แรนซัมแวร์สายพันธุ์ใหม่ที่สร้างมาเพื่อความเร็ว

นักวิจัยด้านความปลอดภัยได้ระบุแรนซัมแวร์สายพันธุ์ใหม่ที่ชื่อว่า Spirals ซึ่งสามารถเข้ารหัสเครือข่ายของเหยื่อทั้งหมดได้ภายในเวลาไม่ถึง 24 ชั่วโมง ซึ่งเป็นกรอบเวลาที่เร็วกว่าแรนซัมแวร์ตระกูลที่เป็นที่รู้จักหลายตระกูลที่จำเป็นต้องใช้โดยทั่วไปมาก ความเร็วนี้มาจากเทคนิคที่เรียกว่าการเข้ารหัสแบบเป็นช่วง ๆ (intermittent encryption) ซึ่งมัลแวร์จะนำไปใช้กับไฟล์ที่มีขนาดใหญ่กว่า 5MB แทนที่จะเข้ารหัสทุกไบต์ของไฟล์ขนาดใหญ่ Spirals จะเข้ารหัสเพียงบางส่วนของไฟล์ ซึ่งช่วยลดเวลาในการประมวลผลลงอย่างมากในขณะที่ยังทำให้ข้อมูลไม่สามารถใช้งานได้หากไม่มีคีย์ถอดรหัส

ประสิทธิภาพนี้มีความสำคัญเนื่องจากผู้ดำเนินการด้านแรนซัมแวร์ต้องเผชิญกับการแลกเปลี่ยนกันมานาน ยิ่งการโจมตีใช้เวลานานในการเข้ารหัสเครือข่ายอย่างสมบูรณ์เท่าใด ผู้ป้องกันก็มีโอกาสมากขึ้นที่จะตรวจจับกิจกรรมที่ผิดปกติและยุติการทำงานก่อนที่จะเกิดความเสียหายจริง โดยการบีบอัดกรอบเวลาดังกล่าวให้เหลือภายในวันเดียว Spirals ทำให้ทีมรักษาความปลอดภัยมีเวลาตอบสนองน้อยลงมากเมื่อมัลแวร์เริ่มทำงานภายในสภาพแวดล้อมที่ถูกบุกรุก

วิธีการโจมตีที่เกิดขึ้น

เมื่อ Spirals ได้เข้ารหัสไฟล์ทั่วทั้งระบบที่ถูกบุกรุก มันจะทิ้งบันทึกเรียกค่าไถ่ที่ชื่อว่า RECOVERY_SECTION.log ไว้ในไดรฟ์ C:\ ของเหยื่อโดยตรง บันทึกดังกล่าวมีคำแนะนำในการเจรจาชำระเงินกับผู้โจมตี เช่นเดียวกับปฏิบัติการแรนซัมแวร์สมัยใหม่จำนวนมาก Spirals ใช้รูปแบบการขู่กรรโชกสองชั้น นอกเหนือจากการล็อกไฟล์แล้ว กลุ่มที่อยู่เบื้องหลังยังอ้างว่าได้ขโมยข้อมูลที่ละเอียดอ่อนไปแล้วก่อนที่จะเริ่มการเข้ารหัส

เหยื่อจะถูกกำหนดเส้นตายที่เข้มงวดภายในหกวันในการชำระเงิน ก่อนที่ผู้โจมตีจะขู่ว่าจะเผยแพร่ข้อมูลที่ถูกขโมยต่อสาธารณะ กลยุทธ์นี้ได้กลายเป็นมาตรฐานในระบบนิเวศของแรนซัมแวร์เพราะมันได้ผล แม้แต่องค์กรที่มีข้อมูลสำรองที่มั่นคงและสามารถกู้คืนไฟล์ที่ถูกเข้ารหัสได้โดยไม่ต้องจ่ายค่าไถ่ ก็ยังคงเผชิญแรงกดดันจากการคุกคามว่าบันทึกลูกค้า ข้อมูลพนักงาน หรือข้อมูลที่เป็นกรรมสิทธิ์จะปรากฏบนเว็บไซต์รั่วไหลในดาร์กเว็บ รูปแบบนี้สะท้อนถึงสิ่งที่เกิดขึ้นใน การโจมตีด้วยแรนซัมแวร์ Genesis บน United Personnel ซึ่งบริษัทจัดหางานแห่งหนึ่งต้องเผชิญกับโอกาสที่ข้อมูลขนาดหลายร้อยกิกะไบต์จะถูกเปิดเผยควบคู่ไปกับการเข้ารหัส

เหตุใดการเข้ารหัสที่เร็วขึ้นจึงเพิ่มความเสี่ยงให้กับทุกคน

กรอบการโจมตีที่ถูกบีบอัดที่ Spirals นำเสนอนั้นมีผลกระทบที่แท้จริงนอกเหนือจากองค์กรเหยื่อโดยตรง เหตุการณ์แรนซัมแวร์เกี่ยวข้องกับการขโมยข้อมูลส่วนบุคคลของลูกค้า ผู้ป่วย หรือพนักงานมากขึ้นเรื่อย ๆ ซึ่งบุคคลเหล่านี้ไม่มีบทบาทโดยตรงต่อสถานะความปลอดภัยขององค์กร แต่ต้องแบกรับความเสี่ยงที่ตามมาเมื่อข้อมูลนั้นถูกเปิดเผย โดยเฉพาะระบบการดูแลสุขภาพมักตกเป็นเป้าหมายบ่อยครั้ง ดังที่เห็นในเหตุการณ์เช่น การรั่วไหลของข้อมูลด้วยแรนซัมแวร์ iRhythm ที่เปิดเผยข้อมูลผู้ป่วยโรคหัวใจ เมื่อการเข้ารหัสเกิดขึ้นในเวลาไม่กี่ชั่วโมงแทนที่จะเป็นวัน ทีมรักษาความปลอดภัยมีโอกาสน้อยลงในการแยกระบบที่ได้รับผลกระทบก่อนที่ผู้โจมตีจะเสร็จสิ้นทั้งการเข้ารหัสและการขโมยข้อมูลที่ขับเคลื่อนภัยคุกคามการขู่กรรโชก

