S3 Ep125: เมื่อฮาร์ดแวร์รักษาความปลอดภัยมีช่องโหว่ด้านความปลอดภัย [เสียง + ข้อความ]

ไม่มีเครื่องเล่นเสียงด้านล่าง? ฟัง โดยตรง บนซาวด์คลาวด์

ดั๊ก.   แรนซัมแวร์ แรนซัมแวร์เพิ่มเติม และช่องโหว่ TPM

ทั้งหมดนั้นและอีกมากมายในพอดแคสต์ Naked Security

[โมเด็มดนตรี]

ยินดีต้อนรับสู่พอดคาสต์ทุกคน

ฉัน Doug Aamoth; เขาคือพอล ดักคลิน

พอล วันนี้คุณเป็นอย่างไรบ้าง

---

เป็ด.   หิมะและลูกเห็บ, ดั๊ก

ดังนั้นมันจึงเป็นการนั่งรถเข้าไปในสตูดิโออย่างเย็นชา

ฉันใช้คำพูดทางอากาศ… ไม่ใช่สำหรับ “ขี่” สำหรับ “สตูดิโอ”

มันไม่ใช่สตูดิโอจริงๆ แต่เป็นสตูดิโอ *ของฉัน*!

พื้นที่ลับเล็กๆ ที่ Sophos HQ สำหรับบันทึกพอดแคสต์

และที่นี่ก็น่ารักและอบอุ่น ดั๊ก!

---

ดั๊ก.   เอาล่ะ ถ้าใครฟังอยู่… แวะไปเที่ยวกัน พอลยินดีที่จะพาคุณชมสถานที่

และฉันตื่นเต้นมากสำหรับ สัปดาห์นี้ในประวัติศาสตร์เทคโนโลยี, พอล.

สัปดาห์นี้ในวันที่ 06 มีนาคม พ.ศ. 1992 ไวรัสบูทเซกเตอร์ของมิเกลันเจโลซึ่งอยู่เฉยๆ ได้กลับมามีชีวิตอีกครั้ง โดยเขียนทับเซ็กเตอร์ของฮาร์ดดิสก์ของเหยื่อ

แน่นอนว่านี่หมายถึงจุดจบของโลกสำหรับคอมพิวเตอร์ทุกหนทุกแห่ง เมื่อสื่อต่าง ๆ สะดุดตัวเองเพื่อเตือนผู้คนถึงหายนะที่กำลังจะมาถึง?

อย่างไรก็ตาม จากรายงานการประชุม Virus Bulletin ในปี 1994 และฉันอ้างว่า:

พอล ดั๊กลิน นักพูดที่กระตือรือร้นและให้ความบันเทิง เชื่อมั่นว่าในหลาย ๆ ด้าน ความพยายามที่จะให้ความรู้โดยทั้งองค์กรและสื่อได้พลาดเป้าหมาย.

พอล คุณอยู่ที่นั่น ผู้ชาย!

---

เป็ด.   ฉันคือดั๊ก

แดกดันวันที่ 6 มีนาคมเป็นวันที่ Michelangelo ไม่ใช่ไวรัส

วันอื่น ๆ มันแพร่กระจายอย่างรวดเร็วเหมือนไฟป่า

แต่เมื่อวันที่ 06 มีนาคม มันขึ้นว่า “อ๊ะ! เป็นวันน้ำหนักบรรทุก!”

และในฮาร์ดดิสก์ มันจะผ่าน 256 แทร็กแรก 4 เฮดแรก 17 เซกเตอร์ต่อแทร็ก… ซึ่งค่อนข้างจะเป็น “มุมซ้ายล่าง” ของทุกหน้าของฮาร์ดดิสก์ส่วนใหญ่ที่ใช้งานอยู่ ในเวลานั้น.

ดังนั้นจึงต้องใช้เนื้อที่ประมาณ 8.5MByte จากฮาร์ดดิสก์ของคุณ

ไม่เพียงแตกไฟล์ข้อมูลจำนวนมากเท่านั้น แต่ยังทำลายสิ่งต่างๆ เช่น ตารางการจัดสรรไฟล์อีกด้วย

คุณจึงสามารถกู้คืนข้อมูลบางอย่างได้ แต่มันเป็นความพยายามครั้งใหญ่และไม่แน่นอนสำหรับอุปกรณ์ทุกเครื่องที่คุณต้องการลองและกู้คืน

คอมพิวเตอร์เครื่องที่สองทำงานหนักพอๆ กับเครื่องแรก คอมพิวเตอร์เครื่องที่สามพอๆ กับเครื่องที่สอง... ยากมากที่จะทำให้เป็นอัตโนมัติ

