ลองจินตนาการว่าเขียนอีเมลงานสำคัญอยู่ แล้วทันใดนั้นสูญเสียการเข้าถึงทุกอย่าง หรือได้รับข้อความผิดพลาดร้ายกาจขอบิทคอยน์เพื่อถอดรหัสคอมพิวเตอร์ อาจมีสถานการณ์ต่างๆ มากมาย แต่สิ่งหนึ่งเหมือนกันสำหรับการโจมตีแรนซัมแวร์ทุกครั้ง - โจมตีจะให้คำแนะนำวิธีคืนการเข้าถึงเสมอ ข้อผูกมัดคือคุณต้องจ่ายค่าไถ่จำนวนมากล่วงหน้า
ประเภทแรนซัมแวร์ที่ทำลายล้างชื่อ "Maze" กำลังลุกลามในโลกไซเบอร์เซคিউริตี นี่คือสิ่งที่คุณต้องรู้เกี่ยวกับ Cognizant Maze ransomware
Maze Ransomware คืออะไร?
Maze ransomware มาในรูปแบบสต레น Windows แจกจ่ายผ่านอีเมลสแปมและ exploit kits ขอบิทคอยน์หรือสกุลเงินดิจิทัลจำนวนมากเพื่อแลกกับการถอดรหัสและกู้คืนข้อมูลที่ถูกขโมย
อีเมลมาพร้อมเรื่องที่ดูเหมือนไร้เดียงสา เช่น "Your Verizon bill is ready to view" หรือ "Missed package delivery" แต่ต้นทางมาจากโดเมนอันตราย มีข่าวลือว่า Maze เป็นแรนซัมแวร์แบบ affiliate-based ดำเนินการผ่านเครือข่ายนักพัฒนาที่แบ่งกำไรกับกลุ่มต่างๆ ที่เจาะเข้าเครือข่ายองค์กร
เพื่อสร้างกลยุทธ์ป้องกันและลดการโจมตีลักษณะนี้ เราควรสะท้อนการโจมตี Cognizant Maze...
การโจมตี Cognizant Maze Ransomware
เมษายน 2020 Cognizant บริษัท Fortune 500 และหนึ่งในผู้ให้บริการบริการ IT ใหญ่ที่สุดโลก กลายเป็นเหยื่อของการโจมตี Maze อันร้ายกาจ ที่ทำให้บริการขัดข้องอย่างมากทั่วทั้งองค์กร
เนื่องจากการลบไดเรกทอรีภายในโดยการโจมตีนี้ พนักงาน Cognizant หลายคนประสบปัญหาการสื่อสารขัดข้อง ทีมขายทุกข์เพราะไม่มีทางสื่อสารกับลูกค้าและในทางกลับกัน
ข้อเท็จจริงที่ว่า Cognizant ถูกโจมตีขณะกำลังย้ายพนักงานทำงานจากบ้านเนื่องจากโควิด-19 ทำให้ท้าทายมากขึ้น ตามรายงาน CRN พนักงานถูกบังคับหาวิธีติดต่อเพื่อนร่วมงานอื่นเนื่องจากสูญเสียการเข้าถึงอีเมล
"ไม่มีใครอยากเจอการโจมตีแรนซัมแวร์" CEO ของ Cognizant Brian Humphries กล่าว "ส่วนตัวผมไม่เชื่อว่าใครกันได้จริงๆ แตความแตกต่างคือการจัดการอย่างไร และเราพยายามจัดการอย่างมืออาชีพและสุขุม"
บริษัทควบคุมสถานการณ์เร็วด้วยการขอความช่วยเหลือจากผู้เชี่ยวชาญไซเบอร์เซคিউริตีชั้นนำและทีม IT ภายใน การโจมตียังแจ้งให้หน่วยบังคับกฎหมายทราบ และลูกค้า Cognizant ได้รับการอัปเดต Indicators of Compromise (IOC) ตลอดเวลา
อย่างไรก็ตาม บริษัทต้องรับความเสียหายทางการเงินจำนวนมาก สะสมถึง $50-70 ล้านจากรายได้ที่สูญเสีย
ทำไม Maze Ransomware จึงเป็น "ภัยคุกคามสองหน้า"?