สำหรับผู้ใช้อินเทอร์เน็ตทั่วไป ผลลัพธ์ในทางปฏิบัติของการโจมตีด้วยแรนซัมแวร์แทบจะไม่แตกต่างกันโดยขึ้นอยู่กับว่ามัลแวร์เข้ารหัสไฟล์ได้เร็วแค่ไหน สิ่งที่สำคัญที่สุดคือสิ่งที่เกิดขึ้นกับข้อมูลส่วนบุคคลใด ๆ ที่ตกอยู่ในการรั่วไหล ดังที่เราได้สรุปไว้ในบทวิเคราะห์เรื่อง จะเกิดอะไรขึ้นกับข้อมูลของคุณหลังจากการรั่วไหล ข้อมูลที่ถูกขโมยมักจะถูกเผยแพร่ไปไกลเกินกว่าไซต์ที่รั่วไหลครั้งแรก โดยถูกซื้อ ขาย และนำมาใช้ใหม่สำหรับแคมเปญฟิชชิ่ง การขโมยข้อมูลประจำตัว และการโจมตีแบบ Credential Stuffing อยู่นานหลังจากที่หัวข้อข่าวจางหายไป

สิ่งที่คุณควรทราบ

หากคุณเป็นผู้บริโภคทั่วไป ตัว Spirals เองไม่ใช่สิ่งที่คุณต้องป้องกันตนเองโดยตรง แรนซัมแวร์นี้กำหนดเป้าหมายไปที่เครือข่ายขององค์กร ไม่ใช่อุปกรณ์ส่วนบุคคล อย่างไรก็ตาม แนวโน้มในวงกว้างที่มันแสดงถึง (การโจมตีที่รวดเร็วและมีประสิทธิภาพมากขึ้นพร้อมเส้นตายในการขู่กรรโชกที่เข้มงวดยิ่งขึ้น) หมายความว่าการแจ้งเตือนการรั่วไหลมีแนวโน้มที่จะมาถึงโดยมีการเตือนล่วงหน้าน้อยลงและอาจมีขอบเขตที่ใหญ่ขึ้น หากบริษัทที่คุณติดต่อธุรกิจด้วยหรือนายจ้างเปิดเผยเหตุการณ์ที่เกี่ยวข้องกับ Spirals ให้ถือเป็นเรื่องจริงจังและดำเนินการอย่างรวดเร็ว แทนที่จะรอให้ข้อมูลของคุณปรากฏที่ไหนสักแห่ง

สำหรับทีม IT และทีมรักษาความปลอดภัย เส้นตายหกวันในการเปิดเผยข้อมูลก็เป็นการบีบอัดกรอบเวลาการตอบสนองต่อเหตุการณ์เช่นกัน การตรวจจับและการจำกัดขอบเขตต้องเกิดขึ้นอย่างรวดเร็ว เนื่องจากช่วงเวลาการตอบสนองแบบดั้งเดิมที่วัดกันเป็นวันอาจไม่เพียงพออีกต่อไปเมื่อการเข้ารหัสเสร็จสมบูรณ์ภายในเวลาไม่ถึง 24 ชั่วโมง

ข้อแนะนำที่นำไปปฏิบัติได้

หากคุณได้รับการแจ้งเตือนการรั่วไหลที่อ้างอิงถึง Spirals หรือแรนซัมแวร์ที่ทำงานรวดเร็วคล้ายกัน ให้เปลี่ยนรหัสผ่านทันทีสำหรับบัญชีที่ได้รับผลกระทบ และเปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยในทุกที่ที่มีให้บริการ ตรวจสอบรายการเคลื่อนไหวทางการเงินและรายงานเครดิตของคุณเพื่อหากิจกรรมที่ผิดปกติในช่วงหลายสัปดาห์หลังจากการแจ้งเตือน เนื่องจากข้อมูลที่ถูกขโมยจาการโจมตีเหล่านี้มักไม่ปรากฏบนเว็บที่เปิดเผยทันที ลองพิจารณาตั้งการแจ้งเตือนการฉ้อโกงหรือการอายัดเครดิตหากการรั่วไหลเกี่ยวข้องกับตัวระบุที่ละเอียดอ่อน เช่น หมายเลขประกันสังคมหรือเวชระเบียน องค์กรควรให้ความสำคัญกับการแบ่งส่วนเครือข่ายและเครื่องมือตรวจจับที่รวดเร็ว เนื่องจากความเร็วของการโจมตีเช่น Spirals ทำให้มีระยะขอบที่น้อยมากสำหรับการตอบสนองต่อเหตุการณ์ที่ล่าช้า การรับทราบข้อมูลว่าบริษัทและแพลตฟอร์มใดที่คุณใช้มีการเปิดเผยเหตุการณ์แล้ว ยังคงเป็นหนึ่งในวิธีที่ง่ายที่สุดในการปกป้องตนเองก่อนที่ปัญหาจะลุกลาม