การใช้เครื่องมือระดับพื้นฐานที่ถูกต้องตามกฎหมายเป็นอาวุธ: แรนซัมแวร์หลบเลี่ยงการป้องกันของโปรแกรมป้องกันไวรัสได้อย่างไร

การใช้เครื่องมือระดับพื้นฐานที่ถูกต้องตามกฎหมายเป็นอาวุธ: แรนซัมแวร์หลบเลี่ยงการป้องกันของโปรแกรมป้องกันไวรัสได้อย่างไร

สารบัญ

• บทนำ
• “ภาวะกลืนไม่เข้าคายไม่ออกของการใช้งานสองทาง”: เหตุใดผู้โจมตีจึงนิยมใช้เครื่องมือที่ถูกต้องตามกฎหมาย
• เหตุใดการกำจัดไวรัสจึงมีความสำคัญ
• วิวัฒนาการทางประวัติศาสตร์ของการกำจัดไวรัส
• ห่วงโซ่การโจมตีของแรนซัมแวร์
• ขั้นตอนของการใช้เครื่องมือระดับพื้นฐานที่ถูกต้องตามกฎหมายในทางที่ผิด
  • ขั้นตอนที่ 1: เครื่องมือระดับต่ำสำหรับการทำให้โปรแกรมป้องกันไวรัสเป็นกลางและการยกระดับสิทธิ์
  • ขั้นตอนที่ 2: การขโมยข้อมูลประจำตัว การแก้ไขเคอร์เนล และเครื่องมือในการติดตั้งแรนซัมแวร์
• ตัวอย่างแคมเปญจริง: ตั้งแต่การกำจัดโปรแกรมป้องกันไวรัสไปจนถึงมัลแวร์เรียกค่าไถ่
• การทำแผนที่ TTP ของผู้คุกคาม (MITRE ATT&CK)
• แนวโน้มที่เกิดขึ้นใหม่และภัยคุกคามในอนาคต
• สรุป ความน่าเชื่อถือของ Olymp Trade? Seqrite ป้องกันตนเองจากกิจกรรมเหล่านี้
• คำแนะนำสำหรับการตรวจจับและการตอบสนองต่อเหตุการณ์ภัยคุกคามขั้นสูง
• แนวทางปฏิบัติและคำแนะนำที่ดีที่สุดด้านความปลอดภัย
• สรุป

บทนำ:

แรนซัมแวร์ไม่ได้เป็นเพียงแค่โค้ดที่เป็นอันตรายอีกต่อไปแล้ว — มันถูกบริหารจัดการเหมือนธุรกิจ การโจมตีในยุคปัจจุบันเกิดขึ้นเป็นขั้นตอนที่วางแผนไว้อย่างรอบคอบ โดยมุ่งเป้าไปที่ทุกคนตั้งแต่ผู้ใช้ตามบ้านไปจนถึงธุรกิจขนาดเล็กและองค์กรขนาดใหญ่ แทนที่จะพึ่งพาเฉพาะมัลแวร์ที่สร้างขึ้นเอง ผู้โจมตีในปัจจุบันทำตัวเหมือนผู้ทดสอบการเจาะระบบที่มีเจตนาร้าย: พวกเขาศึกษาการป้องกัน ค้นหาจุดอ่อน แล้วใช้เครื่องมือระดับต่ำที่ถูกต้องตามกฎหมายโจมตีระบบที่ควรได้รับการปกป้องเสียเอง

ลองพิจารณาโปรแกรมยูทิลิตี้อย่าง Process Hacker, IOBit Unlocker, PowerRun หรือ AuKill ดู โปรแกรมเหล่านี้ถูกสร้างขึ้นมาเพื่อช่วยทีมไอทีในการแก้ไขปัญหาของระบบ จัดการรีจิสทรี หรือทำงานกับไดรเวอร์ แต่เมื่อตกอยู่ในมือคนผิด พวกมันก็กลายเป็นอาวุธที่ใช้ในการปิดระบบป้องกันไวรัสอย่างเงียบๆ ก่อนที่มัลแวร์เรียกค่าไถ่จะปรากฏตัวขึ้น

เหตุผลที่ผู้โจมตีชอบใช้ตัวเลือกเหล่านี้:

• ปัจจัยความน่าเชื่อถือ: เนื่องจากมีการลงลายมือชื่อดิจิทัลและใช้งานกันอย่างแพร่หลาย ระบบรักษาความปลอดภัยจึงมักถือว่าลายมือชื่อเหล่านี้ปลอดภัย
• ความสามารถ: มัลแวร์เหล่านี้ทำให้ผู้โจมตีสามารถควบคุมระบบหรือแม้กระทั่งระดับเคอร์เนลได้ ซึ่งเป็นสิ่งที่มัลแวร์ทั่วไปมักทำไม่ได้ด้วยตัวเอง
• ชิงทรัพย์: กิจกรรมของพวกเขามีลักษณะเหมือนงานธุรการทั่วไป แทบไม่ทิ้งร่องรอยใดๆ ไว้เลย

