Một cuộc tấn công ransomware tự phá hỏng chính nó

Các nhà nghiên cứu bảo mật tại Huntress đã ghi nhận một vụ việc trong đó một đối tác ransomware Akira vô tình phá hoại chính cuộc tấn công của mình trong lúc cố vô hiệu hóa các công cụ phát hiện và phản hồi điểm cuối (EDR) trên mạng mục tiêu. Thay vì vượt qua các lớp phòng thủ mà không bị phát hiện, nỗ lực né tránh của kẻ tấn công đã khiến chính tiến trình mã hóa của ransomware bị sập, để lại payload dự kiến chưa hoàn tất.

Đây không phải lần đầu tiên một đối tác Akira tự làm suy yếu hoạt động của chính mình khi cố gắng vượt qua các lớp bảo vệ EDR. Trong một vụ việc riêng biệt từng được đề cập trước đây, một đối tác đã khởi động lại một máy Windows bị xâm nhập vào Chế độ an toàn có mạng đặc biệt để gỡ bỏ các lớp phòng thủ điểm cuối trước khi triển khai ransomware. Động thái đó cũng đã phản tác dụng với những kẻ tấn công, làm gián đoạn chính những hệ thống mà chúng cần để hoàn tất quá trình mã hóa. Gộp lại, các vụ việc này cho thấy một mô hình: các đối tác Akira đang ráo riết thử nghiệm các kỹ thuật chống EDR, và những kỹ thuật đó đang tỏ ra mong manh trong thực tế.

Vì sao việc can thiệp EDR liên tục phản tác dụng

Phần mềm EDR được thiết kế để nằm sâu bên trong hệ điều hành, giám sát tiến trình, hoạt động tệp và lời gọi hệ thống theo thời gian thực. Chính sự tích hợp sâu đó khiến nó có giá trị với người phòng thủ, và đó cũng là lý do việc can thiệp vào nó mang lại rủi ro kỹ thuật cho kẻ tấn công. Khi các đối tượng vận hành ransomware cố gắng tắt các tiến trình EDR, vô hiệu hóa driver, hoặc ép hệ thống vào trạng thái rút gọn để tránh bị phát hiện, chúng đang hoạt động trên địa bàn xa lạ trong mạng của người khác. Chỉ một bước sơ sẩy, một thành phần phụ thuộc bị thiếu, một driver không gỡ sạch, hoặc một tiến trình kết thúc bất ngờ cũng có thể làm sập chính payload mà kẻ tấn công đang cố triển khai.

Tài liệu của Huntress về vụ việc này bổ sung vào lượng bằng chứng ngày càng tăng rằng các công cụ chống EDR, dù là mối đe dọa thực sự và đang diễn ra, cũng không phải là hoàn hảo từ phía kẻ tấn công. Đây là những công cụ tùy chỉnh hoặc bán tùy chỉnh được xây dựng nhanh và triển khai dưới áp lực thời gian trong một vụ xâm nhập trực tiếp. Môi trường đó để lại rất ít chỗ cho việc kiểm thử, và những lỗi nhỏ có thể gây ra hậu quả quá lớn cho hoạt động của kẻ tấn công.

Điều này có ý nghĩa gì đối với quyền riêng tư và bảo vệ dữ liệu

Mặc dù vụ việc này là một chiến thắng kỹ thuật cho những người phòng thủ liên quan, cần nói rõ nó có và không có ý nghĩa gì đối với quyền riêng tư. Một payload mã hóa bị sập không nhất thiết có nghĩa là kẻ tấn công chưa từng truy cập dữ liệu nhạy cảm. Nhiều hoạt động ransomware, bao gồm hoạt động của Akira, vốn đã nhắm vào nhiều ngành và quy mô công ty khác nhau, hiện theo mô hình tống tiền kép. Dữ liệu thường bị đánh cắp ra ngoài trước khi quá trình mã hóa được thực hiện, nghĩa là giai đoạn mã hóa thất bại không tự động ngăn chặn việc thông tin cá nhân hoặc doanh nghiệp bị xâm phạm hoặc bị lợi dụng để tống tiền sau đó.

Điều đó quan trọng với bất kỳ ai nhìn nhận câu chuyện này qua lăng kính quyền riêng tư. Các tổ chức gặp phải một vụ tấn công ransomware thất bại một phần vẫn nên coi sự việc như một sự kiện phơi lộ dữ liệu tiềm ẩn, chứ không chỉ là một viên đạn né được. Các nghĩa vụ thông báo, điều tra pháp y và giám sát dữ liệu bị rò rỉ không nên bị bỏ qua chỉ vì triệu chứng dễ thấy, một mạng bị mã hóa, chưa bao giờ thực sự hình thành.

Vụ việc này cũng nằm trong bối cảnh ransomware rộng lớn hơn, nơi các nhóm liên tục cải tiến chiến thuật. Theo dõi ngành gần đây cho thấy Akira vẫn nằm trong số các hoạt động ransomware tích cực nhất cùng với những cái tên nổi bật khác, nhấn mạnh rằng các đối tác đang chịu áp lực phải hành động nhanh và thử các phương pháp né tránh mới, đôi khi phải đánh đổi bằng độ tin cậy.

Điều này có ý nghĩa gì với bạn

Đối với các đội CNTT và bảo mật, bài học không phải là sự tự mãn. Đó là sự xác nhận rằng cấu hình EDR chống can thiệp và giám sát theo lớp thực sự làm tăng chi phí và rủi ro thất bại cho kẻ tấn công. Ngay cả một vụ xâm nhập bị hỏng một phần vẫn có thể dẫn đến dữ liệu bị đánh cắp, vì vậy các kế hoạch ứng phó sự cố nên giả định việc đánh cắp dữ liệu đã xảy ra trừ khi bằng chứng chứng minh điều ngược lại. Với người dùng thông thường và các tổ chức nhỏ hơn không có đội bảo mật chuyên trách, điều rút ra đơn giản hơn: hãy cập nhật các công cụ bảo vệ điểm cuối, tránh vô hiệu hóa phần mềm bảo mật ngay cả tạm thời, và coi bất kỳ dấu hiệu thay đổi hệ thống trái phép nào, bao gồm các lần khởi động lại bất ngờ hoặc lời nhắc chế độ an toàn, là dấu hiệu cảnh báo cần điều tra ngay lập tức.

Những điều cần hành động

  • Đừng cho rằng một vụ mã hóa ransomware thất bại hoặc không hoàn tất nghĩa là không có dữ liệu bị đánh cắp; hãy điều tra khả năng dữ liệu bị đưa ra ngoài bất kể kết quả ra sao.
  • Luôn vá và cấu hình các công cụ EDR, bảo vệ điểm cuối với tính năng chống can thiệp được bật khi có thể.
  • Theo dõi hành vi hệ thống bất thường, chẳng hạn như các lần khởi động lại bất ngờ vào Chế độ An toàn, vốn đã được các đối tác Akira sử dụng như một chiến thuật né tránh EDR.
  • Thường xuyên rà soát kế hoạch sao lưu và phục hồi, vì các vụ tấn công ransomware, dù thành công hay không, thường chỉ ra mạng đã bị xâm nhập rộng hơn.

Những nỗ lực né tránh EDR của ransomware Akira như vụ này cho thấy kẻ tấn công vẫn đang tinh chỉnh sổ tay chiến thuật của mình, và ngay cả những nhóm tinh vi cũng có thể vấp phải chính công cụ của chúng. Giữ cảnh giác, thay vì cho rằng một cú suýt trúng là trượt hoàn toàn, vẫn là cách tiếp cận an toàn nhất cho người phòng thủ.