การตรวจสอบว่ากระบวนการนั้นกำลังทำงานตามปกติจริง ๆ ไม่ใช่เพียงแค่มีอยู่ เพื่อตรวจจับการแทรกแซงแบบนี้

รูปแบบที่กว้างขึ้นของการหลบเลี่ยง EDR และแอนตี้ไวรัส

พัฒนาการนี้สอดคล้องกับรูปแบบที่กว้างขึ้น ซึ่งกลุ่มแรนซัมแวร์มองว่าซอฟต์แวร์ความปลอดภัยคืออุปสรรคแรกที่ต้องกำจัด ไม่ใช่สิ่งที่ค่อยคิดทีหลัง ผู้โจมตีได้สร้างเครื่องมือเฉพาะทางขึ้นมาเพื่อปิดการใช้งานหรือเลี่ยงผลิตภัณฑ์ตรวจจับก่อนที่จะปล่อยเพย์โหลดแรนซัมแวร์จริงมากขึ้นเรื่อย ๆ การเปลี่ยนไปสู่การจัดการหน่วยความจำ แทนที่จะยุติกระบวนการโดยสิ้นเชิง ชี้ให้เห็นว่ากลุ่มเหล่านี้กำลังปรับตัวอย่างแข็งขันต่อผู้ป้องกันที่เก่งขึ้นในการจับเวอร์ชันที่หยาบกว่าได้ เมื่อการป้องกันแบบหลายชั้นที่ เฟรมเวิร์กแรนซัมแวร์ที่มุ่งทำลาย EDR เรียกร้อง กลายเป็นคำแนะนำมาตรฐาน ผู้โจมตีก็ปรับแต่งวิธีการของพวกเขาให้หลุดรอดผ่านชั้นเหล่านั้นไปได้อย่างพอดี

สิ่งนี้มีความหมายต่อคุณอย่างไร

สำหรับผู้ใช้ทั่วไป การโจมตีแบบนี้มีโอกาสเกิดขึ้นโดยตรงได้น้อย เนื่องจากมุ่งเป้าไปที่โครงสร้างพื้นฐานความปลอดภัยระดับองค์กร มากกว่าอุปกรณ์ส่วนบุคคล แต่บทเรียนที่ซ่อนอยู่นั้นประยุกต์ใช้ได้กว้าง: การที่มีเครื่องมือรักษาความปลอดภัยอยู่ในระบบไม่ได้รับประกันว่ามันจะทำงานได้อย่างถูกต้อง เครื่องมือสังหารแรนซัมแวร์เป็นเครื่องเตือนใจว่าผู้โจมตีมุ่งเน้นไปที่การปิดการป้องกันอย่างเงียบเชียบ แทนที่จะกระตุ้นสัญญาณเตือนที่มองเห็นได้มากขึ้นเรื่อย ๆ ซึ่งทำให้ควรให้ความสนใจว่าซอฟต์แวร์ความปลอดภัยของคุณทำงานตามปกติจริงหรือไม่ ไม่ใช่แค่มันถูกติดตั้งและกำลังทำงานอยู่เท่านั้น

สำหรับทีมไอทีและทีมรักษาความปลอดภัย เทคนิคนี้ตอกย้ำความจำเป็นที่จะต้องก้าวข้ามการตรวจสอบง่าย ๆ แบบ "กระบวนการยังมีชีวิตอยู่หรือไม่" การเฝ้าระวังควรรวมถึงการตรวจสอบพฤติกรรมของเครื่องมือความปลอดภัยด้วย ตรวจสอบว่าพวกมันยังสแกน อัปเดต และรายงานตามที่คาดหวังอยู่จริง ไม่ใช่แค่กินตำแหน่งในรายการกระบวนการเท่านั้น การป้องกันหลายชั้น การเฝ้าระวังซ้ำซ้อน และการยืนยันความสมบูรณ์ของเครื่องมือความปลอดภัยนอกแบนด์ ล้วนมีความสำคัญมากขึ้นเมื่อผู้โจมตีเก่งขึ้นในการปลอมแปลงสภาพปกติ

ข้อปฏิบัติที่นำไปใช้ได้

  • อย่าพึ่งพาการมีอยู่ของกระบวนการเพียงอย่างเดียวว่าเป็นหลักฐานว่าซอฟต์แวร์ความปลอดภัยทำงานอยู่ ตรวจสอบพฤติกรรม ไม่ใช่แค่การมีอยู่
  • ตรวจสอบให้แน่ใจว่าเครื่องมือความปลอดภัยเปิดใช้งานการตรวจสอบความสมบูรณ์หรือฟีเจอร์ป้องกันการถูกแก้ไขไว้ หากมีให้
  • สร้างการเฝ้าระวังที่แจ้งเตือนเมื่อมีกิจกรรมหน่วยความจำที่ผิดปกติรอบ ๆ กระบวนการความปลอดภัยที่สำคัญ ไม่ใช่แค่เมื่อมันล่มหรือถูกยุติ
  • อัปเดตเครื่องมือตรวจจับบนปลายทางให้ทันสมัยอยู่เสมอ เพราะผู้จำหน่ายมักจะแพตช์เทคนิคการหลบเลี่ยงที่รู้จักเมื่อมีการค้นพบ
  • ถือว่ารายงานใด ๆ เกี่ยวกับเครื่องมือ "สังหารแรนซัมแวร์" เป็นสัญญาณให้ทบทวนว่าองค์กรของคุณตรวจสอบความสมบูรณ์ของระบบป้องกันของตนเองอย่างไร ไม่ใช่แค่ว่าพวกมันทำงานอยู่ตามเทคนิคหรือไม่

ในขณะที่กลุ่มแรนซัมแวร์ยังคงปรับแต่งวิธีทำให้เครื่องมือความปลอดภัยหมดฤทธิ์โดยไม่ส่งสัญญาณเตือนที่ชัดเจน การรับทราบข้อมูลเกี่ยวกับเทคนิคการหลบเลี่ยงเหล่านี้คือหนึ่งในวิธีที่ง่ายที่สุดที่จะนำหน้าพวกเขาไปหนึ่งก้าว