เป็นเวลาหลายปี ภาพลักษณ์ทั่วไปของแรนซัมแวร์คือไฟล์ที่ถูกเข้ารหัสและข้อความเรียกค่าไถ่บนหน้าจอ กลยุทธ์ใหม่ที่อธิบายโดย PortalGeek เปลี่ยนบทนั้น: แรนซัมแวร์แบบไม่เข้ารหัส living off the land ปิดกั้นเครือข่ายองค์กรโดยไม่เข้ารหัสไฟล์แม้แต่ไฟล์เดียว โดยอาศัยเครื่องมือขององค์กรเอง ผลลัพธ์ยังคงเหมือนเดิม คือบริษัทหยุดชะงัก แต่เส้นทางที่นำไปสู่นั้นตรวจจับได้ยากกว่า
บทความนี้อธิบายว่ามันทำงานอย่างไร ทำไมจึงตรวจจับได้ยากนัก และทั้งบริษัทและบุคคลที่ทำงานจากบ้านควรตรวจสอบอะไรบ้าง
แรนซัมแวร์แบบไม่เข้ารหัสทำงานอย่างไร
ตามข้อมูลที่เผยแพร่ กลยุทธ์นี้ทำให้การดำเนินงานของเครือข่ายองค์กรเป็นอัมพาตโดยไม่ต้องพึ่งการเข้ารหัสไฟล์ ซึ่งเป็นสิ่งที่การป้องกันจำนวนมากมักเฝ้าระวัง แทนที่จะติดตั้งโปรแกรม malicious ที่มองเห็นได้ชัด ผู้โจมตีใช้ยูทิลิตี้ที่มีอยู่แล้วในสภาพแวดล้อม เช่น เครื่องมือบริหารจัดการอย่าง PowerShell และซอฟต์แวร์เข้าถึงระยะไกล
แนวทางนี้เรียกว่า "living off the land" (อยู่บนผืนดิน): ผู้บุกรุกใช้สิ่งที่ติดตั้งอยู่แล้ว โดยไม่เข้ารหัสข้อมูล ก็สามารถขัดจังหวะบริการ บล็อกการเข้าถึง หรือทำให้ระบบใช้งานไม่ได้ และผลกระทบต่อความต่อเนื่องทางธุรกิจก็ร้ายแรงไม่แพ้กัน สำหรับบริษัท การไม่สามารถดำเนินงานได้คือปัญหาหลัก ไม่ว่าไฟล์จะถูกเข้ารหัสหรือไม่ก็ตาม
ทำไมการใช้เครื่องมือที่ถูกต้องตามกฎหมายจึงทำให้ตรวจจับได้ยากขึ้น
กุญแจสำคัญคือไม่มีสิ่งใดที่ผู้โจมตีรันดูแปลกตาเมื่อมองแวบแรก ผู้ดูแลระบบใช้ PowerShell ทุกวัน และซอฟต์แวร์เข้าถึงระยะไกลเป็นส่วนประกอบปกติของฝ่ายสนับสนุนทางเทคนิค หากผู้โจมตีที่มีข้อมูลรับรองที่ถูกต้องเปิดใช้เครื่องมือเดียวกันนั้น กิจกรรมของพวกเขาอาจถูกเข้าใจผิดว่าเป็นงานroutine
สิ่งนี้มีผลในทางปฏิบัติหลายประการ:
- สัญญาณแบบคลาสสิกน้อยลง โปรแกรมแอนตี้ไวรัสที่ค้นหาไฟล์ malicious ที่รู้จักมีอะไรให้บล็อกน้อยมากเมื่อมีการใช้โปรแกรมที่ถูกต้องตามกฎหมาย
- จุดสนใจเปลี่ยนไปที่ข้อมูลรับรอง หากการเข้าถึงถูกต้อง คำถามไม่ใช่ "ซอฟต์แวร์นี้คืออะไร?" อีกต่อไป แต่เป็น "ใครกำลังใช้มันและจากที่ไหน?"
