การโจมตีด้วยแรนซัมแวร์ที่เพิ่งมีการบันทึกเหตุการณ์ครั้งใหม่ ซึ่งเชื่อมโยงกับกลุ่มที่รู้จักกันในชื่อ The Gentlemen เผยให้เห็นภาพโดยละเอียดว่าผู้โจมตีเปลี่ยนจุดเริ่มต้นที่ถูกบุกรุกเพียงจุดเดียวให้กลายเป็นการควบคุมเครือข่าย Windows ทั้งหมดได้อย่างไร ตามรายงาน ผู้โจมตีเปลี่ยนสถานะการเข้าถึงเริ่มแรกให้กลายเป็นการเข้าถึงทั้งโดเมนโดยการเลื่อนระดับบัญชีมาตรฐานให้เป็นสถานะโดเมนแอดมิน จากนั้นใช้สิทธิ์การเข้าถึงนั้นเพื่อปิดการใช้งานเครื่องมือรักษาความปลอดภัยก่อนที่จะติดตั้งแรนซัมแวร์ นี่คือกรณีศึกษาที่แสดงให้เห็นว่าทำไมการยกระดับสิทธิ์ (privilege escalation) ไม่ใช่การบุกรุกเริ่มแรก จึงมักเป็นช่วงที่อันตรายที่สุดของการโจมตีในยุคปัจจุบัน

จากจุดเข้าถึงเดียวสู่การควบคุมทั้งโดเมน

ในการโจมตีด้วยแรนซัมแวร์ส่วนใหญ่ จุดเข้าถึงเริ่มแรก ไม่ว่าจะเป็นอีเมลฟิชชิง บริการระยะไกลที่เปิดเผย หรือซอฟต์แวร์ที่ถูกบุกรุก มักไม่ใช่เป้าหมายสุดท้าย มันเป็นเพียงประตูทางเข้าเท่านั้น ความเสียหายที่แท้จริงเกิดขึ้นหลังจากนั้น เมื่อผู้โจมตีเคลื่อนที่ผ่านเครือข่ายเพื่อหาวิธียกระดับสิทธิ์ให้สูงขึ้น

ในกรณีนี้ ผู้โจมตีรายงานว่าประสบความสำเร็จในการสร้างบัญชีโดเมนแอดมินภายในสภาพแวดล้อม Windows ของเป้าหมาย บัญชีโดเมนแอดมินเปรียบเสมือนกุญแจแม่ที่เปิดทุกอย่างในโครงสร้างพื้นฐานไอทีขององค์กร ผู้ที่ถือสิทธิ์การเข้าถึงระดับนี้สามารถสร้างหรือลบบัญชีผู้ใช้ ติดตั้งซอฟต์แวร์บนเครื่องที่เชื่อมต่อทุกเครื่อง และที่สำคัญคือ ปิดการใช้งานซอฟต์แวร์รักษาความปลอดภัยที่ตั้งใจไว้เพื่อตรวจจับและหยุดยั้งพวกเขา

ขั้นตอนสุดท้ายนั้น คือการปิดการใช้งานเครื่องมือรักษาความปลอดภัย เป็นสิ่งที่แยกเหตุการณ์ที่ควบคุมได้ออกจากเหตุการณ์แรนซัมแวร์เต็มรูปแบบ เมื่อการมองเห็นของผู้ป้องกันถูกตัดขาด ผู้โจมตีสามารถเคลื่อนที่ได้อย่างอิสระ เข้ารหัสไฟล์ ขโมยข้อมูล และแพร่กระจายไปทั่วระบบที่เชื่อมต่อกันโดยมีการต่อต้านน้อยลงอย่างมาก

ทำไมบัญชีโดเมนแอดมินจึงยังคงเป็นรางวัลสูงสุด

สภาพแวดล้อม Active Directory ซึ่งธุรกิจส่วนใหญ่และองค์กรขนาดใหญ่พึ่งพาในการจัดการบัญชีผู้ใช้และสิทธิ์ ถูกสร้างขึ้นบนลำดับชั้นของความเชื่อถือ ที่จุดสูงสุดของลำดับชั้นนั้นคือกลุ่มโดเมนแอดมิน การบุกรุกบัญชีเพียงบัญชีเดียวในกลุ่มนั้นเท่ากับมอบการควบคุมเครือข่ายทั้งหมดให้ผู้โจมตี ไม่ใช่แค่คอมพิวเตอร์ที่ติดไวรัสเพียงเครื่องเดียว

นี่คือเหตุผลที่เทคนิคการยกระดับสิทธิ์ตกเป็นเป้าหมายหนักของผู้ดำเนินการแรนซัมแวร์ แทนที่จะพยายามบุกรุกคอมพิวเตอร์หลายร้อยเครื่องทีละเครื่อง ผู้โจมตีมองหาเส้นทางขึ้นสู่เบื้องบนเพียงเส้นทางเดียว: การตั้งค่าสิทธิ์ที่ผิดพลาด บัญชีบริการที่ป้องกันไม่แน่นหนา หรือช่องโหว่ที่ทำให้ผู้ใช้สิทธิ์ต่ำได้รับสิทธิ์การบริหาร เมื่อพบเส้นทางนั้น เครือข่ายที่เหลือมักจะล่มสลายอย่างรวดเร็ว