โชคดีที่อย่างที่คุณพูด มันถูกโฆษณามากเกินไปในสื่อ

อันที่จริง ความเข้าใจของฉันคือไวรัสได้รับการวิเคราะห์ครั้งแรกโดย Roger Riordan ผู้ล่วงลับ ซึ่งเป็นนักวิจัยด้านต่อต้านไวรัสที่มีชื่อเสียงของออสเตรเลียในช่วงปี 1990 และเขาพบมันในเดือนกุมภาพันธ์ 1991

และเขากำลังคุยกับเพื่อนของเขา ซึ่งฉันเชื่อในเรื่องนี้ และเพื่อนของเขาก็พูดว่า "โอ้ วันที่ 6 มีนาคม วันเกิดของฉัน คุณรู้หรือไม่ว่านี่เป็นวันเกิดของ Michelangelo ด้วย”

เพราะผมเดาว่าคนที่เกิดวันที่ 6 มีนาคมอาจจะเพิ่งรู้ว่า…

แน่นอนว่ามันเป็นชื่อที่อินเทรนด์และเท่มาก… และอีกหนึ่งปีต่อมา เมื่อมันมีโอกาสแพร่กระจาย และอย่างที่คุณพูด มักจะนอนอยู่เฉยๆ นั่นคือตอนที่มันกลับมา

มันไม่ได้โจมตีคอมพิวเตอร์หลายล้านเครื่องอย่างที่สื่อดูเหมือนจะกลัว และอย่างที่ John McAfee ผู้ล่วงลับชอบพูด แต่นั่นเป็นเรื่องที่สบายใจสำหรับใครก็ตามที่โดนโจมตี เพราะคุณเกือบจะสูญเสียทุกอย่างไปแล้ว

ไม่ใช่ทุกอย่าง แต่คุณจะต้องเสียเงินเล็กน้อยเพื่อให้ได้บางส่วนกลับมา… อาจจะไม่สมบูรณ์ อาจจะไม่น่าเชื่อถือ

และสิ่งที่แย่เกี่ยวกับมันคือเพราะมันแพร่กระจายบนฟล็อปปี้ดิสก์ และเพราะมันแพร่กระจายในบูตเซกเตอร์ และเนื่องจากในสมัยนั้นคอมพิวเตอร์เกือบทุกเครื่องจะบูตจากฟลอปปีไดรฟ์หากมีดิสก์อยู่ในนั้น และเนื่องจากแม้แต่ดิสเก็ตต์เปล่าก็มีบูตเซกเตอร์และโค้ดใดๆ ในนั้นก็จะรัน แม้ว่าทั้งหมดนั้นจะทำให้เกิดข้อผิดพลาด “ดิสก์ที่ไม่ใช่ระบบหรือดิสก์ ให้แทนที่และลองอีกครั้ง”...

…ถึงตอนนั้นก็สายเกินไป

ดังนั้น หากคุณเพิ่งทิ้งดิสก์ไว้ในไดรฟ์โดยไม่ได้ตั้งใจ เมื่อคุณเปิดเครื่องในเช้าวันถัดไป ตามเวลาที่คุณเห็นข้อความว่า “Non-system disk or disk error” และคิดว่า “โอ้ ฉันจะเปิดฟล็อปปี้ดิสก์ ออกและบูตเครื่องใหม่จากฮาร์ดไดรฟ์”...

…ในตอนนั้น ไวรัสได้อยู่ในฮาร์ดดิสก์ของคุณแล้ว และมันจะแพร่กระจายไปยังฟล็อปปี้ดิสก์ทุกแผ่นที่คุณมี

ดังนั้น แม้ว่าคุณจะมีไวรัสและลบมันออกไปแล้วก็ตาม หากคุณไม่ได้ค้นหาแผ่นฟล็อปปี้ดิสก์ที่เก็บไว้ทั้งหมดของบริษัท ก็จะมี Typhoid Mary อยู่ข้างนอกนั่นที่สามารถนำไวรัสกลับมาใช้ใหม่ได้ทุกเมื่อ

---

ดั๊ก.   มีเรื่องราวที่น่าสนใจ

ฉันดีใจที่คุณมาช่วยทำความสะอาดสักหน่อย!

และขอทำความสะอาดอย่างอื่นเล็กน้อย

โมดูลแพลตฟอร์มที่เชื่อถือได้นี้… บางครั้งก็เป็นที่ถกเถียงกัน

จะเกิดอะไรขึ้นเมื่อรหัสที่จำเป็นในการปกป้องเครื่องของคุณคือตัวมันเอง อ่อนแอ, พอล?

การรักษาความปลอดภัยที่ร้ายแรง: ช่องโหว่ TPM 2.0 – ข้อมูลที่มีความปลอดภัยสูงของคุณตกอยู่ในความเสี่ยงหรือไม่?

