Trong nhiều năm, hình ảnh điển hình của ransomware là các tệp bị mã hóa và một ghi chú đòi tiền chuộc hiện trên màn hình. Một chiến thuật mới được PortalGeek mô tả đã thay đổi kịch bản đó: ransomware không mã hóa living off the land làm tê liệt các mạng doanh nghiệp mà không mã hóa một tệp nào, dựa vào chính các công cụ của tổ chức. Kết quả vẫn như cũ, một doanh nghiệp bị đình trệ, nhưng con đường để đi đến đó khó phát hiện hơn.

Bài viết này giải thích cách thức hoạt động, tại sao nó lại khó nắm bắt đến vậy và những gì cả doanh nghiệp lẫn những người làm việc từ xa nên xem xét.

Cách thức hoạt động của ransomware không mã hóa

Theo thông tin được công bố, chiến thuật này làm tê liệt hoạt động của một mạng doanh nghiệp mà không cần đến việc mã hóa tệp, vốn là điều mà nhiều biện pháp phòng thủ thường giám sát. Thay vì triển khai một chương trình độc hại rất dễ thấy, kẻ tấn công lợi dụng các tiện ích đã tồn tại trong môi trường: các công cụ quản trị như PowerShell và phần mềm truy cập từ xa.

Cách tiếp cận này được gọi là "living off the land" (sống nhờ đất liền): kẻ xâm nhập sử dụng những gì đã được cài đặt sẵn. Không mã hóa dữ liệu, hắn vẫn có thể làm gián đoạn dịch vụ, chặn truy cập hoặc vô hiệu hóa hệ thống, và tác động lên tính liên tục của hoạt động kinh doanh cũng nghiêm trọng không kém. Đối với một doanh nghiệp, không thể vận hành là vấn đề trung tâm, dù tệp có bị mã hóa hay không.

Tại sao việc sử dụng công cụ hợp pháp khiến việc phát hiện khó khăn hơn

Mấu chốt nằm ở chỗ không có gì mà kẻ tấn công thực thi trông có vẻ lạ lùng ngay từ cái nhìn đầu tiên. PowerShell được các quản trị viên hệ thống sử dụng hàng ngày, và phần mềm truy cập từ xa là một phần quen thuộc của bộ phận hỗ trợ kỹ thuật. Nếu một kẻ tấn công có thông tin đăng nhập hợp lệ khởi chạy chính những công cụ đó, hoạt động của hắn có thể bị nhầm lẫn với công việc thường ngày.

Điều này có một số hệ quả thực tiễn:

  • Ít dấu hiệu kinh điển hơn. Một phần mềm diệt virus tìm kiếm các tệp độc hại đã biết có rất ít thứ để chặn khi các chương trình hợp pháp được sử dụng.
  • Trọng tâm chuyển sang thông tin đăng nhập. Nếu quyền truy cập là hợp lệ, câu hỏi không còn là "phần mềm này là gì?" mà là "ai đang sử dụng nó và từ đâu?".
  • Hành vi trở nên quan trọng hơn. Phát hiện việc sử dụng bất thường của một công cụ (vào một giờ lạ, từ một thiết bị không ngờ tới) trở nên hữu ích hơn việc phát hiện một tệp cụ thể.

Đây không phải là mối đe dọa có thể giải quyết bằng một sản phẩm duy nhất. Nó đòi hỏi nhiều lớp: kiểm soát truy cập, khả năng hiển thị và khả năng phục hồi.

Điều này có ý nghĩa gì đối với làm việc từ xa và mạng gia đình

Một mạng doanh nghiệp không kết thúc tại văn phòng. Mỗi máy tính xách tay kết nối từ nhà, mỗi công cụ truy cập từ xa và mỗi mật khẩu được tái sử dụng đều mở rộng bề mặt mà qua đó kẻ tấn công có thể xâm nhập. Nếu phương thức này phụ thuộc vào việc sử dụng quyền truy cập hợp lệ, thì thông tin đăng nhập của những người làm việc từ xa trở thành một cánh cửa đặc biệt có giá trị.

