ผู้ที่ตกเป็นเหยื่อของแรนซัมแวร์พุ่งสูงขึ้นเนื่องจากผู้คุกคามหันไปหาประโยชน์จาก Zero-Day

จำนวนองค์กรที่ตกเป็นเหยื่อของการโจมตีด้วยแรนซัมแวร์เพิ่มขึ้น 143% ระหว่างไตรมาสแรกของปี 2022 ถึงไตรมาสแรกของปีนี้ เนื่องจากผู้โจมตีใช้ประโยชน์จากช่องโหว่แบบ Zero-day และข้อบกพร่องแบบวันเดียวมากขึ้นเรื่อยๆ เพื่อเจาะเข้าสู่เครือข่ายเป้าหมาย

ในการโจมตีหลายครั้ง ผู้ก่อภัยคุกคามไม่ได้กังวลมากเท่ากับการเข้ารหัสข้อมูลขององค์กรที่ตกเป็นเหยื่อ กลับมุ่งแต่จะขโมยข้อมูลที่ละเอียดอ่อนและขู่กรรโชกเหยื่อด้วยการขู่ว่าจะขายหรือรั่วไหลข้อมูลให้ผู้อื่น กลยุทธ์นี้ทำให้แม้แต่ผู้ที่มีกระบวนการสำรองข้อมูลและกู้คืนข้อมูลที่มีประสิทธิภาพก็ถอยกลับเข้ามุม

คลื่นในผู้ที่ตกเป็นเหยื่อ

นักวิจัยที่ Akamai ค้นพบแนวโน้ม เมื่อเร็วๆ นี้ พวกเขาวิเคราะห์ข้อมูลที่รวบรวมจากไซต์รั่วไหลของกลุ่มแรนซัมแวร์ 90 กลุ่ม ไซต์ที่รั่วไหลคือตำแหน่งที่กลุ่มแรนซัมแวร์มักเผยแพร่รายละเอียดเกี่ยวกับการโจมตี เหยื่อ และข้อมูลใดๆ ที่พวกเขาอาจเข้ารหัสหรือกรองออก

การวิเคราะห์ของ Akamai แสดงให้เห็นว่าแนวคิดยอดนิยมหลายประการเกี่ยวกับการโจมตีของแรนซัมแวร์นั้นไม่เป็นความจริงอีกต่อไป หนึ่งในสิ่งที่สำคัญที่สุดตามที่บริษัทกล่าวคือการเปลี่ยนจากฟิชชิงเป็นเวกเตอร์การเข้าถึงเริ่มต้นเป็นการแสวงประโยชน์จากช่องโหว่ Akamai พบว่าผู้ให้บริการแรนซั่มแวร์รายใหญ่หลายรายมุ่งเน้นไปที่การได้มาซึ่งช่องโหว่ซีโร่เดย์ ไม่ว่าจะผ่านการวิจัยภายในองค์กรหรือโดยการจัดหาจากแหล่งที่มาของตลาดสีเทา เพื่อใช้ในการโจมตี

ตัวอย่างหนึ่งที่โดดเด่นคือกลุ่ม Cl0P ransomware ซึ่งใช้ช่องโหว่ SQL-injection แบบ zero-day ในซอฟต์แวร์ GoAnywhere ของ Fortra (CVE-2023-0669) เมื่อต้นปีนี้เพื่อบุกเข้าไปในบริษัทที่มีชื่อเสียงมากมาย ในเดือนพฤษภาคม ผู้คุกคามคนเดียวกันนี้ใช้บั๊กแบบ Zero-day ที่ค้นพบในทางที่ผิด — คราวนี้ในแอปพลิเคชันถ่ายโอนไฟล์ MOVEIt ของ Progress Software (CVE-2023-34362) — เพื่อแทรกซึมเข้าไปในองค์กรหลักหลายสิบแห่งทั่วโลก Akamai พบว่าจำนวนเหยื่อของ Cl0p เพิ่มขึ้นเก้าเท่าระหว่างไตรมาสแรกของปี 2022 ถึงไตรมาสแรกของปีนี้ หลังจากที่เริ่มใช้ประโยชน์จากบั๊กแบบ Zero-day

แม้ว่าการใช้ช่องโหว่ซีโร่เดย์จะไม่ใช่เรื่องใหม่ แต่แนวโน้มที่เกิดขึ้นในหมู่แรนซัมแวร์ที่จะใช้ช่องโหว่เหล่านี้ในการโจมตีขนาดใหญ่นั้นมีความสำคัญมาก Akamai กล่าว

Eliad Kimhy หัวหน้าทีม CORE ของการวิจัยความปลอดภัยของ Akamai กล่าวว่า "สิ่งที่น่าเป็นห่วงอย่างยิ่งคือการพัฒนาช่องโหว่แบบ Zero-day ภายในบริษัท “เราเห็นสิ่งนี้กับ Cl0p กับการโจมตีครั้งใหญ่ XNUMX ครั้งล่าสุดของพวกเขา และเราคาดว่ากลุ่มอื่นๆ จะทำตามอย่างเหมาะสมและใช้ประโยชน์จากทรัพยากรของพวกเขาเพื่อซื้อและแหล่งที่มาของช่องโหว่ประเภทเหล่านี้”