---

เป็ด.   หากคุณต้องการเข้าใจเรื่อง TPM ทั้งหมด ซึ่งฟังดูเหมือนเป็นความคิดที่ดี ใช่... มีสิ่งที่เป็นบอร์ดลูกเล็ก ๆ ที่คุณเสียบเข้ากับสล็อตเล็ก ๆ บนเมนบอร์ดของคุณ (หรืออาจจะสร้างไว้ล่วงหน้า) และมันก็มี ชิปประมวลผลร่วมพิเศษเล็กๆ น้อยๆ ที่ทำหน้าที่เข้ารหัสข้อมูลหลักนี้

บู๊ตอย่างปลอดภัย ลายเซ็นดิจิทัล ที่เก็บข้อมูลที่แข็งแกร่งสำหรับคีย์การเข้ารหัส ... ดังนั้นจึงไม่ใช่ความคิดที่ดีโดยเนื้อแท้

ปัญหาคือคุณลองจินตนาการดูสิ เพราะมันเป็นอุปกรณ์ขนาดเล็กมาก และมีโค้ดหลักนี้อยู่ แน่นอนว่ามันค่อนข้างง่ายที่จะถอดมันออกและทำให้ง่ายใช่ไหม

แค่ข้อกำหนดสำหรับ Trusted Platform Module หรือ TPM… พวกเขารวมกันแล้ว: 306 หน้า, 177 หน้า, 432 หน้า, 498 หน้า, 146 หน้า และแบดบอยตอนท้าย “ส่วนที่สี่: กิจวัตรการสนับสนุน – Code” ซึ่งเป็นจุดบกพร่อง 1009 หน้า PDF, Doug

---

ดั๊ก.   [LAUGHS] ลองอ่านสักนิด!

---

เป็ด.   [ถอนหายใจ] แค่อ่านเบาๆ

ดังนั้นมีงานมากมาย และสถานที่สำหรับแมลงมากมาย

และอันล่าสุด… ก็ มีไม่กี่อันที่ถูกบันทึกไว้ใน errata ล่าสุด แต่จริง ๆ แล้วมี XNUMX อันที่มีหมายเลข CVE

มี CVE-2023-1017 และ CVE-2023-1018

และโชคไม่ดีที่พวกมันคือบั๊ก ช่องโหว่ ที่สามารถกระตุ้น (หรือเข้าถึง) โดยคำสั่งที่โปรแกรมพื้นที่ผู้ใช้ทั่วไปอาจใช้ เช่น สิ่งที่ผู้ดูแลระบบหรือตัวคุณเองอาจเรียกใช้ เพื่อขอให้ TPM ทำ สิ่งที่ปลอดภัยสำหรับคุณ

ดังนั้นคุณสามารถทำสิ่งต่างๆ เช่น พูดว่า “เฮ้ ไปเอาตัวเลขสุ่มมาให้ฉัน ไปและสร้างรหัสเข้ารหัสให้ฉัน ออกไปและตรวจสอบลายเซ็นดิจิทัลนี้”

และเป็นเรื่องดีหากทำในโปรเซสเซอร์ขนาดเล็กแยกต่างหากที่ CPU หรือระบบปฏิบัติการไม่สามารถไปยุ่งได้ นั่นเป็นความคิดที่ดี

แต่ปัญหาคือในรหัสโหมดผู้ใช้ที่ระบุว่า “นี่คือคำสั่งที่ฉันกำลังนำเสนอให้คุณ”...

…โชคไม่ดีที่การคลี่คลายพารามิเตอร์ที่ส่งผ่านเข้ามาเพื่อดำเนินการฟังก์ชันที่คุณต้องการ – หากคุณดักจับวิธีการส่งพารามิเตอร์เหล่านั้นไปยัง TPM คุณสามารถหลอกให้มันอ่านหน่วยความจำเพิ่มเติม (บัฟเฟอร์อ่านล้น) หรือ ที่แย่กว่านั้นคือการเขียนทับสิ่งที่เป็นของผู้ชายคนต่อไปเหมือนเดิม

เป็นเรื่องยากที่จะดูว่าข้อบกพร่องเหล่านี้จะนำไปใช้ประโยชน์กับสิ่งต่างๆ เช่น การเรียกใช้โค้ดบน TPM ได้อย่างไร (แต่อย่างที่เราพูดไปหลายครั้งว่า “อย่าพูดว่าไม่เลย”)

แต่เป็นที่ชัดเจนว่าเมื่อคุณต้องรับมือกับบางสิ่งบางอย่าง ดังที่คุณกล่าวไว้ในตอนต้นว่า “คุณต้องการสิ่งนี้เพื่อทำให้คอมพิวเตอร์ของคุณปลอดภัยยิ่งขึ้น มันคือทั้งหมดที่เกี่ยวกับความถูกต้องของการเข้ารหัส”...

…ความคิดของบางสิ่งที่รั่วไหลแม้แต่สองไบต์ของข้อมูลลับอันมีค่าของคนอื่นที่ไม่มีใครในโลกควรจะรู้?