เหมือนการได้รับผลกระทบจากแรนซัมแวร์ยังไม่พอ ผู้สร้างการโจมตี Maze เพิ่มกลไกอันตรายอีกชั้น: "Double extortion" (การขู่ค่าไถ่สองครั้ง) เหยื่อถูกขู่ว่าจะรั่วไหลข้อมูลที่ถูกขโมยหากปฏิเสธความต้องการ
แรนซัมแวร์ดังนี้ถูกเรียกว่า "ภัยคุกคามสองหน้า" เพราะนอกจากปิดการเข้าถึงเครือข่ายพนักงานแล้ว ยังสร้างสำเนาข้อมูลเครือข่ายทั้งหมดเพื่อใช้ขู่เหยื่อให้จ่ายค่าไถ่
กลยุทธ์การกดดันของผู้สร้าง Maze ไม่จบแค่นี้ การวิจัยล่าสุดระบุว่า TA2101 กลุ่มเบื้องหลัง Maze ได้เปิดเว็บไซต์เฉพาะที่รายชื่อเหยื่อที่ไม่ร่วมมือ และเผยแพร่ตัวอย่างข้อมูลที่ขโมยมาบ่อยๆ เป็นการลงโทษ
วิธีจำกัดเหตุการณ์ Maze Ransomware
การลดและกำจัดความเสี่ยงแรนซัมแวร์เป็นกระบวนการหลายมิติ รวมกลยุทธ์ต่างๆ และปรับแต่งตามแต่ละกรณีและโปรไฟล์ความเสี่ยงขององค์กร นี่คือกลยุทธ์ยอดนิยมที่ช่วยหยุดการโจมตี Maze ได้
บังคับใช้ Application Whitelisting
Application Whitelisting เป็นเทคนิคป้องกันภัยคุกคามเชิงรุก อนุญาตให้โปรแกรมหรือซอฟต์แวร์ที่ได้รับอนุมัติล่วงหน้าเท่านั้นทำงาน ในขณะที่อื่นๆ ถูกบล็อกโดยค่าเริ่มต้น
เทคนิคนี้ช่วยมากในการระบุการพยายามรันโค้ดอันตรายผิดกฎหมาย และช่วยป้องกันการติดตั้งที่ไม่ได้รับอนุญาต
แก้ไขแอปพลิเคชันและช่องโหว่ด้านความปลอดภัย
ช่องโหว่ด้านความปลอดภัยควรแก้ไขทันทีเมื่อค้นพบ เพื่อป้องกันการใช้ประโยชน์โดยโจมตี นี่คือกรอบเวลาที่แนะนำสำหรับการใช้แพตช์ทันทีตามความรุนแรง:
- ความเสี่ยงสุดขีด: ภายใน 48 ชั่วโมงหลังแพตช์เผยแพร่
- ความเสี่ยงสูง: ภายใน 2 สัปดาห์หลังแพตช์เผยแพร่
- ความเสี่ยงปานกลางหรือต่ำ: ภายใน 1 เดือนหลังแพตช์เผยแพร่
กำหนดค่าแมโคร Microsoft Office
แมโครใช้ทำงานอัตโนมัติแต่เป็นเป้าหมายง่ายสำหรับนำโค้ดอันตรายเข้าระบบเมื่อเปิดใช้งาน วิธีที่ดีคือปิดใช้งานหากเป็นไปได้ หรือให้ประเมินและตรวจสอบก่อนใช้
ใช้ Application Hardening
Application Hardening เป็นวิธีป้องกันแอปพลิเคชันและเพิ่มชั้นความปลอดภัยเพื่อป้องกันการขโมย แอปพลิเคชัน Java อยู่ในกลุ่มเสี่ยงสูงและอาจถูกใช้เป็นจุดเข้าโดยผู้คุกคาม จำเป็นต้องคุ้มครองเครือข่ายด้วยวิธีนี้ที่ระดับแอปพลิเคชัน
จำกัดสิทธิ์ผู้ดูแลระบบ
สิทธิ์ผู้ดูแลระบบต้องจัดการด้วยความระมัดระวัง เพราะบัญชีแอดมินเข้าถึงทุกอย่าง ควรใช้ Principle of Least Privilege (POLP) ตั้งค่าการเข้าถึงและสิทธิ์ เพราะเป็นปัจจัยสำคัญในการลดความเสี่ยง Maze ransomware หรือการโจมตีไซเบอร์อย่างไรก็ตาม