“ภาวะกลืนไม่เข้าคายไม่ออกของการใช้งานสองทาง” นี่แหละคือสิ่งที่ทำให้มันอันตรายอย่างยิ่ง — เครื่องมือที่ออกแบบมาเพื่อแก้ไขปัญหา สามารถถูกเปลี่ยนให้กลายเป็นอาวุธทำลายระบบรักษาความปลอดภัยได้อย่างสมบูรณ์แบบ โดยไม่ก่อให้เกิดความตื่นตระหนกใดๆ

เหตุใดการกำจัดไวรัสจึงมีความสำคัญ

การปิดใช้งานโปรแกรมป้องกันไวรัสไม่ใช่แค่ขั้นตอนเล็กน้อยในแคมเปญเรียกค่าไถ่ แต่เป็นกลยุทธ์ที่จงใจเพื่อเปิดทางให้โปรแกรมอันตรายทำงาน เครื่องมือรักษาความปลอดภัยถูกสร้างขึ้นมาเพื่อบล็อกไฟล์ที่เป็นอันตราย บันทึกพฤติกรรมที่น่าสงสัย และแจ้งเตือนผู้ป้องกันแบบเรียลไทม์ การปิดใช้งานเครื่องมือเหล่านี้ทำให้ผู้โจมตีมั่นใจได้ว่าการดำเนินการของพวกเขาจะเงียบและไม่ถูกขัดจังหวะ

นี่คือวิธีที่การปิดใช้งานมาตรการรักษาความปลอดภัยเป็นประโยชน์โดยตรงต่อผู้โจมตี:

• โปรแกรมป้องกันไวรัสจะบล็อกไฟล์มัลแวร์เรียกค่าไถ่ในขณะที่มันกำลังทำงานอยู่
• EDR จะตรวจจับและบันทึกพฤติกรรมการเข้ารหัสไฟล์ที่ผิดปกติ
• หลักฐานทางนิติวิทยาศาสตร์อาจเปิดโอกาสให้ทีมปฏิบัติการด้านความปลอดภัยสามารถตอบสนองได้
• ด้วยการปิดใช้งานระบบป้องกันเหล่านี้ ผู้โจมตีจะสร้างพื้นที่เงียบที่มัลแวร์เรียกค่าไถ่สามารถทำงานได้โดยไม่ถูกตรวจพบ

วิวัฒนาการทางประวัติศาสตร์ของการกำจัดไวรัส

กลุ่มแรนซัมแวร์ไม่ได้หยุดนิ่งอยู่กับที่ แต่พวกเขาได้พัฒนาวิธีการหลบเลี่ยงระบบป้องกันไวรัสอย่างต่อเนื่อง จากการโจมตีแบบง่ายๆ ด้วยสคริปต์ ได้พัฒนาไปสู่การปฏิบัติการที่ซับซ้อนมากขึ้น รวมถึงการแก้ไขระดับเคอร์เนล และโมดูลสำเร็จรูปที่ปัจจุบันเป็นมาตรฐานในชุดแรนซัมแวร์แบบบริการ (RaaS) ตารางด้านล่างสรุปความก้าวหน้านี้:

ระยะเวลา	เทคนิคการทำให้เป็นกลางขั้นต้น	ตระกูลแรนซัมแวร์ที่เป็นตัวแทน
2015 - 2017	สคริปต์พื้นฐาน (taskkill/net stop)	คริปโตล็อกเกอร์, วอนนาครี
2018 - 2020	การละเมิดกระบวนการแฮกเกอร์	ริวค, ดอปเปลเพย์เมอร์
2021 - 2023	การจัดการไดรเวอร์ระดับเคอร์เนล	คอนติ, ล็อคบิต 2.0
2024 - ปัจจุบัน	โมดูลกำจัดไวรัสแบบสำเร็จรูปในชุด RaaS	LockBit 3.0, BlackCat

ในช่วงหลายปีที่ผ่านมา ผู้โจมตีได้พัฒนาจากการใช้คำสั่งง่ายๆ ไปเป็นการแก้ไขระบบปฏิบัติการโดยตรง และในปัจจุบัน พวกเขาอาศัยชุดเครื่องมือ RaaS แบบอัตโนมัติที่รวมเอาโปรแกรมป้องกันไวรัสไว้เป็นค่าเริ่มต้น ทำให้การโจมตีเหล่านี้รวดเร็ว แนบเนียน และยากต่อการหยุดยั้งมากขึ้น

ห่วงโซ่การโจมตีของแรนซัมแวร์

โดยทั่วไป การโจมตีด้วยแรนซัมแวร์จะดำเนินการตามลำดับขั้นตอนที่วางแผนไว้ ซึ่งมักเรียกว่า "ห่วงโซ่การโจมตี" (kill chain) ซึ่งเริ่มต้นจากการเจาะระบบไปจนถึงการเข้ารหัสข้อมูลและการหยุดชะงักการทำงานในวงกว้าง เมื่อผู้โจมตีใช้เครื่องมือระดับต่ำที่ถูกกฎหมาย ห่วงโซ่นี้จะยิ่งแนบเนียนและมีประสิทธิภาพมากขึ้น แต่ละขั้นตอนได้รับการออกแบบอย่างพิถีพิถันเพื่อหลีกเลี่ยงการป้องกัน ได้รับสิทธิ์ที่สูงขึ้น และทำให้แรนซัมแวร์ทำงานสำเร็จโดยไม่ถูกตรวจพบ

