การเพิ่มขึ้นอย่างไม่หยุดยั้งของแรนซัมแวร์: การทำความเข้าใจปรากฏการณ์ของเว็บไซต์รั่วไหลใหม่

เกิดอะไรขึ้น

การปรากฏตัวของเว็บไซต์รั่วไหลของกลุ่มแรนซัมแวร์ใหม่ได้กลายเป็นรูปแบบเหตุการณ์ที่เกิดขึ้นอย่างต่อเนื่องและน่ากังวลในภูมิทัศน์ของความปลอดภัยทางไซเบอร์ เว็บไซต์เหล่านี้มักจะโฮสต์อยู่บน Dark Web ทำหน้าที่เป็นแพลตฟอร์มสำหรับผู้คุกคามในการเปิดเผยชื่อและประจานเหยื่อที่ปฏิเสธการจ่ายค่าไถ่ โดยมักจะเผยแพร่ข้อมูลที่ถูกขโมยเพื่อเป็นหลักฐานการถูกบุกรุกและเพื่อสร้างแรงกดดันเพิ่มเติม แนวโน้มนี้ตอกย้ำประสิทธิภาพและความสามารถในการทำกำไรของการปฏิบัติการแรนซัมแวร์ ซึ่งขับเคลื่อนการแพร่กระจายของกลุ่มใหม่และโครงสร้างพื้นฐานของพวกเขา ข้อมูลที่เปิดเผยต่อสาธารณะจากแพลตฟอร์มที่ตรวจสอบกิจกรรมแรนซัมแวร์มีการบันทึกการเปิดเผยเหยื่อรายใหม่อย่างต่อเนื่อง

แพลตฟอร์มดังกล่าวจะตรวจสอบและติดตามเว็บไซต์รั่วไหลเหล่านี้อย่างต่อเนื่อง ให้ข้อมูลเชิงลึกเกี่ยวกับเหยื่อที่เผยแพร่ใหม่และกลุ่มที่รับผิดชอบ การเปิดเผยข้อมูลเน้นย้ำถึงการเข้าถึงทั่วโลกและการกำหนดเป้าหมายที่หลากหลายของกลุ่มเหล่านี้ ซึ่งส่งผลกระทบต่อภาคส่วนต่างๆ ในหลายทวีป การไหลเข้าของข้อมูลเหยื่อใหม่จากเว็บไซต์รั่วไหลที่เกิดขึ้นใหม่อย่างต่อเนื่องบ่งชี้ถึงสภาพแวดล้อมของภัยคุกคามที่มีการใช้งานสูงและปรับตัวได้ ซึ่งผู้เชี่ยวชาญด้านความปลอดภัยต้องติดตามและทำความเข้าใจอย่างต่อเนื่อง ปริมาณการเปิดเผยข้อมูลใหม่จำนวนมาก แม้จะมีความผันผวน ก็บ่งชี้ถึงระบบนิเวศอาชญากรที่แข็งแกร่งและกำลังขยายตัว

ทำไมรูปแบบนี้จึงเกิดซ้ำแล้วซ้ำเล่า

แรงผลักดันหลักเบื้องหลังการเกิดขึ้นอย่างต่อเนื่องของเว็บไซต์รั่วไหลของแรนซัมแวร์ใหม่คือความสำเร็จทางการเงินที่พิสูจน์แล้วของโมเดล Ransomware-as-a-Service (RaaS) และการโจมตีโดยตรง ผู้คุกคามใช้ข้อมูลที่ถูกขโมยเป็นดาบสองคม: เข้ารหัสระบบเพื่อขัดขวางการดำเนินงานและดึงข้อมูลที่ละเอียดอ่อนเพื่อการขู่กรรโชกสองชั้น แรงกดดันสองทางนี้เพิ่มโอกาสในการจ่ายเงินอย่างมีนัยสำคัญ ทำให้โมเดลธุรกิจนี้น่าสนใจอย่างมาก