ในกรณีอื่นๆ แรนซั่มแวร์ขนาดใหญ่เช่น LockBit และ ALPHV (หรือที่รู้จักในชื่อ BlackCat) ก่อให้เกิดความเสียหายโดยการกระโดดไปที่ช่องโหว่ที่เพิ่งเปิดเผยก่อนที่องค์กรจะมีโอกาสใช้การแก้ไขของผู้จำหน่ายสำหรับพวกเขา ตัวอย่างของช่องโหว่ “วัน-วัน” ดังกล่าว ได้แก่ ช่องโหว่ PaperCut ของเดือนเมษายน 2023 (CVE-2023-27350 และ CVE-2023-27351) และช่องโหว่ในเซิร์ฟเวอร์ ESXi ของ VMware ที่ผู้ดำเนินการแคมเปญ ESXiArgs ใช้ประโยชน์

เปลี่ยนจากการเข้ารหัสเป็นการกรองข้อมูล

Akamai ยังพบว่าผู้ให้บริการแรนซัมแวร์บางราย เช่น ผู้ที่อยู่เบื้องหลังแคมเปญ BianLian ได้เปลี่ยนจากการเข้ารหัสข้อมูลทั้งหมด เพื่อขู่กรรโชกผ่านการโจรกรรมข้อมูล. เหตุผลที่สวิตช์มีความสำคัญคือ การเข้ารหัสข้อมูลทำให้องค์กรต่างๆ มีโอกาสดึงข้อมูลที่ถูกล็อกกลับคืนมาได้ หากมีกระบวนการสำรองและกู้คืนข้อมูลที่มีประสิทธิภาพเพียงพอ ด้วยการขโมยข้อมูล องค์กรไม่มีโอกาสนั้นและต้องจ่ายเงินหรือเสี่ยงที่ผู้คุกคามจะเปิดเผยข้อมูลของตนต่อสาธารณะ หรือแย่กว่านั้นคือขายข้อมูลให้ผู้อื่น

Kimhy กล่าวว่าเทคนิคการขู่กรรโชกที่หลากหลายนั้นมีความโดดเด่น “การกรองข้อมูลเริ่มต้นจากการใช้ประโยชน์เพิ่มเติมซึ่งในทางรองจากการเข้ารหัสไฟล์ในทางใดทางหนึ่ง” Kimhy ตั้งข้อสังเกต “ทุกวันนี้เราเห็นว่ามันถูกใช้เป็นเครื่องมือหลักในการขู่กรรโชก ซึ่งหมายความว่าการสำรองไฟล์อาจไม่เพียงพอ”

เหยื่อส่วนใหญ่ในชุดข้อมูลของ Akamai ซึ่งจริงๆ แล้ว 65% เป็นธุรกิจขนาดเล็กถึงขนาดกลางที่มีรายได้สูงถึง 50 ล้านดอลลาร์ องค์กรขนาดใหญ่ซึ่งมักถูกมองว่าเป็นเป้าหมายของแรนซัมแวร์ที่ใหญ่ที่สุด แท้จริงแล้วมีเพียง 12% ของเหยื่อเท่านั้น บริษัทผู้ผลิตประสบกับการโจมตีในอัตราร้อยละที่ไม่สมส่วน ตามมาด้วยหน่วยงานด้านการดูแลสุขภาพและบริษัทที่ให้บริการทางการเงิน อย่างมีนัยสำคัญ Akamai พบว่าองค์กรที่ประสบกับการโจมตีแรนซัมแวร์มีความเป็นไปได้สูงมากที่จะประสบกับการโจมตีครั้งที่สองภายในสามเดือนหลังจากการโจมตีครั้งแรก

สิ่งสำคัญคือต้องเน้นย้ำว่าการฟิชชิ่งยังคงมีความสำคัญมากในการป้องกัน Kimhy กล่าว ในขณะเดียวกัน องค์กรจำเป็นต้องจัดลำดับความสำคัญในการแพตช์ช่องโหว่ที่เพิ่งเปิดเผย เขากล่าวเสริมว่า “[T] คำแนะนำเดียวกันกับที่เราเคยทำมายังคงนำไปใช้ได้ เช่น การทำความเข้าใจศัตรู พื้นผิวของภัยคุกคาม เทคนิคที่ใช้ การสนับสนุน และพัฒนา และโดยเฉพาะอย่างยิ่งผลิตภัณฑ์ กระบวนการ และบุคลากรใดบ้างที่คุณต้องพัฒนาเพื่อที่จะ หยุดการโจมตีแรนซัมแวร์สมัยใหม่”

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• PlatoData.Network Vertical Generative Ai เพิ่มพลังให้กับตัวเอง เข้าถึงได้ที่นี่.
• เพลโตไอสตรีม. Web3 อัจฉริยะ ขยายความรู้ เข้าถึงได้ที่นี่.
• เพลโตESG. ยานยนต์ / EVs, คาร์บอน, คลีนเทค, พลังงาน, สิ่งแวดล้อม แสงอาทิตย์, การจัดการของเสีย. เข้าถึงได้ที่นี่.
• BlockOffsets การปรับปรุงการเป็นเจ้าของออฟเซ็ตด้านสิ่งแวดล้อมให้ทันสมัย เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/threat-intelligence/ransomware-victims-surge-as-threat-actors-pivot-to-zero-day-exploits