พาดหัวข่าวส่วนใหญ่เกี่ยวกับ ransomware มักมุ่งความสนใจไปที่ชื่อกลุ่มที่คุ้นหูเพียงไม่กี่กลุ่ม แต่กลุ่มผู้ก่อภัยคุกคามที่เงียบงันกว่ากลับสร้างความเสียหายได้ไม่แพ้กัน กลุ่ม ransomware ที่ไม่ค่อยเป็นที่รู้จักกำลังละทิ้งเครือข่ายพันธมิตรขนาดใหญ่ที่ทำให้กลุ่มอย่าง LockBit และ Cl0p กลายเป็นที่รู้จักอย่างกว้างขวาง หันมาใช้ทีมขนาดเล็กที่มีวินัยแทน ซึ่งยากต่อการแทรกซึมและยากต่อการคาดเดามากกว่า Royal กลุ่มที่ปรากฏตัวราวเดือนกันยายน เป็นหนึ่งในตัวอย่างที่ชัดเจนที่สุดของการเปลี่ยนแปลงนี้ และเป็นกรณีศึกษาที่มีประโยชน์ว่าทำไมขนาดที่เล็กกว่าจึงไม่ได้หมายความว่าปลอดภัยกว่าสำหรับธุรกิจที่กลุ่มเหล่านี้มุ่งโจมตี

โมเดลธุรกิจที่แตกต่าง: ทีมปิดแทนพันธมิตร

ปฏิบัติการ ransomware รายใหญ่ส่วนใหญ่ดำเนินงานบนโมเดลพันธมิตร หรือ ransomware-as-a-service นักพัฒนาหลักสร้างและดูแลมัลแวร์ จากนั้นอนุญาตให้พันธมิตรที่หมุนเวียนกันไปนำไปใช้ โดยพันธมิตรเหล่านี้เป็นผู้ดำเนินการบุกรุกจริงเพื่อแลกกับส่วนแบ่งค่าไถ่ เป็นโครงสร้างที่มีประสิทธิภาพที่ทำให้มัลแวร์ชิ้นเดียวขยายไปสู่การโจมตีหลายสิบหรือหลายร้อยครั้งพร้อมกัน แต่ก็สร้างจุดอ่อนเช่นกัน พันธมิตรอาจประมาท ทำข้อมูลรั่ว หรือถูกจับกุม และหน่วยงานบังคับใช้กฎหมายก็ประสบความสำเร็จอย่างแท้จริงในการ dismantle เครือข่ายเหล่านี้โดยไล่ตามจุดที่หลวมที่สุด

Royal ข้ามโมเดลนั้นไปโดยสิ้นเชิง แทนที่จะรับสมัครพันธมิตรจำนวนมาก กลุ่มนี้ดำเนินงานด้วยทีมหลักขนาดเล็กที่แน่นหนากว่า ซึ่งเชื่อกันว่ามีสมาชิกFormerของ Conti หนึ่งในปฏิบัติการ ransomware ที่มีผลงานมากที่สุดและมีความซับซ้อนทางเทคนิคมากที่สุดก่อนที่จะแตกออกเป็นเสี่ยงๆ ภูมิหลังนั้นสำคัญ กลุ่มที่สร้างขึ้นจากผู้ปฏิบัติการที่มีประสบการณ์ซึ่งรู้วิธีเคลื่อนที่ผ่านเครือข่ายองค์กร หลบเลี่ยงการตรวจจับ และเจรจาค่าไถ่อยู่แล้ว ไม่จำเป็นต้องมีขนาดใหญ่จึงจะมีประสิทธิผล ต้องการวินัย และโครงสร้างแบบปิดนั้นรักษาวินัยได้ง่ายกว่า