แนวคิดเรื่องการรั่วไหลของข้อมูล นับประสาอะไรกับการเขียนบัฟเฟอร์ล้นในโมดูลแบบนั้น เป็นเรื่องที่น่ากังวลอย่างยิ่ง

นั่นคือสิ่งที่คุณต้องแก้ไข

และน่าเสียดายที่เอกสาร errata ไม่ได้บอกว่า “นี่คือจุดบกพร่อง นี่คือวิธีที่คุณแก้ไข”

มีเพียงคำอธิบายข้อบกพร่องและคำอธิบายว่าคุณควรแก้ไขโค้ดของคุณอย่างไร

ดังนั้นทุกคนน่าจะทำในแบบของตัวเอง จากนั้นการเปลี่ยนแปลงเหล่านั้นจะกรองกลับไปที่การนำไปใช้งานอ้างอิงส่วนกลาง

ข่าวดีก็คือมีการติดตั้ง TPM ที่ใช้ซอฟต์แวร์ [libtpms] สำหรับผู้ที่ใช้งานเครื่องเสมือน… พวกเขาได้ตรวจสอบแล้ว และพวกเขาได้แก้ไขบางอย่าง ดังนั้นนั่นคือ จุดเริ่มต้นที่ดี.

---

ดั๊ก.   น่ารัก

ในระหว่างนี้ ให้ตรวจสอบกับผู้จำหน่ายฮาร์ดแวร์ของคุณ และดูว่ามีการอัปเดตใดๆ สำหรับคุณหรือไม่

---

เป็ด.   ใช่.

---

ดั๊ก.   เราจะก้าวต่อไป... สู่ยุคแรกๆ ของแรนซัมแวร์ซึ่งเต็มไปด้วยการขู่กรรโชก จากนั้นสิ่งต่างๆ ก็ซับซ้อนขึ้นด้วย "การขู่กรรโชกซ้ำซ้อน"

และคนจำนวนมากเพิ่งได้รับ จับกุม ในรูปแบบขู่กรรโชกซ้ำซ้อน ซึ่งเป็นข่าวดี!

DoppelPaymer แรนซัมแวร์ถูกจับกุมในเยอรมนีและยูเครน

---

เป็ด.   ใช่ นี่คือแก๊งแรนซัมแวร์ที่รู้จักกันในชื่อ DoppelPaymer (“คู่” หมายถึง สอง ในเยอรมัน.)

แนวคิดก็คือมันเป็นการตีสองหน้า

เป็นที่ที่พวกเขาเข้ารหัสไฟล์ทั้งหมดของคุณและพูดว่า "เราจะขายคีย์ถอดรหัสให้คุณ และอีกอย่าง ในกรณีที่คุณคิดว่าการสำรองข้อมูลของคุณจะทำสำเร็จ หรือในกรณีที่คุณคิดจะบอกให้เราหลงทางและไม่จ่ายเงินให้เรา โปรดทราบว่าเราได้ขโมยไฟล์ทั้งหมดของคุณก่อน ”

“ดังนั้น หากคุณไม่จ่ายเงิน และคุณ *สามารถ* ถอดรหัสได้ด้วยตัวเอง และคุณ *สามารถ* รักษาธุรกิจของคุณได้… เราจะทำข้อมูลของคุณรั่วไหล”

ข่าวดีในกรณีนี้คือ ผู้ต้องสงสัยบางคนถูกสอบสวนและถูกจับกุม และอุปกรณ์อิเล็กทรอนิกส์จำนวนมากถูกยึด

ดังนั้น แม้ว่าคุณจะชอบการปลอบประโลมแบบเย็นชาให้กับผู้ที่ได้รับความเดือดร้อนจากการโจมตีของ DoppelPaymer ในอดีต แต่ก็หมายความว่าอย่างน้อยการบังคับใช้กฎหมายจะไม่ยอมแพ้เมื่อแก๊งไซเบอร์ดูเหมือนจะก้มหน้าลง

เห็นได้ชัดว่าพวกเขาได้รับเงินค่าแบล็กเมล์มากถึง 40 ล้านดอลลาร์ในสหรัฐอเมริกาเพียงแห่งเดียว

และพวกเขาไปที่โรงพยาบาลมหาวิทยาลัยในเมืองดุสเซลดอร์ฟในเยอรมนีอย่างฉาวโฉ่

หากมีจุดต่ำในแรนซัมแวร์…

---

ดั๊ก.   อย่างจริงจัง!

---

เป็ด.   …ไม่ใช่เรื่องดีที่ใครจะโดน แต่ความคิดที่ว่าจะเอาโรงพยาบาลออก โดยเฉพาะโรงพยาบาลเพื่อการศึกษา?

