Một cách âm thầm hơn để làm mù quáng lớp phòng thủ của bạn

Những kẻ vận hành ransomware từ lâu đã tìm cách vô hiệu hóa phần mềm bảo mật trước khi phát động tấn công, tắt các công cụ diệt virus, tác nhân phát hiện và phản hồi điểm cuối (EDR) cùng các dịch vụ sao lưu để không còn gì cản trở quá trình mã hóa. Nhưng một thế hệ công cụ mới hơn, đôi khi được gọi là "kẻ hủy diệt ransomware", đang áp dụng cách tiếp cận tinh vi hơn. Thay vì chấm dứt hẳn một tiến trình bảo mật, những công cụ này ghi đè lên bộ nhớ của tiến trình đó một cách có chủ đích trong khi vẫn để ứng dụng tiếp tục chạy về mặt kỹ thuật.

Sự khác biệt này quan trọng hơn vẻ bề ngoài. Khi một tiến trình bảo mật bị tắt, nó thường biến mất khỏi danh sách tiến trình của hệ thống, và nhiều tổ chức đã triển khai giám sát đặc biệt để cảnh báo về sự biến mất đó. Một dịch vụ giám sát, bảng điều khiển quản lý hoặc quy tắc cảnh báo có thể phát hiện khoảnh khắc tiến trình diệt virus ngừng phản hồi và gióng lên hồi chuông cảnh báo. Bằng cách ghi đè vào bộ nhớ của tiến trình đó, kẻ tấn công có thể vô hiệu hóa khả năng phát hiện hoặc phản ứng trước mối đe dọa của nó, trong khi bản thân tiến trình vẫn có vẻ đang hoạt động nếu ai đó liếc nhìn trình quản lý tác vụ hoặc một bước kiểm tra tình trạng cơ bản.

Vì sao ghi đè bộ nhớ lại khó bị phát hiện hơn

Kỹ thuật này khai thác một lỗ hổng giữa những gì các công cụ bảo mật được thiết kế để giám sát và những gì thực sự báo hiệu sự xâm nhập. Hầu hết các lớp phòng thủ được xây dựng dựa trên giả định rằng một tác nhân bảo mật đang hoạt động có nghĩa là lớp bảo vệ vẫn còn nguyên vẹn. Nếu tiến trình tồn tại và đang chạy, giả định là nó đang thực hiện nhiệm vụ. Những kẻ hủy diệt ransomware thao túng bộ nhớ trực tiếp sẽ phá vỡ giả định đó mà không kích hoạt tín hiệu rõ ràng – sự cố hoặc chấm dứt tiến trình – vốn là thứ mà nhiều hệ thống phát hiện dựa vào.

Đây là một bước tiến hóa tự nhiên của xu hướng đã định hình lại cách các nhóm ransomware vận hành. Như đã đề cập trong một bài viết gần đây về các framework ransomware tiêu diệt EDR, kẻ tấn công đã chuyển từ việc chạy đua mã hóa tập tin trước khi lớp phòng thủ kịp phản ứng sang việc vô hiệu hóa một cách có phương pháp các lớp phòng thủ đó trước tiên. Các kỹ thuật ghi đè bộ nhớ đại diện cho bước tiếp theo trong cùng một chiến thuật: thay vì chỉ vô hiệu hóa một công cụ, kẻ tấn công đang học cách làm cho nó trông như chưa từng có chuyện gì xảy ra.

Đối với các đội bảo mật, điều này đặt ra một vấn đề thực tế. Các chiến lược phát hiện dựa vào câu hỏi "tiến trình bảo mật còn đang chạy không" như một thước đo cho "điểm cuối còn được bảo vệ không" có thể bị vô hiệu hóa một cách âm thầm. Điều đó không có nghĩa là những công cụ này vô dụng, nhưng nó có nghĩa là các tổ chức cần thêm các tín hiệu khác, chẳng hạn như xác minh rằng một tiến trình thực sự đang hoạt động bình thường, chứ không chỉ tồn tại, để phát hiện kiểu can thiệp này.