Trên thực tế, an ninh của mạng gia đình ảnh hưởng đến an ninh của doanh nghiệp:

  • Một bộ định tuyến có mật khẩu mặc định hoặc firmware chưa cập nhật là một điểm yếu.
  • Một mật khẩu lặp lại giữa các dịch vụ cá nhân và doanh nghiệp tạo điều kiện để một vụ rò rỉ từ bên ngoài cuối cùng ảnh hưởng đến công việc.
  • Một chương trình truy cập từ xa được cài đặt và bị lãng quên, hoặc không có xác thực tăng cường, mang lại một con đường trực tiếp đến thiết bị.

Bối cảnh chung cũng quan trọng. Như chúng tôi đã đề cập trong phân tích về sự gia tăng nạn nhân của ransomware tại Tây Ban Nha và việc đánh cắp dữ liệu bằng AI, mối đe dọa vẫn tiếp tục gia tăng và ảnh hưởng đến cả các tổ chức lẫn những người kết nối với chúng.

Các biện pháp thực tiễn: MFA, đặc quyền tối thiểu, giám sát và sao lưu

Không biện pháp nào trong số này là mới lạ, nhưng khi kết hợp lại, chúng làm giảm đáng kể phạm vi hoạt động của kẻ cố gắng lạm dụng các công cụ hợp pháp.

  1. Xác thực đa yếu tố (MFA). Kích hoạt nó trên email, VPN doanh nghiệp, desktop từ xa và bất kỳ bảng quản trị nào. Nếu một mật khẩu bị rò rỉ, MFA thêm một rào cản quan trọng.
  2. Đặc quyền tối thiểu. Mỗi tài khoản chỉ nên có các quyền mà nó cần. Nếu một người dùng thông thường không cần chạy PowerShell với quyền nâng cao, tốt hơn là hạn chế nó.
  3. Kiểm soát phần mềm truy cập từ xa. Duy trì một danh mục các công cụ được phép và loại bỏ những công cụ không được sử dụng.
  4. Giám sát hành vi. Ghi nhật ký và xem xét hoạt động của các công cụ quản trị, đồng thời thiết lập cảnh báo khi có việc sử dụng ngoài thông lệ.
  5. Sao lưu cách ly và đã được kiểm chứng. Lưu các bản sao tách biệt khỏi mạng chính và kiểm tra rằng chúng có thể được khôi phục. Nếu những gì bị chặn là hệ thống chứ không chỉ tệp, cũng nên có một kế hoạch phục hồi được ghi chép lại.
  6. Vệ sinh tại nhà. Thay đổi thông tin đăng nhập của bộ định tuyến, cập nhật firmware, sử dụng mật khẩu duy nhất với trình quản lý mật khẩu và giữ hệ điều hành luôn cập nhật.

Kết luận: hãy xem lại cấu hình của bạn trước khi kẻ tấn công làm điều đó

Ransomware không mã hóa living off the land nhắc nhở rằng nguy hiểm không phải lúc nào cũng đến dưới dạng một tệp đáng ngờ. Đôi khi nó đến với một tài khoản hợp lệ và các công cụ đã có sẵn trên máy của bạn. Vì vậy, phòng thủ đòi hỏi phải bảo vệ thông tin đăng nhập, hạn chế quyền, giám sát hành vi và đảm bảo rằng bạn có thể phục hồi.

Hãy dành vài phút trong tuần này để xem lại cấu hình làm việc từ xa của bạn: bạn đã kích hoạt MFA trên các tài khoản quan trọng chưa? Bạn đã thay đổi mật khẩu quản trị của bộ định tuyến chưa? Các bản sao lưu của bạn có được cách ly và bạn đã kiểm tra chúng chưa? Để hiểu rõ hơn về quy mô của vấn đề, bạn có thể tham khảo bài viết của chúng tôi về các xu hướng ransomware tại Tây Ban Nha.