ฉันเดาว่านั่นคือจุดต่ำสุดของจุดต่ำสุดใช่ไหม

---

ดั๊ก.   และเรามีคำแนะนำ

เพียงเพราะผู้ต้องสงสัยเหล่านี้ถูกจับกุม: อย่าโทรกลับการป้องกันของคุณ

---

เป็ด.   ไม่ อันที่จริง Europol ยอมรับในคำพูดของพวกเขา “ตามรายงาน Doppelpaymer ได้ทำการเปลี่ยนโฉม [เป็นแก๊งแรนซัมแวร์] ที่เรียกว่า 'Grief'”

ดังนั้นปัญหาก็คือ เมื่อคุณจับกุมบางคนในแก๊งไซเบอร์ คุณอาจไม่พบเซิร์ฟเวอร์ทั้งหมด...

…หากคุณเข้ายึดเซิร์ฟเวอร์ คุณไม่จำเป็นต้องทำงานย้อนหลังให้กับแต่ละบุคคล

มันทำให้บุ๋ม แต่ก็ไม่ได้หมายความว่าแรนซัมแวร์จะจบลง

---

ดั๊ก.   และในจุดนั้น: อย่ายึดติดกับแรนซัมแวร์เพียงอย่างเดียว

---

เป็ด.   แน่นอน!

ฉันคิดว่าแก๊งอย่าง DoppelPaymer ชัดเจนมากใช่ไหม

เมื่อพวกเขามาช่วงชิงไฟล์ของคุณ พวกเขาได้ขโมยไปแล้ว

ดังนั้น เมื่อถึงเวลาที่คุณได้รับส่วนแรนซัมแวร์จริง ๆ พวกเขาได้ทำองค์ประกอบอื่น ๆ ของอาชญากรไซเบอร์ไปแล้ว: การเจาะ; มองไปรอบ ๆ ; อาจเปิดประตูหลังสองสามบานเพื่อให้พวกเขาสามารถกลับเข้ามาได้ในภายหลังหรือขายการเข้าถึงให้กับผู้ชายคนต่อไป และอื่น ๆ

---

ดั๊ก.   ซึ่งประกบเข้ากับคำแนะนำชิ้นต่อไป: อย่ารอให้การแจ้งเตือนภัยคุกคามส่งไปยังแดชบอร์ดของคุณ

นั่นอาจพูดได้ง่ายกว่าทำ ขึ้นอยู่กับวุฒิภาวะขององค์กร

แต่มีตัวช่วย!

---

เป็ด.   [หัวเราะ] ฉันคิดว่าคุณกำลังจะพูดถึง การตรวจจับและการตอบสนองที่มีการจัดการของ Sophos ครู่หนึ่งที่นั่น ดั๊ก

---

ดั๊ก.   ฉันพยายามที่จะไม่ขายมัน

แต่เราช่วยได้!

มีความช่วยเหลืออยู่ที่นั่น แจ้งให้เราทราบ.

---

เป็ด.   พูดอย่างหลวม ๆ ยิ่งคุณไปถึงที่นั่นเร็วเท่าไหร่ ยิ่งคุณสังเกตเห็นเร็วเท่าไหร่ ยิ่งการรักษาความปลอดภัยเชิงป้องกันของคุณเป็นเชิงรุกมากเท่าไหร่…

…ยิ่งมีโอกาสน้อยที่อาชญากรจะสามารถโจมตีได้ไกลถึงการโจมตีของแรนซัมแวร์

และนั่นจะเป็นสิ่งที่ดีเท่านั้น

---

ดั๊ก.   และสุดท้าย แต่ไม่ท้ายสุด: ไม่มีการตัดสิน แต่อย่าจ่ายหากคุณสามารถหลีกเลี่ยงได้

---

เป็ด.   ใช่ ฉันคิดว่าเรามีหน้าที่ที่ต้องพูดแบบนั้น

เนื่องจากการจ่ายเงินเป็นระลอกต่อไปของอาชญากรรมไซเบอร์ครั้งใหญ่อย่างแน่นอน

และประการที่สอง คุณอาจไม่ได้รับสิ่งที่คุณจ่ายไป

---

ดั๊ก.   เรามาย้ายจากองค์กรอาชญากรรมหนึ่งไปยังอีกองค์กรหนึ่ง

และนี่คือสิ่งที่เกิดขึ้นเมื่อองค์กรอาชญากรใช้ทุกอย่าง เครื่องมือ เทคนิค และขั้นตอน ในหนังสือ!

Feds เตือนเกี่ยวกับการอาละวาดของ Royal ransomware ที่ใช้ขอบเขตของ TTP

---

เป็ด.   นี่มาจาก CISA - สหรัฐอเมริกา สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน.