อุปสรรคในการเข้าสู่ธุรกิจที่ต่ำสำหรับกลุ่มใหม่ๆ ซึ่งมักจะอำนวยความสะดวกโดยโปรแกรมพันธมิตรและเครื่องมือที่มีให้เลือกใช้มากมาย ยังช่วยกระตุ้นให้เกิดการทำซ้ำนี้อีกด้วย กลุ่มที่จัดตั้งขึ้นมักจะแบ่งปันหรือขายตัวแปรแรนซัมแวร์ โครงสร้างพื้นฐาน และแม้แต่คู่มือการเจรจาต่อรอง ทำให้หน่วยงานใหม่สามารถเริ่มต้นการดำเนินงานได้อย่างรวดเร็ว ลักษณะการกระจายอำนาจของการดำเนินงานเหล่านี้ ควบคู่ไปกับการเข้าถึงอินเทอร์เน็ตทั่วโลก ทำให้การระบุตัวตนและการดำเนินการบังคับใช้กฎหมายเป็นเรื่องที่ท้าทาย ทำให้กลุ่มต่างๆ สามารถดำเนินการได้โดยไม่ต้องรับโทษและพัฒนาแทคติกของตนอย่างต่อเนื่อง

การแพร่กระจายของเว็บไซต์รั่วไหลของแรนซัมแวร์เป็นเครื่องเตือนใจอันชัดเจนว่าการดึงข้อมูลออก ควบคู่กับการเข้ารหัส ได้กลายเป็นกลยุทธ์เริ่มต้นเพื่อเพิ่มอำนาจการขู่กรรโชกให้สูงสุด

กลยุทธ์ของผู้โจมตีทีละขั้นตอน

วงจรการโจมตีแรนซัมแวร์โดยทั่วไป ซึ่งจบลงด้วยการเปิดเผยข้อมูลในเว็บไซต์รั่วไหล จะเป็นไปตามลำดับที่กำหนดไว้อย่างดี การเข้าถึงครั้งแรกมักจะได้รับผ่านช่องโหว่ในแอปพลิเคชันที่เปิดเผยต่อสาธารณะ แคมเปญฟิชชิงที่นำไปสู่การประนีประนอมข้อมูลประจำตัว หรือการใช้ประโยชน์จากโปรโตคอลเดสก์ท็อประยะไกล การติดเชื้อครั้งแรกได้รับการยอมรับมากขึ้นเรื่อยๆ ว่าเป็นสาเหตุสำคัญที่นำไปสู่การโจมตีด้วยแรนซัมแวร์ โดยให้จุดยืนเริ่มต้นและข้อมูลประจำตัวที่มีค่า

เมื่อเข้ามาภายใน ผู้โจมตีจะมุ่งเน้นไปที่การยกระดับสิทธิ์และการเคลื่อนที่ตามแนวนอน การทำแผนที่เครือข่าย การระบุระบบที่สำคัญ และการดึงข้อมูลออก การขโมยข้อมูลนี้มีความสำคัญต่อกลยุทธ์การขู่กรรโชกสองชั้น สุดท้าย พวกเขาจะปรับใช้เพย์โหลดแรนซัมแวร์ เข้ารหัสระบบและทิ้งข้อความเรียกค่าไถ่ หากเหยื่อปฏิเสธที่จะจ่าย ข้อมูลที่ถูกขโมยจะถูกเผยแพร่บนเว็บไซต์รั่วไหลของกลุ่ม ซึ่งมักจะมีตัวอย่างเพื่อพิสูจน์ความถูกต้อง เพื่อบีบบังคับให้จ่ายเงินหรือเพียงเพื่อทำลายชื่อเสียงของเหยื่อ

สิ่งที่ผู้ป้องกันพลาดไป

หลายองค์กรยังคงพลาดตัวบ่งชี้เริ่มต้นที่สำคัญและมาตรการป้องกันที่แข็งแกร่ง ข้อผิดพลาดทั่วไปคือการแก้ไขช่องโหว่และการจัดการช่องโหว่ที่ไม่เพียงพอ ทำให้มีจุดอ่อนที่สามารถถูกโจมตีได้ในขอบเขตของพวกเขา กลไกการตรวจสอบสิทธิ์ที่อ่อนแอ โดยเฉพาะอย่างยิ่งสำหรับบริการการเข้าถึงระยะไกล ยังให้จุดเข้าที่ง่ายสำหรับผู้คุกคาม การแพร่กระจายของการติดเชื้อเริ่มต้นบ่งชี้ถึงความล้มเหลวในการตรวจจับและแก้ไขเวกเตอร์การบุกรุกก่อนที่จะบานปลายไปสู่การปรับใช้แรนซัมแวร์เต็มรูปแบบ