• การเข้าถึงเบื้องต้น – ผู้โจมตีเข้าถึงระบบได้ผ่านทางอีเมลฟิชชิ่ง ข้อมูลประจำตัวที่ถูกขโมย หรือการใช้เครื่องมือเข้าถึงระยะไกล (RAT) ในทางที่ผิด เพื่อสร้างฐานที่มั่นแรกของพวกเขา
• การเลื่อนระดับสิทธิ์ – เครื่องมืออย่าง PowerRun หรือ YDArk ถูกนำมาใช้เพื่อเข้าถึงสิทธิ์ระดับ SYSTEM หรือระดับเคอร์เนล
• การทำให้ไวรัสเป็นกลาง – ซอฟต์แวร์รักษาความปลอดภัยถูกปิดใช้งานโดยการหยุดหรือยกเลิกการทำงานของกระบวนการป้องกันไวรัสและ EDR
• การโจรกรรมข้อมูลประจำตัว – โปรแกรมยูทิลิตี้ เช่น Mimikatz สามารถดึงรหัสผ่านและโทเค็นที่จัดเก็บไว้เพื่อส่งต่อไปยังส่วนต่างๆ ของเครือข่ายได้
• ความคงทนและการทำความสะอาด – เครื่องมืออย่าง Unlock_IT หรือ Atool_ExperModel จะลบไฟล์บันทึกและปิดใช้งานรูทีนเริ่มต้นระบบเพื่อซ่อนร่องรอยการบุกรุก
• การดำเนินการเพย์โหลด – ในที่สุด มัลแวร์เรียกค่าไถ่ก็ถูกติดตั้ง โดยจะเข้ารหัสไฟล์ต่างๆ ในขณะที่แฝงตัวไปพร้อมกับการทำงานปกติของระบบ

ขั้นตอนของการใช้เครื่องมือระดับพื้นฐานที่ถูกต้องตามกฎหมายในทางที่ผิด

โดยทั่วไปแล้ว ผู้โจมตีจะใช้กระบวนการ 2 ขั้นตอนในการใช้ประโยชน์จากสิทธิ์การดูแลระบบและเครื่องมือระดับต่ำในแคมเปญเรียกค่าไถ่ แต่ละขั้นตอนมีเป้าหมายที่ชัดเจนและใช้ชุดเครื่องมือที่แตกต่างกัน:

ขั้นตอนที่ 1: เครื่องมือระดับต่ำสำหรับการทำให้โปรแกรมป้องกันไวรัสเป็นกลางและการยกระดับสิทธิ์

ผู้โจมตีมักใช้โปรแกรมปลดล็อกไฟล์ โปรแกรมปิดกระบวนการทำงาน โปรแกรมยกระดับสิทธิ์ และโปรแกรมดัมพ์ข้อมูลประจำตัว ผสมผสานกัน โดยการใช้เครื่องมือเหล่านี้ในทางที่ผิด พวกเขาสามารถปิดการใช้งานโปรแกรมป้องกันไวรัส ลบหลักฐาน และเตรียมสภาพแวดล้อมสำหรับการโจมตีด้วยแรนซัมแวร์ได้อย่างเป็นระบบ ตารางด้านล่างได้รวบรวมเครื่องมือที่ถูกนำไปใช้ในทางที่ผิดบ่อยที่สุดไว้ในสี่หมวดหมู่หลัก

