คำเตือนร่วมฉบับใหม่ของสหรัฐฯ–เกาหลีใต้เผยให้เห็นอะไรเกี่ยวกับการเติบโตของ Gunra

ทางการสหรัฐฯ และเกาหลีใต้ออกคำเตือนร่วมครั้งใหม่เกี่ยวกับแรนซัมแวร์ Gunra และข้อความตรงไปตรงมา: ปฏิบัติการนี้กำลังเติบโต ทั้งในด้านความซับซ้อนทางเทคนิคและขนาดของเครือข่ายแอฟฟิลิเอต คำเตือนดังกล่าวมีขึ้นต่อจากคำเตือนก่อนหน้าจาก CISA, FBI และ NSA ซึ่งระบุครั้งแรกว่า Gunra เป็นภัยคุกคามร้ายแรงต่อภาคสาธารณสุข ประกาศล่าสุดนี้ส่งสัญญาณว่า Gunra ไม่ได้ชะลอตัวลงนับตั้งแต่นั้น แต่ดูเหมือนกำลังขยายขนาด รับสมัครแอฟฟิลิเอตเพิ่มขึ้น และขยายขอบเขตเป้าหมายไปยังอุตสาหกรรมและพื้นที่ทางภูมิศาสตร์ที่กว้างขึ้น

สำหรับผู้อ่านที่ติดตามแนวโน้มแรนซัมแวร์ นี่คือรูปแบบที่คุ้นเคยและน่ากังวล แรนซัมแวร์ตระกูลหนึ่งถูกระบุว่ามุ่งเป้าไปที่ภาคส่วนเดียว ซึ่งในกรณีนี้คือภาคสาธารณสุข และแทนที่จะเงียบหายไปหลังจากถูกหน่วยงานบังคับใช้กฎหมายจับตามอง มันกลับยกระดับความเป็นมืออาชีพมากขึ้น แอฟฟิลิเอตมากขึ้นหมายถึงความพยายามโจมตีมากขึ้น กลยุทธ์ที่หลากหลายขึ้น และเป้าหมายที่ฝ่ายป้องกันจะระบุให้ชัดเจนได้ยากขึ้น คำเตือนร่วมของสหรัฐฯ–เกาหลีใต้ชี้ให้เห็นว่าการขยายตัวเช่นนั้นกำลังเกิดขึ้น โดยความร่วมมือระหว่างประเทศสะท้อนว่าหน่วยงานทั้งสองฟากมหาสมุทรแปซิฟิกให้ความสำคัญกับภัยคุกคามนี้อย่างจริงจังเพียงใด

โมเดลแอฟฟิลิเอตของ Gunra ขยายพื้นที่การโจมตีอย่างไร

ปฏิบัติการแรนซัมแวร์ยุคใหม่แทบไม่ได้ดำเนินการโดยกลุ่มเดียวที่รวมศูนย์ Gunra ใช้โมเดล ransomware-as-a-service ซึ่งพบได้ทั่วไปในปัจจุบัน โดยกลุ่มแกนหลักพัฒนาและดูแลมัลแวร์และโครงสร้างพื้นฐาน จากนั้นให้เช่าการเข้าถึงแก่แอฟฟิลิเอตซึ่งเป็นผู้ลงมือเจาะระบบจริง แอฟฟิลิเอตแต่ละรายมีวิธีการเข้าถึงเริ่มต้นที่ตนเองถนัด ไม่ว่าจะเป็นฟิชชิง การโจมตีบริการระยะไกลที่เปิดเผยอยู่ หรือการซื้อข้อมูลประจำตัวที่ถูกขโมยมาจากตลาดอาชญากรรมอื่น

โครงสร้างเช่นนี้คือเหตุผลที่ทางการเตือนถึงการเติบโตของเครือข่ายแอฟฟิลิเอตมากกว่าตัวมัลแวร์เพียงอย่างเดียว แอฟฟิลิเอตมากขึ้นหมายถึงจุดเข้าถึงมากขึ้น ความหลากหลายของวิธีการที่องค์กรถูกเจาะระบบมากขึ้น และการกระจายเหยื่อที่มีโอกาสถูกโจมตีในวงกว้างเกินกว่าเป้าหมายภาคสาธารณสุขที่เคยระบุไว้ในคำเตือนก่อนหน้านี้ นอกจากนี้ยังทำให้ระบุเอกลักษณ์ของ Gunra ได้ยากขึ้นด้วยลายเซ็นการตรวจจับเพียงแบบเดียว เนื่องจากแอฟฟิลิเอตแต่ละรายอาจใช้เทคนิคการส่งมัลแวร์ต่างกัน แม้จะปล่อยเพย์โหลดแรนซัมแวร์หลักตัวเดียวกันก็ตาม

