แรนซัมแวร์สายพันธุ์ใหม่พุ่งเป้าบริษัทไอทีในเอเชีย
มีการระบุสายพันธุ์แรนซัมแวร์ที่ไม่เคยมีบันทึกมาก่อนชื่อ Spirals ในการโจมตีบริษัทไอทีแห่งหนึ่งในเอเชีย ตามรายงานของนักสืบที่แกะรอยผู้คุกคามไปยังเว็บไซต์ onion เฉพาะ บนเว็บไซต์นั้น ผู้โจมตีเรียกมัลแวร์ของตนเองว่า Spirals นั่นทำให้นักวิจัยมีชื่อสำหรับใช้เรียกภัยคุกคามที่ก่อนหน้านี้ปฏิบัติการอย่างหลบซ่อน
บันทึกเรียกค่าไถ่ที่ทิ้งไว้บนระบบที่ติดเชื้อนั้นตรงไปตรงมา: จ่ายภายในหกวัน มิฉะนั้นผู้โจมตีจะเผยแพร่ข้อมูลที่ขโมยไปสู่สาธารณะ เหยื่อจะถูกนำทางไปยังพอร์ทัลที่ใช้ Tor เพื่อเจรจาเงื่อนไขเป็นการส่วนตัว นี่คือรูปแบบการรีดไถสองชั้นตามตำรา ที่ผู้โจมตีไม่เพียงล็อกไฟล์ แต่ยังขโมยสำเนาข้อมูลอ่อนไหวก่อนเริ่มเข้ารหัส ทำให้พวกเขามีอำนาจต่อรองเหนือเหยื่อสองรูปแบบแยกจากกัน
แม้ว่ารายงานเบื้องต้นจะมุ่งเน้นที่บริษัทไอทีเพียงแห่งเดียว แต่กลยุทธ์ที่แสดงออกมา ไม่ว่าจะเป็นเว็บไซต์รั่วไหลข้อมูลบน onion ที่มีชื่อ กำหนดเวลาตายตัว และช่องทางเจรจานิรนาม ล้วนสอดคล้องกับวิธีที่ปฏิบัติการแรนซัมแวร์สมัยใหม่จำนวนมากดำเนินธุรกิจรีดไถ นั่นทำให้ Spirals น่าทำความเข้าใจ แม้แต่สำหรับองค์กรที่อยู่ห่างไกลจากภาคส่วนที่มันมุ่งเป้ามาจนถึงตอนนี้
ภายในห่วงโซ่การโจมตี: จากการบุกรุกสู่การรีดไถผ่าน Tor
การโจมตีแบบรีดไถสองชั้นโดยทั่วไปมีลำดับที่คาดการณ์ได้ ผู้โจมตีจะเข้าถึงเครือข่ายก่อน บ่อยครั้งผ่านฟิชชิ่ง บริการการเข้าถึงระยะไกลที่เปิดเผย หรือข้อมูลประจำตัวที่ถูกขโมย เมื่อเข้ามาได้แล้ว พวกมันจะเคลื่อนที่แนวราบเพื่อระบุข้อมูลและระบบที่มีค่า ถ่ายโอนสำเนาไฟล์อ่อนไหวออกไป แล้วจึงเรียกใช้เพย์โหลดเข้ารหัสที่ล็อกเหยื่อออกจากระบบของตนเอง
สิ่งที่ทำให้ Spirals โดดเด่นคือความเร็วในขั้นตอนสุดท้ายนั้น การวิเคราะห์ทางเทคนิคแยกต่างหากแสดงให้เห็นว่า แรนซัมแวร์ Spirals สามารถเข้ารหัสเครือข่ายทั้งหมดได้ในเวลาไม่ถึง 24 ชั่วโมง ซึ่งเป็นอัตราเร็วที่เหนือกว่าตระกูลแรนซัมแวร์ที่เป็นที่รู้จักหลายตระกูล ความเร็วนั้นบีบอัดช่วงเวลาที่ฝ่ายป้องกันมีในการตรวจจับและควบคุมการบุกรุกก่อนที่การเข้ารหัสจะล็อกระบบสำคัญ ซึ่งเป็นเหตุผลว่าทำไมเวลาตอบสนองระหว่างการติดเชื้อที่ยังดำเนินอยู่จึงมีความสำคัญอย่างยิ่ง