นอกจากนี้ การแบ่งส่วนเครือข่ายที่ไม่เพียงพอทำให้ผู้โจมตีสามารถเคลื่อนที่ตามแนวนอนได้อย่างง่ายดาย เปลี่ยนการละเมิดที่เกิดขึ้นในท้องถิ่นให้กลายเป็นการบุกรุกทั่วทั้งองค์กร แผนการรับมือเหตุการณ์จำนวนมากยังขาดความคล่องตัวหรือทรัพยากรในการควบคุมและกำจัดภัยคุกคามได้อย่างมีประสิทธิภาพเมื่อภัยคุกคามเกิดขึ้นแล้ว ซึ่งนำไปสู่ระยะเวลาที่นานขึ้นและการดึงข้อมูลออกที่กว้างขวางมากขึ้น การไม่มีฟีดข้อมูลภัยคุกคามที่ครอบคลุมซึ่งปรับให้เหมาะกับกลุ่มแรนซัมแวร์ที่เกิดขึ้นใหม่และ TTPs ของพวกเขายังทำให้ผู้ป้องกันต้องรับมือแทนที่จะเป็นเชิงรุก

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

เพื่อรับมือกับภัยคุกคามที่กำลังดำเนินอยู่ของกลุ่มแรนซัมแวร์ใหม่และเว็บไซต์รั่วไหลของพวกเขา CISO และวิศวกรความปลอดภัยควรให้ความสำคัญกับการดำเนินการต่อไปนี้:

• ใช้โปรแกรมการจัดการช่องโหว่ที่แข็งแกร่ง: สแกนและแก้ไขช่องโหว่ที่สำคัญเป็นประจำ โดยเฉพาะอย่างยิ่งบนสินทรัพย์ที่เข้าถึงได้จากอินเทอร์เน็ต จัดลำดับความสำคัญของการแก้ไขตามความสามารถในการใช้ประโยชน์และความสำคัญของสินทรัพย์
• เสริมสร้างการควบคุมการเข้าถึงและการตรวจสอบสิทธิ์: บังคับใช้การตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) ในทุกบริการ โดยเฉพาะอย่างยิ่งสำหรับการเข้าถึงระยะไกล, VPNs, และบัญชีผู้มีสิทธิ์พิเศษ ใช้หลักการ Zero Trust
• ปรับปรุงการตรวจจับและตอบสนองที่ปลายทาง (EDR): ปรับใช้โซลูชัน EDR ขั้นสูงเพื่อตรวจจับและตอบสนองต่อกิจกรรมที่น่าสงสัย รวมถึงการติดเชื้อเริ่มต้นและความพยายามในการเคลื่อนที่ตามแนวนอนในระยะแรก
• แบ่งส่วนเครือข่ายอย่างเข้มงวด: แยกส่วนระบบและข้อมูลที่สำคัญ จำกัดศักยภาพในการเคลื่อนที่ตามแนวนอน และควบคุมการละเมิดให้อยู่ในส่วนเล็กๆ ของเครือข่าย
• พัฒนาและทดสอบแผนการรับมือเหตุการณ์: ดำเนินการฝึกซ้อมบนโต๊ะและจำลองสถานการณ์เป็นประจำเพื่อให้แน่ใจว่าทีมของคุณสามารถตรวจจับ ควบคุม กำจัด และกู้คืนจากการโจมตีด้วยแรนซัมแวร์ได้อย่างมีประสิทธิภาพ
• บำรุงรักษาการสำรองข้อมูลแบบออฟไลน์ที่ไม่สามารถเปลี่ยนแปลงได้: ตรวจสอบให้แน่ใจว่าข้อมูลที่สำคัญได้รับการสำรองข้อมูลเป็นประจำไปยังที่เก็บข้อมูลที่ไม่สามารถเปลี่ยนแปลงได้ แยกออกจากเครือข่าย เพื่ออำนวยความสะดวกในการกู้คืนโดยไม่ต้องจ่ายค่าไถ่
• สมัครรับฟีดข้อมูลภัยคุกคาม: ใช้ประโยชน์จากฟีดที่ติดตามกลุ่มแรนซัมแวร์ที่เกิดขึ้นใหม่ TTPs ของพวกเขา และโดเมนเว็บไซต์รั่วไหลที่รู้จัก เพื่อรับทราบข้อมูลและเป็นเชิงรุก