องค์กรในภาคส่วนที่เคยรู้สึกว่าปลอดภัยจาก Gunra เพราะไม่ใช่โรงพยาบาลหรือคลินิก ควรให้ความสำคัญกับการขยายตัวนี้อย่างจริงจัง ปฏิบัติการ ransomware-as-a-service ไล่ตามโอกาส ไม่ใช่ยึดติดกับภาคส่วนใดภาคส่วนหนึ่ง และฐานแอฟฟิลิเอตที่ขยายตัวมักหมายถึงรายชื่อเป้าหมายที่ขยายตามไปด้วย

VPN มีบทบาทอย่างไรในการป้องกันแรนซัมแวร์แบบหลายชั้น

VPN ที่กำหนดค่าอย่างเหมาะสมเป็นชิ้นส่วนที่ถูกต้องชิ้นหนึ่งของปริศนาการป้องกัน แต่ไม่ใช่โล่ป้องกันแรนซัมแวร์ด้วยตัวมันเอง โดยหลักแล้ว VPN ปกป้องข้อมูลระหว่างการส่งผ่านและสามารถจำกัดการเข้าถึงระยะไกลไปยังระบบภายใน ซึ่งสำคัญเพราะจุดเชื่อมต่อระยะไกลที่เปิดเผยเป็นหนึ่งในช่องทางที่แอฟฟิลิเอตแรนซัมแวร์ใช้ยึดฐานเริ่มต้นบ่อยที่สุด การกำหนดให้ต้องใช้ VPN ร่วมกับการยืนยันตัวตนที่แข็งแกร่งก่อนที่จะเข้าถึงทรัพยากรเครือข่ายภายในได้ จะปิดเส้นทางเข้าทั่วไปเส้นทางหนึ่งที่แอฟฟิลิเอตฉวยโอกาสมองหา

แต่ VPN ไม่ได้ช่วยหยุดแรนซัมแวร์เมื่อผู้โจมตีเข้ามาอยู่ในเครือข่ายแล้ว และไม่ได้ป้องกันอีเมลฟิชชิง ไฟล์แนบที่เป็นอันตราย หรือข้อมูลประจำตัวที่ถูกขโมยแล้วนำมาใช้ล็อกอินผ่านการเชื่อมต่อที่ดูเหมือนถูกต้อง นี่คือเหตุผลที่คำเตือนร่วมก่อนหน้านี้ซึ่งครอบคลุม แรนซัมแวร์ Gunra ที่โจมตีภาคสาธารณสุข เน้นการผสมผสานมาตรการควบคุมหลายอย่าง ไม่ใช่เครื่องมือเพียงตัวเดียว การมองว่า VPN คือคำตอบที่ครบถ้วนสำหรับความเสี่ยงจากแรนซัมแวร์จะสร้างความรู้สึกปลอดภัยหลอกๆ ซึ่งผู้โจมตีพร้อมจะฉวยใช้

ขั้นตอนเชิงปฏิบัติ: การแบ่งส่วนเครือข่าย การสำรองข้อมูล และพื้นฐานการเข้ารหัส

การตอบสนองที่มีประสิทธิภาพที่สุดต่อภัยคุกคามแรนซัมแวร์ที่กำลังเติบโตอย่าง Gunra คือการป้องกันแบบหลายชั้น ซึ่งจะไม่ให้ความล้มเหลวของมาตรการควบคุมเพียงจุดเดียวนำไปสู่การสูญเสียข้อมูลขั้นร้ายแรงโดยตรง ลำดับความสำคัญเชิงปฏิบัติบางประการที่โดดเด่น ได้แก่

การแบ่งส่วนเครือข่าย ช่วยจำกัดว่าผู้โจมตีจะเคลื่อนที่ไปได้ไกลเพียงใดหลังจากยึดฐานได้แล้ว หากแอฟฟิลิเอตเจาะเครื่องเวิร์กสเตชันเครื่องหนึ่งหรือบัญชีการเข้าถึงระยะไกลเพียงบัญชีเดียว การแบ่งส่วนจะช่วยป้องกันไม่ให้การเข้าถึงนั้นแพร่กระจายไปยังเซิร์ฟเวอร์สำคัญ ระบบสำรองข้อมูล หรือฐานข้อมูลอ่อนไหว