และในกรณีนี้ ในกระดานข่าว AA23 (ของปีนี้) dash 061A-for-alpha พวกเขากำลังพูดถึงแก๊งที่ชื่อว่า Royal ransomware

รอยัลที่มีตัวพิมพ์ใหญ่ R, Doug

สิ่งที่ไม่ดีเกี่ยวกับแก๊งค์นี้คือเครื่องมือ เทคนิค และขั้นตอนของพวกเขาดูเหมือนจะ "ขึ้นอยู่กับและรวมถึงสิ่งที่จำเป็นสำหรับการโจมตีในปัจจุบัน"

พวกเขาวาดด้วยพู่กันที่กว้างมาก แต่พวกเขาก็โจมตีด้วยพลั่วที่ลึกมากเช่นกัน ถ้าคุณรู้ว่าฉันหมายถึงอะไร

นั่นคือข่าวร้าย

ข่าวดีก็คือยังมีอะไรอีกมากมายที่ต้องเรียนรู้ และถ้าคุณจริงจังกับมันทั้งหมด คุณจะมีการป้องกันในวงกว้างและป้องกันไม่เพียงแค่การโจมตีจากแรนซัมแวร์เท่านั้น แต่สิ่งที่คุณพูดถึงในกลุ่ม Doppelpaymer ก่อนหน้านี้: "อย่า" อย่าเพิ่งยึดติดกับแรนซัมแวร์”

กังวลเกี่ยวกับสิ่งอื่น ๆ ทั้งหมดที่นำไปสู่: การล็อกกุญแจ; การขโมยข้อมูล การฝังลับๆ; ขโมยรหัสผ่าน

---

ดั๊ก.   เอาล่ะ พอล เราจะสรุปประเด็นบางส่วนจากคำแนะนำของ CISA โดยเริ่มจาก: พวกมิจฉาชีพเหล่านี้ใช้วิธีที่พยายามและเชื่อถือได้

---

เป็ด.   พวกเขาทำ!

สถิติของ CISA ชี้ให้เห็นว่าแก๊งนี้ใช้ฟิชชิงแบบเก่าที่ดี ซึ่งประสบความสำเร็จใน 2/3 ของการโจมตี

เมื่อไม่ได้ผล พวกเขาก็ไปหาสิ่งที่ยังไม่ได้แพตช์

นอกจากนี้ ใน 1/6 ของกรณี พวกเขายังคงสามารถใช้ RDP ได้… การโจมตี RDP แบบเก่าที่ดี

เพราะพวกเขาต้องการเพียงเซิร์ฟเวอร์เดียวที่คุณลืมไปแล้ว

และอีกอย่าง CISA รายงานว่าเมื่อพวกเขาเข้าไปข้างใน แม้ว่าพวกเขาจะไม่ได้ใช้ RDP ก็ตาม ดูเหมือนว่าพวกเขายังคงพบว่าบริษัทจำนวนมากมีนโยบายค่อนข้างเสรีมากขึ้นเกี่ยวกับการเข้าถึง RDP * ภายใน* เครือข่ายของพวกเขา

[หัวเราะ] ใครต้องการสคริปต์ PowerShell ที่ซับซ้อนซึ่งคุณสามารถเชื่อมต่อกับคอมพิวเตอร์ของคนอื่นและตรวจสอบบนหน้าจอของคุณเอง

---

ดั๊ก.   อาชญากรพยายามหลีกเลี่ยงโปรแกรมที่อาจแสดงเป็นมัลแวร์อย่างชัดเจน

เรียกอีกอย่างว่า "การใช้ชีวิตบนบก"

---

เป็ด.   พวกเขาไม่ได้แค่พูดว่า “เอาล่ะ มาใช้โปรแกรม PsExec ของ Microsoft Sysinternal กันเถอะ และมาใช้สคริปต์ PowerShell ที่เป็นที่นิยมนี้กัน

พวกเขามีเครื่องมือมากมายสำหรับทำสิ่งต่าง ๆ ที่มีประโยชน์มากมาย ตั้งแต่เครื่องมือที่ค้นหาหมายเลข IP ไปจนถึงเครื่องมือที่หยุดคอมพิวเตอร์ไม่ให้เข้าสู่โหมดสลีป

เครื่องมือทั้งหมดที่ผู้ดูแลระบบที่มีข้อมูลดีอาจมีและใช้เป็นประจำ

และพูดง่ายๆ ก็คือ มีมัลแวร์บริสุทธิ์เพียงส่วนเดียวที่อาชญากรเหล่านี้นำเข้ามา และนั่นคือสิ่งที่ทำการเข้ารหัสขั้นสุดท้าย

อย่างไรก็ตาม อย่าลืมว่าหากคุณเป็นอาชญากรแรนซัมแวร์ คุณไม่จำเป็นต้องนำชุดเครื่องมือเข้ารหัสมาเองด้วยซ้ำ

ถ้าคุณต้องการ คุณสามารถใช้โปรแกรมอย่างเช่น WinZip หรือ 7-Zip ที่มีคุณลักษณะในการ “สร้างไฟล์เก็บถาวร ย้ายไฟล์เข้าไป” (ซึ่งหมายถึงการลบไฟล์เหล่านั้นเมื่อคุณใส่ลงในไฟล์เก็บถาวร) “และเข้ารหัสด้วยรหัสผ่าน”

ตราบใดที่มิจฉาชีพเป็นคนเดียวที่รู้รหัสผ่าน พวกเขายังสามารถเสนอขายคืนให้คุณได้...

