คำเตือนร่วมจาก FBI, CISA และหน่วยงาน EU ได้ทำให้กลุ่มแรนซัมแวร์ SafePay ตกเป็นจุดสนใจ โดยระบุสหรัฐฯ สหราชอาณาจักร และเยอรมนีเป็นเป้าหมายของการรณรงค์ระดับโลกของกลุ่มนี้ รายละเอียดสำคัญสำหรับผู้ใช้ทั่วไปและธุรกิจขนาดเล็กคือ ผู้โจมตีมุ่งเป้าไปที่แบ็กอัป สิ่งนี้ทำให้การป้องกันแบ็กอัปจากแรนซัมแวร์ SafePay เป็นคำถามที่ใหญ่กว่าการมีสำเนาไฟล์ชุดที่สองเพียงอย่างเดียว
บทความต้นฉบับนั้นสั้น所以我โพสต์นี้จึงเน้นที่สิ่งที่คำเตือนบ่งชี้และขั้นตอนปฏิบัติที่คุณสามารถทำได้ ในส่วนที่เราอธิบายพฤติกรรมทั่วไปของผู้โจมตีนั้น สะท้อนรายงานสาธารณะทั่วไปเกี่ยวกับ SafePay และแนวปฏิบัติแรนซัมแวร์ทั่วไป
SafePay Ransomware ทำอะไรและใครคือเป้าหมาย
SafePay เป็นกลุ่มแรนซัมแวร์ หมายความว่ามันเจาะเข้าสู่เครือข่าย ล็อกข้อมูล และเรียกร้องค่าไถ่เพื่อคืนการเข้าถึง รายงานภัยคุกคามสาธารณะอธิบายว่าเป็นการดำเนินการกรรโชกสองชั้น ผู้โจมตีคัดลอกข้อมูลออกจากระบบของเหยื่อก่อนเข้ารหัส จากนั้นเรียกร้องการชำระเงินในสกุลเงินคริปโต ภัยคุกคามคือทั้งการสูญเสียการเข้าถึงและการที่ไฟล์ละเอียดอ่อนรั่วไหล
คำเตือนร่วมอธิบายการรณรงค์ระดับโลก และหน่วยงานที่เกี่ยวข้องครอบคลุมสหรัฐฯ สหราชอาณาจักร และเยอรมนี กลุ่มแรนซัมแวร์ไม่ค่อยจำกัดตัวเองอยู่แค่บริษัทขนาดใหญ่ ธุรกิจขนาดเล็ก คลินิก โรงเรียน และสำนักงานท้องถิ่นมักมีข้อมูลที่มีค่าแต่การป้องกันที่บางกว่า ซึ่งทำให้เป็นเป้าหมายที่น่าสนใจ บุคคลที่มีอุปกรณ์จัดเก็บข้อมูลเครือข่ายที่บ้านหรือในสำนักงานที่บ้านก็อาจเสี่ยงเช่นกัน
รายงานสาธารณะเกี่ยวกับ SafePay กล่าวว่าผู้ดำเนินการมักเข้าได้โดยการขโมยหรือเดารหัสผ่าน และโดยการโจมตีช่องโหว่ในระบบความปลอดภัย ไม่มีสิ่งใดแปลกพิเศษ และนั่นคือเหตุผลที่พื้นฐานสำคัญมาก
ทำไมผู้โจมตีจึงมุ่งเป้าไปที่แบ็กอัปก่อน
แบ็กอัปคือตาข่ายนิรภัย หากเหยื่อสามารถกู้คืนจากสำเนาที่สะอาดได้ ข้อเรียกร้องค่าไถ่ก็สูญเสียแรงกดดันส่วนใหญ่ไป ดังนั้นผู้โจมตีที่เข้าใจสิ่งนี้จึงพยายามถอดตาข่ายนั้นก่อนที่จะลงมือ การลบ เข้ารหัส หรือทำให้แบ็กอัปเสียหายก่อนหมายความว่าเมื่อข้อความเรียกค่าไถ่ปรากฏขึ้น ตัวเลือกการกู้คืนได้หายไปแล้ว