กลยุทธ์การสำรองข้อมูล ยังคงเป็นหนึ่งในมาตรการป้องกันที่สำคัญที่สุดต่อแรนซัมแวร์ทุกสายพันธุ์ รวมถึง Gunra ข้อมูลสำรองต้องถูกจัดเก็บแบบออฟไลน์หรือแยกออกจากเครือข่ายหลัก มีการทดสอบการกู้คืนอย่างสม่ำเสมอ และอยู่ภายใต้แผนการกู้คืนที่ชัดเจน ผู้ดำเนินการแรนซัมแวร์มุ่งเป้าไปที่ระบบสำรองข้อมูลโดยตรงมากขึ้นเรื่อย ๆ ดังนั้นข้อมูลสำรองที่เข้าถึงได้จากเครือข่ายเดียวกับระบบที่ใช้งานจริงจึงให้การปกป้องจริงได้น้อยมาก

พื้นฐานการเข้ารหัส หมายถึงการเข้ารหัสข้อมูลอ่อนไหวขณะจัดเก็บและการบังคับใช้การยืนยันตัวตนที่แข็งแกร่งสำหรับทุกคนที่เข้าถึงข้อมูลนั้น ซึ่งช่วยลดมูลค่าของข้อมูลที่ถูกขโมย แม้แอฟฟิลิเอตจะสามารถโอนไฟล์ออกก่อนปล่อยแรนซัมแวร์ได้ก็ตาม ซึ่งเป็นกลยุทธ์ที่กลุ่มรีดไถสองทางมักใช้

การกลับไปทบทวนคำแนะนำในประกาศเตือนเดิมเรื่อง แรนซัมแวร์ Gunra ที่โจมตีภาคสาธารณสุข ถือเป็นเรื่องคุ้มค่าสำหรับองค์กรใดก็ตามที่กำลังสร้างหรือปรับปรุงแผนการป้องกัน เนื่องจากประกาศดังกล่าวอธิบายรูปแบบการยกระดับที่นำไปสู่คำเตือนใหม่ที่กว้างขึ้นนี้

สิ่งนี้มีความหมายอย่างไรต่อคุณ

หากองค์กรของคุณอยู่นอกภาคสาธารณสุข อย่าคิดว่าเครือข่ายแอฟฟิลิเอตที่ขยายตัวของ Gunra จะทำให้คุณเป็นเป้าหมายลำดับต่ำลง กลุ่ม ransomware-as-a-service ไล่ตามโอกาส และคำเตือนที่ระบุว่าฐานแอฟฟิลิเอตเติบโตก็เท่ากับเป็นสัญญาณว่ามีภาคส่วนจำนวนมากขึ้นอยู่ในขอบเขตการโจมตีแล้ว การป้องกันแรนซัมแวร์ Gunra ที่มีประสิทธิภาพไม่ใช่การหาเครื่องมือวิเศษตัวเดียว แต่คือการผสานการควบคุมการเข้าถึง การแบ่งส่วนเครือข่าย การสำรองข้อมูลออฟไลน์ที่ผ่านการทดสอบ และการเข้ารหัสข้อมูลเข้าเป็นกลยุทธ์การป้องกันเชิงลึกที่ตั้งสมมติฐานว่าแต่ละชั้นอาจล้มเหลวได้ในที่สุด

ข้อปฏิบัติที่นำไปใช้ได้

  • ทบทวนนโยบายการเข้าถึงระยะไกล และตรวจสอบว่าการใช้ VPN ใช้ควบคู่กับการยืนยันตัวตนหลายปัจจัยที่แข็งแกร่ง ไม่ใช่ถูกมองว่าเป็นมาตรการป้องกันที่ใช้เพียงลำพัง
  • ตรวจสอบการแบ่งส่วนเครือข่ายเพื่อยืนยันว่าการเจาะระบบหรือบัญชีเพียงจุดเดียวไม่ได้เปิดช่องให้เข้าถึงระบบอื่นในวงกว้าง
  • ทดสอบขั้นตอนการกู้คืนข้อมูลสำรองตั้งแต่ตอนนี้ ก่อนที่เหตุการณ์จะบังคับให้คุณพบช่องโหว่ภายใต้ความกดดัน
  • เข้ารหัสข้อมูลอ่อนไหวขณะจัดเก็บ เพื่อลดอำนาจต่อรองที่กลยุทธ์รีดไถสองทางให้กับผู้โจมตี
  • ติดตามคำเตือนจาก CISA, FBI และหน่วยงานพันธมิตรระหว่างประเทศอย่างสม่ำเสมอ เนื่องจากปฏิบัติการแรนซัมแวร์อย่าง Gunra พัฒนาเร็วและคำแนะนำจะถูกอัปเดตเมื่อมีกลยุทธ์ใหม่ปรากฏขึ้น