เมื่อการเข้ารหัสเสร็จสิ้น เหยื่อจะเหลือเพียงบันทึกเรียกค่าไถ่ที่นำพวกเขาไปยังพอร์ทัล Tor กำหนดเวลาหกววันในการเผยแพร่ข้อมูลที่ถูกขโมยคือกลยุทธ์กดดันที่ออกแบบมาเพื่อบังคับให้ต้องตัดสินใจอย่างรวดเร็ว แทนที่จะปล่อยให้มีเวลาตอบสนองอย่างรอบคอบและประสานงานกัน ซึ่งรวมถึงที่ปรึกษากฎหมาย ผู้ตอบสนองเหตุการณ์ และหน่วยงานบังคับใช้กฎหมาย
ทำไมผู้โจมตีใช้ Tor เพื่อการเจรจา และสิ่งที่ไม่ได้รับการปกป้อง
Tor เป็นทางเลือกธรรมชาติสำหรับผู้ดำเนินการแรนซัมแวร์ที่เปิดพอร์ทัลเจรจาและเว็บไซต์รั่วไหลข้อมูล เครือข่ายนี้ส่งทราฟฟิกผ่านรีเลย์หลายจุด ทำให้ยากต่อการติดตามตำแหน่งทางกายภาพหรือตัวตนของผู้ดำเนินการเว็บไซต์ สำหรับกลุ่มอาชญากรที่ดำเนินธุรกิจรีดไถเป็นกิจจะลักษณะ ความเป็นนิรนามนั้นช่วยให้พวกเขาโฮสต์เว็บไซต์รั่วไหลข้อมูลที่เปิดเผยต่อสาธารณะและแชทเจรจาส่วนตัว โดยไม่เปิดเผยโครงสร้างพื้นฐานของตนต่อความพยายามปิดระบบในทันที
แต่ควรทำความเข้าใจอย่างชัดเจนว่าความเป็นนิรนามของ Tor ทำอะไรได้และทำอะไรไม่ได้ในสถานการณ์เหล่านี้ มันปกป้องตัวตนและตำแหน่งที่ตั้งของผู้โจมตี ไม่ใช่ข้อมูลของเหยื่อ เมื่อไฟล์ถูกถ่ายโอนออกไปแล้ว การมีช่องทางเจรจาผ่าน Tor ไม่ได้เปลี่ยนแปลงข้อเท็จจริงพื้นฐานที่ว่าข้อมูลอ่อนไหวอยู่นอกเหนือการควบคุมของเหยื่อแล้ว การจ่ายค่าไถ่ผ่านช่องทางนิรนามไม่ได้รับประกันว่าข้อมูลที่ถูกขโมยจะถูกลบจริง แทนที่จะถูกขายหรือรั่วไหลในภายหลังอยู่ดี เครื่องมือความเป็นนิรนามทำหน้าที่เพื่อความปลอดภัยในการปฏิบัติการของผู้โจมตี มันไม่ได้ช่วยกู้คืนข้อมูลของเหยื่อหรือย้อนการบุกรุกแต่อย่างใด
มาตรการป้องกัน: การสำรองข้อมูล การแบ่งส่วนเครือข่าย และการตอบสนองต่อเหตุการณ์
บทเรียนเชิงปฏิบัติจากกรณี Spirals ไม่เกี่ยวกับ Tor เลย แต่อยู่ที่ความยืดหยุ่นก่อนที่การโจมตีจะเริ่มต้นขึ้น มีมาตรการไม่กี่อย่างที่สร้างความแตกต่างได้มากที่สุดอย่างสม่ำเสมอในการรับมือกับแรนซัมแวร์แบบรีดไถสองชั้น:
- การสำรองข้อมูลแบบออฟไลน์และเข้ารหัส: การสำรองข้อมูลที่แยกออกจากเครือข่ายการผลิต และไม่สามารถเข้าถึงหรือแก้ไขโดยการบุกรุกที่ยังดำเนินอยู่ ยังคงเป็นหนึ่งในวิธีที่น่าเชื่อถือที่สุดในการกู้คืนโดยไม่ต้องจ่ายค่าไถ่