เหตุการณ์นี้ยังชี้ให้เห็นประเด็นที่เกิดซ้ำในการบุกรุกยุคใหม่: ผู้โจมตีไม่จำเป็นต้องใช้มัลแวร์แปลกใหม่เพื่อสร้างความเสียหายสูงสุด เครื่องมือการบริหารของ Windows ดั้งเดิมและกระบวนการสร้างบัญชีที่ถูกต้องตามกฎหมายสามารถถูกนำไปใช้ในทางที่ผิดได้อย่างมีประสิทธิภาพเท่าเทียมกัน ทำให้การตรวจจับยากขึ้นเพราะกิจกรรมเหล่านั้นอาจดูเหมือนการบริหารไอทีตามปกติจนกว่าจะสายเกินไป สิ่งนี้สะท้อนรูปแบบที่กว้างขึ้นในภูมิทัศน์ภัยคุกคาม ซึ่งผู้โจมตีใช้ประโยชน์จากระบบที่เชื่อถือได้และกระบวนการที่ดูถูกต้องตามกฎหมายแทนที่จะพึ่งพามัลแวร์ที่ชัดเจนเท่านั้น พลศาสตร์ที่คล้ายกันนี้เกิดขึ้นใน การโจมตีซัพพลายเชน Daemon Tools ซึ่งความเชื่อถือในซอฟต์แวร์ที่คุ้นเคยกลายเป็นช่องทางของการบุกรุกแทนที่จะเป็นไฟล์หรือลิงก์ที่น่าสงสัย

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ผู้อ่าน vpn.social ส่วนใหญ่ไม่ใช่ผู้ดูแลระบบที่จัดการสภาพแวดล้อม Active Directory ระดับองค์กร แต่บทเรียนพื้นฐานนั้นใช้ได้ในวงกว้าง: ผู้โจมตีมองหาช่องว่างสิทธิ์ที่เล็กที่สุดที่มีอยู่เสมอ แล้วขยายให้กลายเป็นการควบคุมทั้งหมด ไม่ว่าจะเป็นบัญชีโดเมนแอดมินภายในเครือข่ายองค์กรหรือแอปที่ได้รับสิทธิ์เกินจำเป็นบนอุปกรณ์ส่วนตัว รูปแบบของการยกระดับสิทธิ์ก็เหมือนกัน

หากคุณจัดการหรือมีอิทธิพลต่อการตัดสินใจด้านไอทีในองค์กร เหตุการณ์นี้คือเครื่องเตือนใจให้ตรวจสอบว่าใครมีสิทธิ์การบริหารจริง ๆ และเพราะเหตุใด สิทธิ์โดเมนแอดมินควรจำกัดให้เหลือบัญชีน้อยที่สุดเท่าที่จะเป็นไปได้ ติดตามอย่างใกล้ชิด และไม่ควรใช้สำหรับงานประจำวัน เครื่องมือรักษาความปลอดภัยที่สามารถถูกปิดการใช้งานโดยบัญชีที่ได้รับการยกระดับเพียงบัญชีเดียวคือจุดความล้มเหลวจุดเดียวที่ผู้โจมตีได้รับการฝึกฝนมาเพื่อค้นหา

สำหรับผู้ใช้ทั่วไป บทเรียนนั้นกว้างกว่าแต่สำคัญไม่แพ้กัน: ความแข็งแกร่งของสิทธิ์บัญชีและรหัสผ่านของคุณเอง รวมถึงความตระหนักรู้ว่าซอฟต์แวร์และคำขอเข้าถึงมาถึงอุปกรณ์ของคุณได้อย่างไร ยังคงเป็นแนวป้องกันที่มีความหมาย แคมเปญแรนซัมแวร์แบบนี้ประสบความสำเร็จโดยการหาจุดอ่อนที่สุดในห่วงโซ่ความเชื่อถือ

ประเด็นสำคัญ

  • การโจมตีด้วยแรนซัมแวร์ให้ความสำคัญกับการยกระดับสิทธิ์มากขึ้นเรื่อย ๆ แทนที่จะเป็นเพียงการเข้าถึงเริ่มแรก เนื่องจากการได้สิทธิ์โดเมนแอดมินทำให้ผู้โจมตีสามารถปิดการป้องกันทั่วทั้งเครือข่ายได้
  • องค์กรควรตรวจสอบเป็นประจำว่าใครถือสิทธิ์โดเมนแอดมินหรือสิทธิ์ยกระดับอื่น ๆ และจำกัดบัญชีเหล่านั้นให้เหลือเท่าที่จำเป็นเท่านั้น
  • เครื่องมือรักษาความปลอดภัยที่สามารถถูกปิดได้โดยบัญชีที่ถูกบุกรุกเพียงบัญชีเดียวสร้างช่องโหว่ที่วิกฤต การตรวจสอบแบบหลายชั้นที่ทนทานต่อการดัดแปลงเป็นสิ่งจำเป็น
  • ทั้งบุคคลและทีมไอทีควรถือว่าการยกระดับสิทธิ์ ไม่ใช่แค่การตรวจจับมัลแวร์ เป็นส่วนหนึ่งหลักของกลยุทธ์ความปลอดภัยในอนาคต

ในขณะที่กลุ่มแรนซัมแวร์อย่าง The Gentlemen ยังคงพัฒนากลยุทธ์เหล่านี้ การรับทราบข้อมูลว่าเหตุการณ์การบุกรุกโดเมนแอดมินเกิดขึ้นได้อย่างไรเป็นหนึ่งในขั้นตอนที่ปฏิบัติได้จริงที่สุดที่องค์กรสามารถดำเนินการเพื่อปกป้องเครือข่ายของตนก่อนที่การบุกรุกจะกลายเป็นการละเมิดขนาดใหญ่เต็มรูปแบบ