การทดสอบเชิงรุกที่ทันสมัยจะตรวจจับสิ่งนี้ได้อย่างไร

การป้องกันขอบเขตแบบดั้งเดิมและการประเมินความปลอดภัยแบบคงที่มักจะล้มเหลวในการระบุเส้นทางการโจมตีที่ซับซ้อนซึ่งกลุ่มแรนซัมแวร์สมัยใหม่ใช้ นี่คือที่ที่การทดสอบเชิงรุกขั้นสูง โดยเฉพาะอย่างยิ่งการทดสอบเชิงรุกอัตโนมัติพร้อม Proof of Concepts (PoCs) ที่เรียกใช้งานได้ พิสูจน์ว่ามีคุณค่าอย่างยิ่ง แพลตฟอร์มของเรา ด้วยการทดสอบเชิงรุกอัตโนมัติที่ขับเคลื่อนด้วยข้อมูลภัยคุกคาม จะจำลองสถานการณ์การโจมตีในโลกแห่งความเป็นจริง รวมถึงสถานการณ์ที่กลุ่มแรนซัมแวร์ใหม่ชื่นชอบ เพื่อเปิดเผยช่องโหว่ที่ซ่อนอยู่

ด้วยการเลียนแบบเทคนิคการเข้าถึงเริ่มต้น การยกระดับสิทธิ์ การเคลื่อนที่ตามแนวนอน และการดึงข้อมูลออกอย่างต่อเนื่อง การทดสอบดังกล่าวจะระบุจุดอ่อนก่อนที่ผู้โจมตีจะสามารถใช้ประโยชน์จากมันได้ ตัวอย่างเช่น มันสามารถระบุการกำหนดค่าที่ไม่ถูกต้องที่ทำให้การติดเชื้อเริ่มต้นได้รับจุดยืน หรือค้นพบระบบที่ยังไม่ได้แก้ไขที่กลุ่มแรนซัมแวร์กำหนดเป้าหมาย PoCs ที่เรียกใช้งานได้จะแสดงให้เห็นว่าผู้โจมตีจะบุกรุกระบบได้อย่างไร โดยให้หลักฐานที่เป็นรูปธรรมและขั้นตอนการแก้ไขที่นำไปใช้ได้จริง ซึ่งเผยให้เห็นเส้นทางการโจมตีที่จะนำไปสู่การเปิดเผยข้อมูลในเว็บไซต์รั่วไหลได้อย่างมีประสิทธิภาพ

สิ่งที่ต้องจับตาดูต่อไป

ภูมิทัศน์ของแรนซัมแวร์ยังคงมีพลวัตสูง และมีแนวโน้มหลายอย่างที่ต้องได้รับการติดตามอย่างใกล้ชิด วิวัฒนาการของโมเดลแรนซัมแวร์ โดยมีกลุ่มใหม่ๆ เกิดขึ้นและกลุ่มที่มีอยู่เปลี่ยนชื่อ จะยังคงดำเนินต่อไป เราควรคาดการณ์ความหลากหลายเพิ่มเติมในกลยุทธ์การขู่กรรโชกนอกเหนือจากการขู่กรรโชกสองชั้น ซึ่งอาจรวมถึงวิธีการอื่นๆ เพื่อเพิ่มแรงกดดัน

การกำหนดเป้าหมายอุตสาหกรรมเฉพาะจะยังคงดำเนินต่อไป เนื่องจากภาคส่วนเหล่านี้มักจะมีข้อมูลที่สำคัญและมีความอดทนต่อการหยุดทำงานต่ำ ในทางภูมิศาสตร์ แม้ว่าบางภูมิภาคจะยังคงเป็นเป้าหมายหลัก แต่กิจกรรมที่เพิ่มขึ้นในภูมิภาคอื่นก็มีความเป็นไปได้ นอกจากนี้ การทำงานร่วมกันระหว่างการติดเชื้อเริ่มต้นและการโจมตีด้วยแรนซัมแวร์ที่ตามมาจะยิ่งเด่นชัดขึ้น ซึ่งต้องใช้กลยุทธ์การป้องกันแบบรวมศูนย์ที่จัดการทั้งการบุกรุกเริ่มต้นและการใช้ประโยชน์ที่ตามมา เกมแมวไล่จับหนูที่กำลังดำเนินอยู่ระหว่างผู้ป้องกันและผู้โจมตีที่ซับซ้อนมากขึ้นเรื่อยๆ จำเป็นต้องมีการเฝ้าระวังและกลยุทธ์ความปลอดภัยที่ปรับตัวได้