นี่คือการเปลี่ยนแปลงที่ควรซึมซับ หลายคนคิดว่าแบ็กอัปเป็นสิ่งที่ดำรงอยู่เฉยๆ ในทางปฏิบัติ แบ็กอัปที่เข้าถึงได้จากเครือข่ายหลักของคุณ โดยใช้ข้อมูลรับรองการเข้าสู่ระบบเดียวกัน สามารถถูกพบและทำลายโดยใครก็ตามที่ได้การเข้าถึงนั้น สำเนาที่อยู่ในไดรฟ์ที่เสียบอยู่กับคอมพิวเตอร์ของคุณตลอดเวลา หรือโฟลเดอร์คลาวด์ที่ซิงค์อัตโนมัติ อาจถูกเข้ารหัสพร้อมกับทุกสิ่งอื่น
วิธีป้องกันแบ็กอัป: สำเนาออฟไลน์ ความไม่เปลี่ยนแปลงได้ และการเข้ารหัส
การป้องกันแบ็กอัปจากแรนซัมแวร์ SafePay ที่ดีเริ่มต้นด้วยการสมมติว่าผู้โจมตีจะเข้าถึงระบบหลักของคุณในที่สุด จากนั้นทำให้แน่ใจว่าแบ็กอัปของคุณอยู่รอดในสถานการณ์นั้น สามแนวคิดช่วยได้:
- เก็บสำเนาออฟไลน์หรือแยกออก ไดรฟ์ภายนอกที่ถูกถอดออกหลังการแบ็กอัปแต่ละครั้งไม่สามารถถูกเข้ารหัสจากระยะไกลได้ สำหรับธุรกิจ นี่หมายถึงสำเนาที่ไม่สามารถเข้าถึงได้อย่างต่อเนื่องจากเครือข่ายการผลิต
- ใช้แบ็กอัปที่ไม่เปลี่ยนแปลงได้ ความไม่เปลี่ยนแปลงได้หมายความว่าแบ็กอัปไม่สามารถถูกเปลี่ยนแปลงหรือลบได้ในช่วงเวลาที่กำหนด แม้แต่โดยบัญชีผู้ดูแลระบบ เครื่องมือแบ็กอัปและบริการจัดเก็บข้อมูลคลาวด์จำนวนมากมีสิ่งนี้เป็นการตั้งค่า หากผู้โจมตีขโมยข้อมูลรับรองผู้ดูแลระบบ สำเนาที่ถูกล็อกไว้ก็ยังคงอยู่ครบถ้วน
- เข้ารหัสแบ็กอัปของคุณ การเข้ารหัสจะไม่หยุดผู้โจมตีจากการลบข้อมูล แต่จะปกป้องเนื้อหาหากสำเนาถูกขโมย สิ่งนี้สำคัญในกรณีกรรโชกสองชั้น ซึ่งข้อมูลที่รั่วไหลเป็นส่วนหนึ่งของแรงกดดัน
นิสัยสนับสนุนสองอย่างสำคัญพอๆ กัน ใช้ข้อมูลรับรองแยกต่างหากสำหรับระบบแบ็กอัป โดยควรป้องกันด้วยการรับรองหลายปัจจัย เพื่อให้รหัสผ่านประจำวันที่ถูกขโมยไม่สามารถปลดล็อกได้ และทดสอบการกู้คืนเป็นประจำ แบ็กอัปที่คุณไม่เคยกู้คืนคือสมมติฐาน ไม่ใช่แผน
การป้องกันพื้นฐานที่หยุดการบุกรุกครั้งแรก
การป้องกันแบ็กอัปคือแนวป้องกันสุดท้าย ผลลัพธ์ที่ดีกว่าคือการกันผู้โจมตีออกไป เพราะรายงานชี้ไปที่รหัสผ่านที่ถูกขโมยหรือเดาและช่องโหว่ที่ถูกโจมตี การป้องกันที่มีประโยชน์ที่สุดคือสิ่งที่ไม่หวือหวา:
- เปิดใช้การรับรองหลายปัจจัยบนอีเมล การเข้าถึงระยะไกล บัญชีคลาวด์ และคอนโซลแบ็กอัป
- ใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำจัดเก็บไว้ในตัวจัดการรหัสผ่าน เพื่อให้ข้อมูลรับรองที่รั่วไหลหนึ่งรายการไม่เปิดประตูหลายบาน
- แพตช์อย่างทันท่วงที โดยเฉพาะระบบที่หันหน้าเข้าอินเทอร์เน็ต เช่น ไฟร์วอลล์ เครื่องมือเข้าถึงระยะไกล และซอฟต์แวร์แบ็กอัป ช่องโหว่ที่รู้จักแต่ยังไม่แพตช์เป็นวิธีเข้าที่พบบ่อย
- จำกัดการเข้าถึงระยะไกล ปิดบริการที่คุณไม่ใช้และจำกัดว่าใครสามารถเข้าถึงส่วนที่เหลือได้
VPN สามารถช่วยรักษาความปลอดภัยการเชื่อมต่อระยะไกลไปยังเครือข่ายงานได้ แต่ไม่ใช่สิ่งทดแทนการแพตช์และ MFA และจะไม่ปกป้องแบ็กอัปด้วยตัวเอง
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
ลักษณะระหว่างประเทศของคำเตือนนี้น่าทึ่ง รัฐบาลที่ร่วมมือข้ามพรมแดนเกี่ยวกับภัยคุกคามไซเบอร์ไม่ใช่เรื่องใหม่ พันธมิตรเช่น Five Eyes และ Fourteen Eyes ที่กว้างกว่านั้นเป็นที่รู้จักในด้านการแบ่งปันข่าวกรอง แม้ว่าการจัดการเหล่านั้นเกี่ยวข้องกับข้อมูลการเฝ้าระวังและเป็นเรื่องแยกจากคำแนะนำแรนซัมแวร์นี้ สิ่งที่ผู้อ่านควรได้รับนั้นง่ายกว่า: เมื่อหลายหน่วยงานออกคำเตือนร่วม ภัยคุกคามนั้นกว้างขวางและไม่จำกัดอยู่แค่ภูมิภาคหรืออุตสาหกรรมเดียว
สำหรับบุคคล นั่นหมายถึงการตรวจสอบว่าแบ็กอัปของคุณแยกจากคอมพิวเตอร์ของคุณจริงๆ หรือไม่ สำหรับธุรกิจขนาดเล็ก หมายถึงการถามว่าใครสามารถลบแบ็กอัปของคุณได้ และบัญชีนั้นได้รับการป้องกันด้วย MFA หรือไม่
ประเด็นที่นำไปปฏิบัติได้
การป้องกันแบ็กอัปจากแรนซัมแวร์ SafePay สรุปได้เป็นการตรวจสอบสั้นๆ ที่คุณสามารถทำเสร็จได้ภายในสัปดาห์นี้:
- ตรวจสอบการตั้งค่าแบ็กอัปของคุณ คุณมีอย่างน้อยหนึ่งสำเนาที่ออฟไลน์หรือไม่เปลี่ยนแปลงได้หรือไม่?
- แยกข้อมูลรับรอง ตรวจสอบให้แน่ใจว่าการเข้าถึงแบ็กอัปใช้การเข้าสู่ระบบที่แตกต่างจากบัญชีประจำวัน
- เปิด MFA ทุกที่ที่มีให้ใช้ เริ่มจากอีเมล การเข้าถึงระยะไกล และเครื่องมือแบ็กอัป
- ติดตั้งการอัปเดตที่ค้างอยู่ โดยให้ความสำคัญกับไฟร์วอลล์ ซอฟต์แวร์เข้าถึงระยะไกล และแอปพลิเคชันแบ็กอัป
- ทดสอบการกู้คืน ไฟล์สองสามไฟล์เพื่อยืนยันว่าแบ็กอัปทำงานได้จริง
ไม่มีขั้นตอนใดซับซ้อน และเมื่อรวมกันแล้วจะพรากแรงกดดันที่กลุ่มแรนซัมแวร์พึ่งพาไป เริ่มการตรวจสอบวันนี้