---

ดั๊ก.   และเพียงแค่เติมเกลือเล็กน้อยลงในบาดแผล: ก่อนการสแครมไฟล์ ผู้โจมตีพยายามทำให้เส้นทางการกู้คืนของคุณยุ่งยาก

---

เป็ด.   ใครจะรู้ว่าพวกเขาได้สร้างบัญชีผู้ดูแลระบบลับใหม่หรือไม่?

ติดตั้งเซิร์ฟเวอร์บั๊กกี้โดยเจตนา?

จงใจเอาแพตช์ออกเพื่อให้รู้วิธีกลับมาในครั้งหน้า?

ทิ้งคีย์ล็อกเกอร์ไว้เบื้องหลัง ซึ่งจะเปิดใช้งานในอนาคตและทำให้ปัญหาของคุณเริ่มต้นใหม่อีกครั้ง

และพวกเขากำลังทำเช่นนั้นเพราะมันเป็นประโยชน์อย่างมากที่เมื่อคุณกู้คืนจากการโจมตีของแรนซัมแวร์ คุณจะไม่สามารถกู้คืนได้ทั้งหมด

---

ดั๊ก.   เอาล่ะ เรามีลิงก์ที่เป็นประโยชน์อยู่ที่ด้านล่างของบทความ

ลิงค์เดียวที่จะพาคุณไปเรียนรู้เพิ่มเติมเกี่ยวกับ การตรวจจับและการตอบสนองที่มีการจัดการของ Sophos [MDR] และอีกอันหนึ่งที่จะนำคุณไปสู่ Playbook ศัตรูที่ใช้งานอยู่ซึ่งเป็นชิ้นส่วนที่ประกอบขึ้นโดย John Shier ของเราเอง

ข้อคิดเห็นและข้อมูลเชิงลึกบางอย่างที่คุณสามารถใช้เพื่อเสริมการป้องกันของคุณให้ดียิ่งขึ้น

รู้จักศัตรูของคุณ! เรียนรู้ว่าศัตรูจากอาชญากรไซเบอร์เข้ามาได้อย่างไร...

---

เป็ด.   นั่นเหมือนกับรายงาน "Royal ransomware" ของ CISA เวอร์ชันเมตา

เป็นกรณีที่เหยื่อไม่รู้ตัวว่ามีผู้โจมตีอยู่ในเครือข่ายของพวกเขาจนกระทั่งมันสายเกินไป จากนั้นจึงโทรหา Sophos Rapid Response และพูดว่า “โอ้ บัดซบ เราคิดว่าเราโดนแรนซัมแวร์โจมตีแล้ว… แต่เกิดอะไรขึ้นอีกล่ะ? ”

และนี่คือสิ่งที่เราพบจริงๆ ในชีวิตจริง จากการโจมตีหลากหลายรูปแบบโดยกลุ่มมิจฉาชีพที่มักไม่เกี่ยวข้อง

ดังนั้นจึงให้แนวคิดกว้างๆ แก่คุณเกี่ยวกับช่วงของ TTP (เครื่องมือ เทคนิค และขั้นตอน) ที่คุณต้องระวัง และคุณสามารถป้องกันได้

เพราะข่าวดีก็คือด้วยการบังคับให้มิจฉาชีพใช้เทคนิคที่แยกจากกันทั้งหมดเหล่านี้ เพื่อไม่ให้มีอันใดอันหนึ่งกระตุ้นสัญญาณเตือนภัยครั้งใหญ่ด้วยตัวของมันเอง...

…คุณจะให้โอกาสตัวเองในการพบพวกมันตั้งแต่เนิ่นๆ ถ้ามีเพียงคุณ [A] ที่รู้ว่าควรดูที่ไหน และ [B] สามารถหาเวลาเจอได้

---

ดั๊ก.   ดีมาก

และเรามีความคิดเห็นของผู้อ่านเกี่ยวกับบทความนี้

Andy ผู้อ่าน Naked Security ถามว่า:

แพ็คเกจ Sophos Endpoint Protection สามารถรับมือกับการโจมตีประเภทนี้ได้อย่างไร

ฉันได้เห็นว่าการป้องกันไฟล์แรนซัมแวร์นั้นดีเพียงใด แต่ถ้าปิดใช้งานก่อนที่การเข้ารหัสจะเริ่มต้นขึ้น แสดงว่าเราพึ่ง Tamper Protection เป็นส่วนใหญ่ใช่ไหม

---

เป็ด.   ฉันหวังว่าจะไม่!