เครื่องมือ	วัตถุประสงค์ที่ถูกต้องตามกฎหมาย	สถานการณ์การโจมตี (การใช้งานที่เป็นอันตราย + บรรทัดคำสั่งเงียบ ตัวอย่าง + แผนผังทางเทคนิค)	ผลกระทบต่อความปลอดภัย
ตัวปลดล็อก IOBit	ปลดล็อกไฟล์ที่ถูกล็อก	ลบไฟล์ไบนารีของโปรแกรมป้องกันไวรัสโดยไม่แจ้งให้ทราบล่วงหน้า → IOBitUnlocker.exe /delete “C:\Program Files\AV\avp.exe” → ใช้ API NtUnlockFile เพื่อข้ามการล็อกของระบบปฏิบัติการ	ป้องกันไม่ให้โปรแกรมป้องกันไวรัสรีสตาร์ทหรืออัปเดต
TDSSkiller	การกำจัดรูทคิต	ใช้ในทางที่ผิดเพื่อยกเลิกการโหลดไดรเวอร์เคอร์เนลของโปรแกรมป้องกันไวรัส → tdsskiller.exe -silent -tdlfs → ป้องกันไม่ให้โมดูลเคอร์เนลของโปรแกรมป้องกันไวรัสโหลดซ้ำ	ลดความแข็งแกร่งของการป้องกันในระดับแกนกลาง
โปรแกรมสำรวจเคอร์เนลของ Windows (WKE)	ดีบักเกอร์เคอร์เนล	การยกเลิกการโหลดไดรเวอร์โดยตรงและการจัดการอ็อบเจ็กต์เคอร์เนลผ่าน PsSetCreateProcessNotifyRoutine → ผู้โจมตีควบคุมเคอร์เนลของระบบปฏิบัติการ	มอบสิทธิ์การควบคุมระบบปฏิบัติการอย่างเต็มรูปแบบ
เครื่องมือ_ผู้เชี่ยวชาญโมเดล	การวินิจฉัยรีจิสทรี/กระบวนการ	ลบคีย์เริ่มต้นของโปรแกรมป้องกันไวรัส → atool.exe /regdel HKLM\SOFTWARE\AVVendor\Startup → ทำลายการทำงานต่อเนื่องโดยการลบงานที่กำหนดเวลาไว้	โปรแกรมป้องกันไวรัสไม่เริ่มต้นทำงานโดยอัตโนมัติหลังจากรีบูตเครื่อง
กระบวนการแฮ็กเกอร์	ตัวจัดการงาน/ตัวดีบักเกอร์	ยุติกระบวนการทำงานของโปรแกรมป้องกันไวรัสผ่าน SeDebugPrivilege → taskkill /IM Antivirusguard.exe /F	ปิดการตรวจสอบไวรัสแบบเรียลไทม์ทันที
กระบวนการ	การยุติกระบวนการอย่างรวดเร็ว	ยุติการทำงานของโปรแกรมป้องกันไวรัสทันที → ProcessKO.exe -kill Antivirusservice.exe	ล้างการป้องกันแบบเรียลไทม์ได้ภายในไม่กี่วินาที

ขั้นตอนที่ 2: การขโมยข้อมูลประจำตัว การแก้ไขเคอร์เนล และเครื่องมือในการติดตั้งแรนซัมแวร์

เมื่อกระบวนการป้องกันไวรัสถูกทำให้เป็นกลาง ผู้โจมตีจะเปลี่ยนไปขโมยข้อมูลประจำตัว จัดการระบบป้องกันระดับเคอร์เนล และเรียกใช้มัลแวร์เรียกค่าไถ่ด้วยสิทธิ์ที่สูงขึ้น เครื่องมือเหล่านี้อันตรายกว่ามากเพราะทำงานในระดับ SYSTEM หรือระดับเคอร์เนล ทำให้ผู้โจมตีสามารถเคลื่อนที่ไปมา ปิดใช้งานการเรียกกลับด้านความปลอดภัย และเรียกใช้มัลแวร์เข้ารหัสได้โดยไม่ถูกขัดจังหวะ ตารางด้านล่างแสดงให้เห็นถึงเครื่องมือที่ถูกนำไปใช้ในทางที่ผิดบ่อยที่สุดในขั้นตอนนี้:

 

เครื่องมือ	วัตถุประสงค์ที่ถูกต้องตามกฎหมาย	สถานการณ์การโจมตี (การใช้งานที่เป็นอันตราย + ตัวอย่างคำสั่งบรรทัดคำสั่งแบบเงียบๆ + ขั้นตอนทางเทคนิค)	ผลกระทบต่อความปลอดภัย
0th3r_av5.exe	การปลอมแปลงยูทิลิตี้ผู้ดูแลระบบ	เครื่องมือที่ทำงานด้วยสคริปต์จะวนซ้ำไปเรื่อยๆ ในการตรวจสอบบริการป้องกันไวรัสอย่างเงียบๆ และทำการปิดกระบวนการต่างๆ จำนวนมากพร้อมกัน	กำจัดโปรแกรมป้องกันไวรัสหลายตัวพร้อมกัน
เอชอาร์สวอร์ด	โปรแกรมจัดการบริการ/ไดรเวอร์ (เครื่องมือผู้ดูแลระบบที่ถูกต้องตามกฎหมาย)	ปรับเปลี่ยนสถานะของบริการ/ไดรเวอร์เพื่อปิดใช้งานโปรแกรมป้องกันไวรัสและป้องกันการติดตั้งใหม่ → ตัวอย่างคำสั่งแบบเงียบ: HRSword.exe /service stop “avservice” /disable → หยุดบริการเป้าหมาย ตั้งค่า ServiceStart เป็นปิดใช้งาน และอัปเดตเส้นทางไบนารีของบริการหรือตัวเลือกการกู้คืนเพื่อป้องกันการเริ่มต้นใหม่โดยอัตโนมัติ	ป้องกันการกู้คืนและการติดตั้งบริการป้องกันไวรัสใหม่ ยืดระยะเวลาที่ผู้โจมตีสามารถอยู่ในระบบได้ และขัดขวางการแก้ไขปัญหา
วายดาร์ค	การจัดการเคอร์เนล	ปิดใช้งานการเรียกกลับของโปรแกรมป้องกันไวรัส → ydark.exe -unload Antivirusdriver.sys → ดักจับ PsSetCreateThreadNotifyRoutine เพื่อการคงอยู่แบบซ่อนเร้น	ทำลายการป้องกันของเคอร์เนล
พาวเวอร์รัน	เรียกใช้แอปในฐานะ SYSTEM	เรียกใช้เพย์โหลดแรนซัมแวร์ในระดับ SYSTEM → PowerRun.exe ransomware.exe	ข้ามข้อจำกัดระดับผู้ใช้ และได้รับสิทธิ์เต็มที่
ปลดล็อกไอที	ปลดล็อกไฟล์/รีจิสทรี	ลบไฟล์บันทึกของโปรแกรมป้องกันไวรัส → UnlockIT.exe /unlock HKLM\Security\AVLogs → ลบรายการรีจิสทรีและร่องรอยการตรวจสอบทางนิติวิทยาศาสตร์	ขัดขวางการสืบสวนตามบันทึก
เครื่องมือแฮ็ก AuKill	ตัวลบล้างไวรัส	สั่งปิดกระบวนการ Antivirus/EDR โดยตรง → Antiviruskiller.exe –kill –all	สร้างจุดบอดสำหรับการแพร่กระจายของแรนซัมแวร์
Mimikatz	เครื่องมือดัมพ์ข้อมูลประจำตัว	ดึงข้อมูลรับรองผู้ดูแลระบบที่แคชไว้ → mimikatz.exe privilege::debug sekurlsa::logonpasswords → อ่านหน่วยความจำ LSASS	ช่วยให้สามารถแพร่กระจายข้อมูลไปยังส่วนอื่นๆ ได้โดยการขโมยข้อมูลประจำตัว