- การแบ่งส่วนเครือข่าย: การจำกัดว่าผู้โจมตีสามารถเคลื่อนที่แนวราบได้ไกลแค่ไหนหลังจากการบุกรุกครั้งแรก สามารถป้องกันไม่ให้การตั้งหลักเพียงจุดเดียวกลายเป็นเหตุการณ์เข้ารหัสทั่วทั้งเครือข่าย ซึ่งสำคัญอย่างยิ่งเมื่อพิจารณาว่าสายพันธุ์อย่าง Spirals สามารถแพร่กระจายได้รวดเร็วเพียงใด
- การตรวจจับและตอบสนองที่รวดเร็ว: ด้วยเส้นเวลาการเข้ารหัสที่มีบันทึกว่าน้อยกว่า 24 ชั่วโมง ช่องว่างระหว่างการบุกรุกครั้งแรกและการล็อกระบบทั้งหมดนั้นแคบ การเฝ้าติดตามการถ่ายโอนข้อมูลที่ผิดปกติและการเพิ่มระดับสิทธิ์ ช่วยให้ฝ่ายป้องกันมีโอกาสแทรกแซงได้ดีขึ้นก่อนที่การเข้ารหัสจะเริ่มต้น
- การวางแผนตอบสนองต่อเหตุการณ์: การมีแผนที่กำหนดไว้ล่วงหน้า ซึ่งรวมถึงบทบาทฝ่ายกฎหมาย การสื่อสาร และการตอบสนองทางเทคนิค จะป้องกันไม่ให้องค์กรตัดสินใจอย่างเร่งรีบภายใต้แรงกดดันของการนับถอยหลังหกววัน
สิ่งนี้มีความหมายต่อคุณอย่างไร
ผู้อ่านส่วนใหญ่จะไม่มีทางได้มีปฏิสัมพันธ์โดยตรงกับพอร์ทัลเจรจาค่าไถ่บน Tor แต่กรณี Spirals เป็นเครื่องเตือนใจที่มีประโยชน์ว่า การโจมตีเหล่านี้มีโครงสร้างอย่างไร และเหตุใดความเร็วจึงสำคัญสำหรับทั้งสองฝ่าย หากองค์กรของคุณจัดการข้อมูลอ่อนไหว ไม่ว่าจะเป็นผู้ให้บริการไอทีหรือธุรกิจใดก็ตามที่พึ่งพาโครงสร้างพื้นฐานดิจิทัล การเผชิญกับกลยุทธ์ Tor ของแรนซัมแวร์แบบรีดไถสองชั้นนั้นมีอยู่จริงโดยไม่คำนึงถึงอุตสาหกรรม การป้องกันหลักไม่ใช่การต่อสู้กับการใช้เครื่องมือความเป็นนิรนามของผู้โจมตี แต่คือการทำให้แน่ใจว่าข้อมูลและระบบของคุณเองมีความยืดหยุ่นเพียงพอ ที่ทั้งการเข้ารหัสและภัยคุกคามจากการรั่วไหลจะไม่ให้อำนาจต่อรองที่มีความหมายแก่พวกเขา
ข้อควรปฏิบัติที่นำไปใช้ได้
- บำรุงรักษาการสำรองข้อมูลแบบออฟไลน์ที่เข้ารหัสและทดสอบความเร็วในการกู้คืนอย่างสม่ำเสมอ ไม่ใช่แค่ตรวจสอบว่ามีอยู่
- แบ่งส่วนเครือข่ายเพื่อไม่ให้อุปกรณ์ปลายทางที่ถูกบุกรุกเพียงจุดเดียวลุกลามไปสู่การเข้ารหัสทั้งหมด
- ลงทุนในเครื่องมือตรวจจับที่สามารถแจ้งเตือนการถ่ายโอนข้อมูลที่ผิดปกติ ไม่ใช่เพียงกิจกรรมการเข้ารหัส
- สร้างแผนตอบสนองต่อเหตุการณ์เสียแต่วันนี้ เพื่อไม่ให้การตัดสินใจระหว่างกำหนดเวลาเรียกค่าไถ่เกิดขึ้นด้วยความตื่นตระหนก
- ทบทวนว่า Spirals สามารถเข้ารหัสเครือข่ายได้เร็วเพียงใด โดยอ่าน รายละเอียดทางเทคนิคของเส้นเวลาการเข้ารหัสในเวลาไม่ถึง 24 ชั่วโมง เพื่อทำความเข้าใจว่าหน้าต่างการตอบสนองนั้นแคบเพียงใด