Một mô hình né tránh EDR và diệt virus rộng hơn

Diễn biến này nằm trong một mô hình rộng hơn, nơi các nhóm ransomware coi phần mềm bảo mật là chướng ngại đầu tiên cần loại bỏ, chứ không phải là suy nghĩ muộn màng. Những kẻ tấn công ngày càng xây dựng các công cụ chuyên dụng chỉ để vô hiệu hóa hoặc vượt qua các sản phẩm phát hiện trước khi triển khai tải trọng ransomware thực sự. Sự chuyển dịch sang thao túng bộ nhớ, thay vì chấm dứt hoàn toàn, cho thấy các nhóm này đang chủ động thích ứng với những người phòng thủ vốn đã giỏi hơn trong việc phát hiện phiên bản thô sơ hơn của cuộc tấn công này. Khi các lớp phòng thủ phân lớp như cách các framework ransomware tiêu diệt EDR yêu cầu trở thành lời khuyên tiêu chuẩn, kẻ tấn công tương ứng tinh chỉnh phương pháp để lách qua chính những lớp đó.

Điều này có ý nghĩa gì với bạn

Đối với người dùng cá nhân, kiểu tấn công này khó có khả năng nhắm trực tiếp vào bạn, vì nó nhắm đến cơ sở hạ tầng bảo mật doanh nghiệp chứ không phải thiết bị cá nhân. Nhưng bài học cốt lõi vẫn áp dụng rộng rãi: sự hiện diện của một công cụ bảo mật trên hệ thống không đảm bảo rằng nó đang hoạt động chính xác. Những kẻ hủy diệt ransomware là lời nhắc nhở rằng kẻ tấn công ngày càng tập trung vào việc âm thầm vô hiệu hóa lớp bảo vệ thay vì kích hoạt các cảnh báo dễ thấy, điều này khiến bạn nên chú ý xem liệu phần mềm bảo mật của mình có thực sự hoạt động bình thường hay không, chứ không chỉ là nó đã được cài đặt và đang chạy.

Đối với các đội CNTT và bảo mật, kỹ thuật này nhấn mạnh sự cần thiết phải vượt ra ngoài các bước kiểm tra đơn giản kiểu "tiến trình còn sống không". Việc giám sát nên bao gồm xác minh hành vi của chính các công cụ bảo mật, kiểm tra xem chúng có thực sự đang quét, cập nhật và báo cáo như mong đợi hay không, chứ không chỉ chiếm một vị trí trong danh sách tiến trình. Phòng thủ phân lớp, giám sát dự phòng và xác minh ngoại tuyến tình trạng của công cụ bảo mật đều trở nên quan trọng hơn khi kẻ tấn công ngày càng giỏi trong việc giả vờ hoạt động bình thường.

Những điểm cần hành động

  • Đừng chỉ dựa vào sự hiện diện của tiến trình như bằng chứng cho thấy phần mềm bảo mật đang hoạt động; hãy xác minh hành vi, chứ không chỉ sự tồn tại.
  • Đảm bảo các công cụ bảo mật có bật tính năng kiểm tra tính toàn vẹn hoặc chống can thiệp nếu có sẵn.
  • Xây dựng giám sát để gắn cờ hoạt động bộ nhớ bất thường xung quanh các tiến trình bảo mật quan trọng, không chỉ các sự cố hoặc chấm dứt.
  • Luôn cập nhật các công cụ phát hiện điểm cuối, vì các nhà cung cấp thường vá các kỹ thuật né tránh đã biết khi chúng được phát hiện.
  • Coi mọi báo cáo về công cụ "kẻ hủy diệt ransomware" như một tín hiệu để xem xét cách tổ chức của bạn xác minh tình trạng lớp phòng thủ của chính mình, chứ không chỉ liệu chúng có đang chạy về mặt kỹ thuật hay không.

Khi các nhóm ransomware tiếp tục hoàn thiện cách vô hiệu hóa công cụ bảo mật mà không vấp phải cảnh báo rõ ràng, việc cập nhật thông tin về các kỹ thuật né tránh này là một trong những cách đơn giản nhất để đi trước chúng.