ตัวอย่างแคมเปญจริง: ตั้งแต่การกำจัดโปรแกรมป้องกันไวรัสไปจนถึงมัลแวร์เรียกค่าไถ่:

ผู้ก่อเหตุแรนซัมแวร์มักใช้ยูทิลิตี้ระบบระดับต่ำที่ดูเหมือนถูกต้องตามกฎหมายเพื่อปิดการใช้งานโปรแกรมป้องกันไวรัส ยกระดับสิทธิ์ และสร้างสภาพแวดล้อมที่เหมาะสมสำหรับการเรียกใช้เพย์โหลด ด้านล่างนี้คือภาพรวมของเครื่องมือที่ถูกนำไปใช้ในทางที่ผิดอย่างแพร่หลายและแคมเปญแรนซัมแวร์ที่พบเห็นการใช้เครื่องมือเหล่านี้:

 

เครื่องมือ	แคมเปญ Ransomware ที่เกี่ยวข้อง
ตัวปลดล็อก IOBit	LockBit Black 3.0, Weaxor, TRINITY, Proton / Shinra, Mimic, Makop, Dharma, Mallox, Phobos
กระบวนการแฮ็กเกอร์	โฟบอส, มาคอป, ธรรมะ, โกลบอิมโพสเตอร์ 2.0
โปรแกรมสำรวจเคอร์เนลของ Windows (WKE)	ธรรมะ (ตระกูลซีซาร์), ทรินิตี้, เมดูซ่าล็อกเกอร์
เอชอาร์สวอร์ด	Phobos, GlobeImposter 2.0, Makop
วายดาร์ค	วีแอกซอร์, โฟบอส
TDSSkiller	blackit
เครื่องมือ (Atool_ExperModel)	ตรีโกณ
กระบวนการ	มาคอป
0th3r_av5.exe	เมดูซ่าล็อคเกอร์
ปลดล็อกไอที	บริษัทเป้าหมาย
Mimikatz	INC Ransomware

 

การทำแผนที่ TTP ของผู้คุกคาม (MITRE ATT&CK)

การโจมตีด้วยแรนซัมแวร์ทุกครั้งจะมีรูปแบบที่แน่นอน และผู้โจมตีมักจะไม่กระทำการโดยสุ่ม พวกเขาเลือกใช้เครื่องมือและเทคนิคที่สอดคล้องกับเป้าหมายของตนในแต่ละขั้นตอนของการโจมตีอย่างระมัดระวัง การนำการกระทำเหล่านี้ไปวิเคราะห์ด้วยกรอบงาน MITRE ATT&CK จะช่วยให้เราเข้าใจได้ดียิ่งขึ้นว่ายูทิลิตี้ระดับต่ำที่ถูกต้องตามกฎหมายถูกนำไปใช้ในทางที่ผิดได้อย่างไร