- พฤติกรรมสำคัญมากขึ้น การตรวจจับการใช้เครื่องมือที่ผิดปกติ (ในเวลาที่แปลก จากอุปกรณ์ที่คาดไม่ถึง) กลายเป็นประโยชน์มากกว่าการตรวจจับไฟล์เฉพาะ
นี่ไม่ใช่ภัยคุกคามที่แก้ได้ด้วยผลิตภัณฑ์เดียว ต้องใช้หลายชั้น: การควบคุมการเข้าถึง การมองเห็น และความสามารถในการกู้คืน
สิ่งนี้หมายความอย่างไรสำหรับการทำงานระยะไกลและเครือข่ายภายในบ้าน
เครือข่ายองค์กรไม่ได้สิ้นสุดที่สำนักงาน แล็ปท็อปแต่ละเครื่องที่เชื่อมต่อจากบ้าน เครื่องมือเข้าถึงระยะไกลแต่ละตัว และรหัสผ่านที่ใช้ซ้ำแต่ละครั้ง ขยายพื้นผิวที่ผู้โจมตีสามารถเข้ามาได้ หากวิธีการพึ่งพาการใช้การเข้าถึงที่ถูกต้อง ข้อมูลรับรองของผู้ที่ทำงานระยะไกลจะกลายเป็นประตูที่มีค่าอย่างยิ่ง
ในทางปฏิบัติ ความปลอดภัยของเครือข่ายภายในบ้านส่งผลต่อความปลอดภัยของบริษัท:
- เราเตอร์ที่มีรหัสผ่านจากโรงงานหรือเฟิร์มแวร์ที่ไม่ได้อัปเดตคือจุดอ่อน
- รหัสผ่านที่ซ้ำกันระหว่างบริการส่วนตัวและองค์กรทำให้การรั่วไหลจากที่อื่นส่งผลกระทบต่องานได้ง่ายขึ้น
- โปรแกรมเข้าถึงระยะไกลที่ติดตั้งและถูกลืม หรือไม่มีการยืนยันตัวตนที่แข็งแกร่ง ให้เส้นทางตรงสู่เครื่อง
บริบทโดยรวมก็สำคัญเช่นกัน ดังที่เราได้รวบรวมไว้ในการวิเคราะห์ของเราเกี่ยวกับการเพิ่มขึ้นของเหยื่อแรนซัมแวร์ในสเปนและการขโมยข้อมูลด้วย AI ภัยคุกคามยังคงเติบโตและส่งผลกระทบทั้งต่อองค์กรและบุคคลที่เชื่อมต่อกับพวกเขา
มาตรการปฏิบัติ: MFA, สิทธิ์ขั้นต่ำ, การตรวจสอบ และการสำรองข้อมูล
ไม่มีมาตรการใดเหล่านี้ที่เป็นเรื่องใหม่ แต่เมื่อรวมกันแล้วจะลดขอบเขตการเคลื่อนไหวของผู้ที่พยายามใช้เครื่องมือที่ถูกต้องตามกฎหมายได้มาก
- การยืนยันตัวตนหลายปัจจัย (MFA) เปิดใช้งานในอีเมล, VPN ขององค์กร, เดสก์ท็อประยะไกล และแผงผู้ดูแลระบบใดๆ หากรหัสผ่านรั่วไหล MFA จะเพิ่มอุปสรรคสำคัญ
- สิทธิ์ขั้นต่ำ แต่ละบัญชีควรมีเฉพาะสิทธิ์ที่จำเป็น หากผู้ใช้ปกติไม่จำเป็นต้องรัน PowerShell ด้วยสิทธิ์สูง ควรจำกัดไว้
- ควบคุมซอฟต์แวร์เข้าถึงระยะไกล จัดทำบัญชีเครื่องมือที่ได้รับอนุญาตและลบเครื่องมือที่ไม่ใช้งาน
- ตรวจสอบพฤติกรรม บันทึกและตรวจทานกิจกรรมของเครื่องมือบริหารจัดการ และกำหนดการแจ้งเตือนเมื่อมีการใช้งานที่ผิดปกติ
- สำรองข้อมูลแบบแยกส่วนและทดสอบแล้ว เก็บสำเนาแยกจากเครือข่ายหลักและตรวจสอบว่าสามารถกู้คืนได้ หากสิ่งที่ถูกบล็อกคือระบบ ไม่ใช่แค่ไฟล์ ควรมีแผนการกู้คืนที่จัดทำเป็นเอกสารด้วย
- สุขอนามัยภายในบ้าน เปลี่ยนข้อมูลรับรองของเราเตอร์ อัปเดตเฟิร์มแวร์ ใช้รหัสผ่านที่ไม่ซ้ำกันด้วยตัวจัดการรหัสผ่าน และอัปเดตระบบปฏิบัติการให้เป็นปัจจุบัน
บทสรุป: ตรวจสอบการตั้งค่าของคุณก่อนที่ผู้โจมตีจะทำ
แรนซัมแวร์แบบไม่เข้ารหัส living off the land เตือนว่าอันตรายไม่ได้มาในรูปแบบของไฟล์ที่น่าสงสัยเสมอไป บางครั้งมันมาพร้อมกับบัญชีที่ถูกต้องและเครื่องมือที่มีอยู่แล้วในเครื่องของคุณ ดังนั้นการป้องกันจึงต้องปกป้องข้อมูลรับรอง จำกัดสิทธิ์ เฝ้าระวังพฤติกรรม และรับรองว่าคุณสามารถกู้คืนได้
ใช้เวลาสักครู่ในสัปดาห์นี้เพื่อตรวจสอบการตั้งค่าการทำงานระยะไกลของคุณ: คุณเปิด MFA ในบัญชีสำคัญของคุณแล้วหรือยัง? คุณเปลี่ยนรหัสผ่านผู้ดูแลระบบของเราเตอร์แล้วหรือยัง? การสำรองข้อมูลของคุณแยกส่วนและทดสอบแล้วหรือยัง? เพื่อให้เข้าใจมิติของปัญหาได้ดียิ่งขึ้น คุณสามารถอ่านบทความของเราเกี่ยวกับแนวโน้มแรนซัมแวร์ในสเปน