สำหรับฝ่ายป้องกัน นี่คือการเปลี่ยนแปลงที่มีนัยสำคัญในภูมิทัศน์ภัยคุกคาม กลุ่มที่ขับเคลื่อนด้วยพันธมิตรมักทิ้งร่องรอยของกลยุทธ์ที่ไม่สม่ำเสมอเพราะมีผู้คนต่างกันจำนวนมากใช้เครื่องมือชุดเดียวกัน ทีมปิดอย่าง Royal ตรงกันข้าม มีแนวโน้มดำเนินงานด้วยความสม่ำเสมอและความมั่นคงทางการปฏิบัติการที่มากกว่า ซึ่งอาจทำให้กิจกรรมของพวกเขายากต่อการระบุลายนิ้วมือและระบุตัวตนในระยะเริ่มต้นของการบุกรุก

Double Extortion ยังคงเป็นจุดร่วมเดียวกัน

แม้จะมีความแตกต่างเชิงโครงสร้าง Royal ก็ยังใช้กลยุทธ์หนึ่งร่วมกับกลุ่ม ransomware ที่ยังเคลื่อนไหวเกือบทุกกลุ่มในปัจจุบัน นั่นคือ double extortion แทนที่จะเพียงเข้ารหัสไฟล์ของเหยื่อและเรียกร้องค่าตอบแทนสำหรับกุญแจถอดรหัส กลุ่มนี้จะ exfiltrate ข้อมูล Sensitive จากเครือข่ายก่อน หากไม่จ่ายค่าไถ่ ภัยคุกคามไม่ใช่แค่ไฟล์ที่ถูกล็อก แต่คือการเปิดเผยข้อมูลที่ถูกขโมยต่อสาธารณะ ซึ่งอาจรวมถึงบันทึกของลูกค้า ข้อมูลทางการเงิน หรือการสื่อสารภายใน

แคมเปญกดดันสองทางนี้กลายเป็นมาตรฐานของอุตสาหกรรมเพราะได้ผล แม้องค์กรที่มีระบบสำรองข้อมูลที่แข็งแกร่งซึ่งสามารถกู้คืนข้อมูลที่เข้ารหัสได้โดยไม่ต้องจ่ายเงิน ก็ยังต้องเผชิญกับผลกระทบด้านชื่อเสียงและกฎระเบียบจากการรั่วไหลของข้อมูล เป็นกลยุทธ์ที่ปรากฏทั่วทั้งระบบนิเวศ ransomware ไม่ว่ากลุ่มจะมีขนาดหรือชื่อเสียงอย่างไร ผู้เข้ามาใหม่ที่เล็กกว่าก็ใช้มันได้ง่ายพอๆ กับชื่อที่establishedแล้ว กรณีล่าสุดของ M3RX ransomware อ้างความรับผิดชอบต่อบริษัทซอฟต์แวร์สเปน และขโมยข้อมูลหลายร้อยกิกะไบต์ก็ใช้ playbook เดียวกัน: บุกรุก, exfiltrate, เข้ารหัส และข่มขู่ว่าจะเปิดเผยจนกว่าจะจ่ายเงิน

สิ่งที่รูปแบบนี้บอกกับธุรกิจคือ ขนาดหรือชื่อเสียงของกลุ่ม ransomware เป็นตัวแทนความเสี่ยงที่ไม่ดีนัก ทีมที่ค่อนข้างไม่เป็นที่รู้จักซึ่งมีผู้ปฏิบัติการที่มีทักษะเพียงไม่กี่คนสามารถดำเนินการโจมตีแบบ double extortion เดียวกัน ด้วยผลลัพธ์เดียวกัน กับกลุ่มที่ครองพาดหัวข่าวได้

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

สำหรับทีมความปลอดภัยและเจ้าของธุรกิจ บทเรียนจาก Royal และกลุ่มที่คล้ายกันคือ การเฝ้าระวังภัยคุกคามที่สร้างขึ้นจากการจับตารายชื่อกลุ่ม ransomware ชื่อดังสั้นๆ นั้นไม่สมบูรณ์ กลุ่ม ransomware ที่ไม่ค่อยเป็นที่รู้จักมักมีผู้ปฏิบัติการที่มีประสบการณ์จากองค์กรที่ยุบไปหรือเปลี่ยนชื่อใหม่ หมายความว่าความสามารถของพวกเขาอาจเทียบเท่าชื่อใหญ่ๆ ได้แม้จะไม่มีฐานสาธารณะขนาดใหญ่