ตารางด้านล่างแสดงให้เห็นว่าผู้โจมตีดำเนินการอย่างไร ตั้งแต่การยกระดับสิทธิ์ไปจนถึงการปิดใช้งานระบบป้องกัน ขโมยข้อมูลประจำตัว และสุดท้ายคือการเรียกใช้มัลแวร์เรียกค่าไถ่ ทั้งหมดนี้เกิดขึ้นในขณะที่ใช้เครื่องมือที่เชื่อถือได้ซึ่งไม่ได้ออกแบบมาเพื่อการก่ออาชญากรรม แผนผังนี้ช่วยให้ผู้ป้องกันมองเห็นภาพรวมของกลยุทธ์การโจมตีได้ง่ายขึ้น และระบุโอกาสในการตรวจจับหรือขัดขวางการบุกรุกก่อนที่จะเกิดความเสียหาย

 

ระยะ	เทคนิค	รหัสย่อยเทคนิค MITRE ATT&CK	เครื่องมือ มีส่วนร่วม	กิจกรรม
การเลื่อนระดับสิทธิ์	กลไกการควบคุมการยกระดับการใช้งานที่ไม่เหมาะสม	T1548.002	พาวเวอร์รัน, WKE, YDArk	การเข้าถึงระบบ/เคอร์เนล
การหลบเลี่ยงการป้องกัน	ปิดใช้งานเครื่องมือรักษาความปลอดภัย	T1562.001	AuKill, IOBit Unlocker, ProcessKO, Process Hacker	ข้ามการทำงานของโปรแกรมป้องกันไวรัส/EDR
การเข้าถึงข้อมูลประจำตัว	การทุ่มตลาดข้อมูลประจำตัวของระบบปฏิบัติการ	T1003.001	Mimikatz	การเคลื่อนไหวด้านข้าง
การติดตา	แก้ไขรีจิสทรี	T1112	Unlock_IT, Atool_ExperModel	รักษาสถานะปิดใช้งานโปรแกรมป้องกันไวรัส
การหลบเลี่ยงการป้องกัน	การลบไฟล์ / การล้างบันทึก	T1070.004	ปลดล็อกไอที	กำจัดหลักฐานทางนิติวิทยาศาสตร์
การค้นพบ	การค้นพบบริการระบบ	T1082	โปรเซสแฮ็กเกอร์, พาวเวอร์รัน	ระบุกระบวนการป้องกันไวรัสที่กำลังทำงานอยู่
เรื่องราว	ยับยั้งการกู้คืนระบบ	T1490	ProcessKO, Unlock_IT	ตัวเลือกการกู้คืนบล็อก
เรื่องราว	ข้อมูลที่เข้ารหัสเพื่อผลกระทบ	T1486	เครื่องมือทั้งหมด	เตรียมเพย์โหลดแรนซัมแวร์

แนวโน้มที่เกิดขึ้นใหม่และภัยคุกคามในอนาคต

มัลแวร์เรียกค่าไถ่กำลังเร็วขึ้น ฉลาดขึ้น และตรวจจับได้ยากขึ้น แนวโน้มสำคัญที่กำลังเกิดขึ้น ได้แก่:

• RaaS Antivirus Killers – สคริปต์สำเร็จรูปในชุดเครื่องมือแรนซัมแวร์ที่ออกแบบมาเพื่อปิดการใช้งานโปรแกรมป้องกันไวรัสโดยอัตโนมัติ
• การยกระดับระดับเคอร์เนล – ผู้โจมตีใช้ช่องโหว่ของไดรเวอร์เพื่อควบคุมระบบจากระดับสูงอย่างลับๆ
• โซ่เครื่องมืออเนกประสงค์ – โปรแกรมยูทิลิตี้อย่าง PowerRun, Unlock_IT และ AuKill ถูกนำมาใช้ร่วมกันเพื่อข้ามผ่านระบบรักษาความปลอดภัยได้อย่างน่าเชื่อถือ
• เทคนิคที่ใช้ปัญญาประดิษฐ์ช่วย – AI ช่วยเลือกวิธีการกำจัดศัตรูพืชที่มีประสิทธิภาพสูงสุดสำหรับแต่ละสภาพแวดล้อมโดยอัตโนมัติ
• การโจมตีห่วงโซ่อุปทาน – เครื่องมือบริหารจัดการที่แฝงด้วยมัลแวร์และการอัปเดตซอฟต์แวร์ปลอมสร้างช่องทางการติดเชื้อใหม่
• การกำหนดเป้าหมายปลายทางบนคลาวด์ – โครงสร้างพื้นฐานคลาวด์แบบไฮบริดและเครื่องมือรักษาความปลอดภัยของระบบเหล่านี้มีความเสี่ยงต่อการโจมตีที่ซับซ้อนมากขึ้นเรื่อยๆ

แนวโน้มเหล่านี้บ่งชี้ว่าแรนซัมแวร์กำลังพัฒนาไปสู่การทำงานที่เป็นอัตโนมัติ แม่นยำ และหลบเลี่ยงการตรวจจับได้มากขึ้น ทำให้กลยุทธ์การป้องกันเชิงรุกเป็นสิ่งจำเป็นอย่างยิ่ง