แพตช์ระบบปฏิบัติการ
เป็นกฎทั่วไป แอปพลิเคชัน คอมพิวเตอร์ และอุปกรณ์เครือข่ายที่มีช่องโหว่ความเสี่ยงสูงสุด ควรแพตช์ภายใน 48 ชั่วโมง ยังสำคัญที่จะใช้เวอร์ชันล่าสุดของระบบปฏิบัติการเท่านั้น และหลีกเลี่ยงเวอร์ชันที่ไม่ได้รับการสนับสนุน
ใช้การยืนยันตัวตนหลายปัจจัย (MFA)
MFA เพิ่มชั้นความปลอดภัย เพราะต้องใช้อุปกรณ์ที่ได้รับอนุมัติหลายเครื่องเพื่อล็อกอินเข้าโซลูชันการเข้าถึงระยะไกล เช่น ธนาคารออนไลน์ หรือการกระทำที่ต้องใช้ข้อมูลละเอียดอ่อน
รักษาความปลอดภัยเบราว์เซอร์
สำคัญที่จะต้องให้แน่ใจว่าเบราว์เซอร์อัปเดตล่าสุด บล็อกโฆษณาโป็อปอัพ และการตั้งค่าเบราว์เซอร์ป้องกันการติดตั้งส่วนขยายไม่รู้จัก
ตรวจสอบว่าเว็บไซต์ที่เยี่ยมชมเป็นจริงโดยดูที่ address bar จำไว้ว่า HTTPS ปลอดภัย HTTP ปลอดภัยน้อยกว่ามาก
ใช้ความปลอดภัยอีเมล
วิธีเข้าหลักของ Maze ransomware คือผ่านอีเมล
ใช้ MFA เพื่อเพิ่มชั้นความปลอดภัย และกำหนดวันหมดอายุรหัสผ่าน นอกจากนี้ ฝึกตัวเองและพนักงานอย่าเปิดอีเมลจากแหล่งไม่รู้จัก หรืออย่างน้อยอย่าดาวน์โหลดไฟล์แนบน่าสงสัย การลงทุนในโซลูชันป้องกันอีเมลรับประกันการส่งอีเมลอย่างปลอดภัย
สำรองข้อมูลเป็นประจำ
การสำรองข้อมูลเป็นส่วนสำคัญของแผนกู้ภัย ในกรณีถูกโจมตี ด้วยการกู้คืนจากการสำรองที่สำเร็จ คุณสามารถถอดรหัสข้อมูลต้นฉบับที่ถูกแฮ็กเกอร์เข้ารหัสได้ ควรตั้งค่าการสำรองอัตโนมัติและสร้างรหัสผ่านซับซ้อนไม่ซ้ำให้พนักงาน
ให้ความสนใจกับ Endpoints และ Credentials ที่ได้รับผลกระทบ
สุดท้าย ถ้า endpoints ใดในเครือข่ายของคุณถูก Maze ransomware โจมตี ควรระบุ credentials ทั้งหมดที่ใช้บน endpoints นั้นทันที สมมติเสมอว่าทุก endpoints พร้อมใช้งานและ/หรือถูกแฮ็กเกอร์เจาะ Windows Event Log จะช่วยในการวิเคราะห์ logons หลังถูกเจาะ
งงกับการโจมตี Cognizant Maze?
การรั่วไหลข้อมูลของ Cognizant ทำให้ผู้ให้บริการ IT ต้องอ้อนวอนกู้คืนจากความเสียหายทางการเงินและข้อมูลที่มหาศาล แต่ด้วยความช่วยเหลือจากผู้เชี่ยวชาญไซเบอร์เซคิวริตีชั้นนำ บริษัทกู้คืนตัวได้อย่างรวดเร็ว
เหตุการณ์นี้พิสูจน์ว่าแรนซัมแวร์อันตรายเพียงไร
นอกจาก Maze ยังมีแรนซัมแวร์อีกมากมายที่ดำเนินการโดยผู้คุกคามร้ายทุกวัน ข่าวดีคือ ด้วยความมุ่งมั่นและมาตรฐานความปลอดภัยที่เข้มงวด องค์กรใดก็ตามสามารถลดความเสี่ยงการโจมตีเหล่านี้ก่อนที่จะโจมตีได้