สิ่งนี้ยังมีนัยสำคัญโดยตรงต่อวิธีที่องค์กรคิดเกี่ยวกับการเข้าถึงเครือข่าย เนื่องจาก double extortion ขึ้นอยู่กับความสามารถของ attackers ในการเคลื่อนที่ผ่านเครือข่ายและดึงข้อมูลออกก่อนที่จะกระตุ้นการเข้ารหัส การจำกัด lateral movement จึงเป็นหนึ่งในการป้องกันที่มีประสิทธิผลที่สุดที่มีอยู่ การแบ่งส่วนเครือข่ายที่แข็งแกร่ง การควบคุมการเข้าถึงที่เข้มงวด และการเฝ้าระวังการถ่ายโอนข้อมูลออกที่ผิดปกติสามารถจับการบุกรุกได้ก่อนที่ exfiltration จะเสร็จสิ้น แม้ว่าการบุกรุกครั้งแรกจะไม่ถูกหยุด เครื่องมือเข้าถึงระยะไกลที่ปลอดภัย รวมถึง VPN ที่กำหนดค่าอย่างถูกต้องด้วย multi-factor authentication ยังคงเป็นหนึ่งในวิธีที่ง่ายที่สุดในการลดพื้นที่โจมตีที่เปิดเผยซึ่งกลุ่มอย่าง Royal พึ่งพาเพื่อสร้างจุดยึดเริ่มต้น

ข้อปฏิบัติที่นำไปใช้ได้จริง

ธุรกิจไม่จำเป็นต้องติดตามทุกกลุ่ม ransomware ที่ไม่ค่อยเป็นที่รู้จักตามชื่อเพื่อปกป้องตนเอง แต่จำเป็นต้องสันนิษฐานว่าระบบที่ยังไม่ได้แพตช์หรือจุดเข้าถึงระยะไกลที่เปิดเผยใดๆ เป็นทางเข้าที่เป็นไปได้สำหรับกลุ่มที่พวกเขาไม่เคยได้ยินชื่อ ขั้นตอนปฏิบัติเพียงไม่กี่ข้อสร้างความแตกต่างได้จริง: อัปเดตเครื่องมือเข้าถึงระยะไกลและป้องกันด้วย multi-factor authentication แบ่งส่วนเครือข่ายเพื่อให้บัญชีที่ถูกบุกรุกบัญชีเดียวไม่สามารถเข้าถึงข้อมูล Sensitive ได้ เฝ้าระวังการถ่ายโอนข้อมูลออกขนาดใหญ่หรือผิดปกติที่อาจบ่งชี้ว่า exfiltration กำลังเกิดขึ้น และรักษาข้อมูลสำรองแบบออฟไลน์ที่ทดสอบเป็นประจำ ไม่ใช่แค่จัดเก็บไว้

กลุ่ม ransomware ที่ไม่ค่อยเป็นที่รู้จักไม่ใช่เชิงอรรถของชื่อใหญ่ๆ ที่ครองข่าว ในขณะที่ Royal และปฏิบัติการทีมปิดขนาดเล็กอื่นๆ แสดงให้เห็น การมองเห็นที่ลดลงมักมาพร้อมกับทักษะการปฏิบัติการที่เพิ่มขึ้น ไม่ใช่ความเสี่ยงที่ลดลง การปฏิบัติต่อทุกกลุ่ม ไม่ว่าคุ้นเคยหรือไม่ ด้วยความเข้มงวดด้านการป้องกันในระดับเดียวกันคือวิธีที่เชื่อถือได้ที่สุดในการนำหน้าพวกเขา