สรุป ความน่าเชื่อถือของ Olymp Trade? Seqrite ป้องกันตนเองจากกิจกรรมเหล่านี้

Seqrite นำเสนอระบบป้องกันหลายชั้นเพื่อรับมือกับแรนซัมแวร์ที่ซับซ้อนและกลยุทธ์การทำให้โปรแกรมป้องกันไวรัสใช้งานไม่ได้ผ่านทาง Seqrte EPP:

• การป้องกันไวรัส - ตรวจจับและบล็อกโปรแกรมติดตั้งที่แฝงด้วยมัลแวร์ สคริปต์ที่เป็นอันตราย และมัลแวร์เรียกค่าไถ่ ก่อนที่จะสามารถทำงานได้
• ระบบป้องกันไวรัสอัตโนมัติ – ป้องกันผู้โจมตีจากการบังคับปิดหรือถอนการติดตั้งซอฟต์แวร์ป้องกันไวรัส
• การตรวจจับพฤติกรรม – ตรวจสอบการกระทำที่น่าสงสัย เช่น การยุติกระบวนการทำงานจำนวนมาก การแก้ไขเปลี่ยนแปลงรีจิสทรี
• การป้องกันแรนซัมแวร์ – ตรวจจับกิจกรรมการเข้ารหัสไฟล์ที่ผิดปกติแบบเรียลไทม์ หยุดยั้งมัลแวร์เรียกค่าไถ่ก่อนที่จะแพร่กระจาย
• การควบคุมแอปพลิเคชัน – จำกัดการทำงานของโปรแกรมยูทิลิตี้และเครื่องมือบริหารจัดการที่ไม่ได้รับอนุญาต เพื่อป้องกันการใช้งานในทางที่ผิด คุณสมบัติเหล่านี้ร่วมกันให้การป้องกันทั้งเชิงรุกและเชิงรับ ทำให้ปลายทางปลอดภัยแม้กระทั่งจากการโจมตีขั้นสูงหลายขั้นตอน

เราติดตามสถานการณ์ภัยคุกคามอย่างต่อเนื่องและค้นหาโปรแกรมที่ถูกนำไปใช้ในทางที่ผิดรูปแบบใหม่หรือที่ถูกดัดแปลงอย่างเชิงรุก พร้อมทั้งอัปเดตโมดูลการตรวจจับและกฎเกณฑ์พฤติกรรมอย่างรวดเร็วเพื่อรักษาประสิทธิภาพในการครอบคลุม

คำแนะนำสำหรับการตรวจจับและการตอบสนองต่อเหตุการณ์ภัยคุกคามขั้นสูง

การป้องกันภัยคุกคามจากแรนซัมแวร์สมัยใหม่ต้องอาศัยการเฝ้าระวังเชิงรุกและกลยุทธ์การตอบสนองที่เป็นระบบ:

• การตรวจสอบการยุติกระบวนการ – ตรวจจับการยุติการทำงานของโปรแกรมป้องกันไวรัสหรือ EDR จำนวนมากอย่างผิดปกติ
• การตรวจสอบทะเบียนและไฟล์ – ติดตามการเปลี่ยนแปลงของคีย์รีจิสทรี บันทึก และรายการเริ่มต้นระบบที่เกี่ยวข้องกับโปรแกรมป้องกันไวรัส
• การวิเคราะห์พฤติกรรม – ระบุการทำงานระดับ SYSTEM ที่ผิดปกติและการแก้ไขระดับเคอร์เนล
• การตรวจจับการขโมยข้อมูลประจำตัว – ตรวจสอบรูปแบบการเข้าถึง LSASS และแหล่งเก็บข้อมูลประจำตัวอื่นๆ
• การควบคุมแอปพลิเคชัน – จำกัดการใช้งานเฉพาะเครื่องมือบริหารจัดการที่ได้รับอนุญาต เพื่อป้องกันการใช้งานในทางที่ผิด
• คู่มือการเล่นและระบบแจ้งเตือน – ตั้งค่าการแจ้งเตือนอัตโนมัติสำหรับลำดับการโจมตี เช่น การยกระดับสิทธิ์ → การยุติการทำงานของโปรแกรมป้องกันไวรัส → การเปลี่ยนแปลงรีจิสทรี/บันทึก → การเรียกใช้แรนซัมแวร์
• การแยกปลายทาง – แยกอุปกรณ์ที่ได้รับผลกระทบอย่างรวดเร็วเพื่อควบคุมภัยคุกคามและป้องกันการแพร่กระจายไปยังส่วนอื่น ๆ

ขั้นตอนเหล่านี้ช่วยให้องค์กรตรวจจับการโจมตีที่ซับซ้อนได้ตั้งแต่เนิ่นๆ และตอบสนองได้อย่างเป็นระบบและทันท่วงที ซึ่งจะช่วยลดความเสี่ยงที่จะเกิดการหยุดชะงักในวงกว้าง

แนวทางปฏิบัติและคำแนะนำที่ดีที่สุดด้านความปลอดภัย

การใช้มาตรการรักษาความปลอดภัยเชิงรุกสามารถลดความเสี่ยงจากมัลแวร์เรียกค่าไถ่และการโจมตีขั้นสูงได้อย่างมาก:

• บังคับใช้ MFA สำหรับผู้ดูแลระบบ – กำหนดให้ใช้การตรวจสอบสิทธิ์แบบหลายปัจจัยเพื่อป้องกันบัญชีผู้ใช้ที่มีสิทธิ์พิเศษจากการถูกโจมตี
• เปิดใช้งานการอนุญาตแอปพลิเคชัน – บล็อกไฟล์ไบนารีที่ไม่ได้รับการอนุมัติหรือตรวจสอบ เพื่อหยุดยั้งเครื่องมือที่เป็นอันตรายก่อนที่จะสามารถทำงานได้
• ตรวจสอบเหตุการณ์การยุติ – ตรวจจับและแจ้งเตือนอย่างต่อเนื่องเมื่อพบคำสั่งที่น่าสงสัย เช่น sc stop, net stop หรือ taskkill
• จำกัดการใช้งานเครื่องมือระดับต่ำ – จำกัดการใช้งานเฉพาะเครื่องมือบริหารจัดการที่สำคัญต่อธุรกิจและผ่านการตรวจสอบแล้วเท่านั้น
• การเปลี่ยนแปลงทะเบียนตรวจสอบ – ติดตามและแจ้งเตือนการเปลี่ยนแปลงคีย์รีจิสทรีที่เกี่ยวข้องกับโปรแกรมป้องกันไวรัส, EDR หรือการตั้งค่าการเริ่มต้นระบบ
• ให้ความรู้แก่ทีม SOC – ฝึกอบรมผู้เชี่ยวชาญด้านความปลอดภัยให้สามารถตรวจจับความพยายามที่แยบยลในการหลีกเลี่ยงหรือทำให้ระบบป้องกันใช้งานไม่ได้
• แยกยูทิลิตี้การบริหาร – ให้สิทธิ์การเข้าถึงเครื่องมือที่สำคัญผ่านทางกล่องเชื่อมต่อ (jump box) ที่ปลอดภัยและมีการตรวจสอบเท่านั้น

การปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดเหล่านี้จะช่วยให้องค์กรสามารถควบคุมระบบที่สำคัญได้อย่างมีประสิทธิภาพ ตรวจจับกิจกรรมที่น่าสงสัยได้ตั้งแต่เนิ่นๆ และลดผลกระทบจากการโจมตีที่อาจเกิดขึ้นได้

สรุป

เครื่องมือบริหารจัดการระดับต่ำ ซึ่งเดิมออกแบบมาเพื่อเพิ่มประสิทธิภาพการดำเนินงานด้านไอที กลับถูกนำมาใช้เป็นอาวุธในการโจมตีด้วยแรนซัมแวร์มากขึ้นเรื่อยๆ ผู้โจมตีใช้ประโยชน์จากเครื่องมือเหล่านี้เพื่อปิดการใช้งานโปรแกรมป้องกันไวรัสและระบบป้องกัน EDR รักษาการทำงานอย่างลับๆ และเตรียมระบบสำหรับการเข้ารหัสข้อมูลขนาดใหญ่โดยไม่ให้ผู้โจมตีรู้ตัว สิ่งที่เคยเป็นเครื่องมือที่น่าเชื่อถือกลับกลายเป็นเครื่องมือที่อันตรายที่สุดในการโจมตีทางไซเบอร์

ข้อสรุปสำคัญนั้นชัดเจน: เครื่องมือที่ใช้งานได้สองวัตถุประสงค์นั้นเป็นความเสี่ยงร้ายแรงต่อความปลอดภัยขององค์กร การต่อสู้กับภัยคุกคามนี้จำเป็นต้องมีการป้องกันหลายชั้นที่ผสานจุดแข็งของ Quick Heal / Seqrite การป้องกันด้วยการกำกับดูแลและควบคุมอย่างเข้มงวดเหนือเครื่องมือบริหารจัดการ โดยการนำเครื่องมือเหล่านี้กลับมาใช้เป็นพันธมิตรที่น่าเชื่อถือของผู้ป้องกัน แทนที่จะเป็นอาวุธของผู้โจมตี องค์กรต่างๆ สามารถปฏิเสธความได้เปรียบในการลอบโจมตีของฝ่ายตรงข้าม และปกป้องโครงสร้างพื้นฐานที่สำคัญจากการโจมตีด้วยแรนซัมแวร์สมัยใหม่ได้

เราติดตามสถานการณ์ภัยคุกคามอย่างต่อเนื่อง ค้นหาเครื่องมือรูปแบบใหม่หรือที่ได้รับการดัดแปลงอย่างเชิงรุก และป้อนข้อมูลที่ค้นพบเหล่านั้นเข้าสู่โมดูลการตรวจจับของเราโดยตรง เพื่อให้มั่นใจว่าการครอบคลุมของเราพัฒนาไปตามการเปลี่ยนแปลงกลยุทธ์ของผู้โจมตี

Authors

ผู้เขียน: มาติน ทัดวี
ผู้เขียนร่วม: สุมิต ปาทิล