ฉันหวังว่าลูกค้าของ Sophos Protection จะไม่พูดว่า “เอาล่ะ เรียกใช้เฉพาะส่วนเล็กๆ ของผลิตภัณฑ์ที่มีอยู่เพื่อปกป้องคุณในฐานะรถเก๋งโอกาสสุดท้าย… สิ่งที่เราเรียกว่า CryptoGuard

นั่นคือโมดูลที่ระบุว่า "เฮ้ มีคนหรือบางสิ่งกำลังพยายามแปลงไฟล์จำนวนมากในลักษณะที่อาจเป็นโปรแกรมของแท้ แต่ดูไม่ถูกต้อง"

ดังนั้น แม้ว่ามันจะถูกต้อง มันอาจจะทำให้อะไรๆ ยุ่งเหยิง แต่แน่นอนว่าต้องมีคนพยายามทำอันตรายคุณ

---

ดั๊ก.   ใช่ CryptoGuard เป็นเหมือนหมวกกันน็อคที่คุณสวมขณะที่คุณบินอยู่เหนือแฮนด์จักรยานของคุณ

สิ่งต่าง ๆ ค่อนข้างรุนแรงหาก CryptoGuard เริ่มดำเนินการ!

---

เป็ด.   ผลิตภัณฑ์ส่วนใหญ่รวมถึง Sophos ในปัจจุบันมีองค์ประกอบของการป้องกันการงัดแงะซึ่งพยายามก้าวไปอีกขั้น ดังนั้นแม้แต่ผู้ดูแลระบบยังต้องข้ามผ่านห่วงเพื่อปิดบางส่วนของผลิตภัณฑ์

สิ่งนี้ทำให้ยากขึ้นที่จะทำเลยและทำให้เป็นอัตโนมัติยากขึ้นที่จะปิดสำหรับทุกคน

แต่คุณต้องคิดเกี่ยวกับมัน…

หากอาชญากรไซเบอร์เข้าสู่เครือข่ายของคุณ และพวกเขามี “sysadmin equivalence” บนเครือข่ายของคุณอย่างแท้จริง หากพวกเขาสามารถจัดการเพื่อให้ได้พลังแบบเดียวกับที่ sysadmins ปกติของคุณมี (และนั่นคือเป้าหมายที่แท้จริงของพวกเขา นั่นคือสิ่งที่พวกเขาต้องการจริงๆ)...

เนื่องจากผู้ดูแลระบบที่รันผลิตภัณฑ์อย่าง Sophos สามารถกำหนดค่า ยกเลิกการกำหนดค่า และตั้งค่าสภาพแวดล้อม...

…ถ้าพวกมิจฉาชีพ *เป็น* sysadmins ก็เหมือนกับว่าพวกเขาชนะแล้ว

และนั่นคือเหตุผลที่คุณต้องค้นหาพวกเขาล่วงหน้า!

ดังนั้นเราจึงทำให้มันยากที่สุดเท่าที่จะเป็นไปได้ และเราให้การป้องกันหลายชั้นเท่าที่เราจะทำได้ หวังว่าจะได้ลองและหยุดสิ่งนี้ก่อนที่มันจะมาถึงเสียอีก

และในขณะที่เรากำลังดำเนินการอยู่นั้น Doug (ฉันไม่ต้องการให้สิ่งนี้ฟังดูเหมือนเรื่องการขาย แต่ฉันชอบคุณลักษณะของซอฟต์แวร์ของเราเท่านั้น)...

เรามีสิ่งที่ผมเรียกว่าองค์ประกอบ "ศัตรูที่แข็งขัน"!

กล่าวอีกนัยหนึ่ง หากเราตรวจพบพฤติกรรมบนเครือข่ายของคุณที่บ่งบอกอย่างชัดเจนถึงสิ่งต่างๆ เช่น ผู้ดูแลระบบของคุณจะไม่ทำเช่นนั้น หรือจะไม่ทำเช่นนั้น...

…” ปฏิปักษ์ที่แข็งขัน” พูดว่า “คุณรู้อะไรไหม ในขณะนี้ เราจะเพิ่มการป้องกันในระดับที่สูงกว่าปกติที่คุณจะทนได้”

และนั่นเป็นฟีเจอร์ที่ยอดเยี่ยมเพราะหมายความว่า หากมิจฉาชีพเข้ามาในเครือข่ายของคุณและเริ่มพยายามทำสิ่งเลวร้าย คุณไม่ต้องรอจนกว่าคุณจะสังเกตเห็น แล้ว *จากนั้น* ตัดสินใจว่า “เราจะเปลี่ยนหน้าปัดอะไรดี”

ดั๊ก นั่นเป็นคำตอบที่ค่อนข้างยาวสำหรับคำถามง่ายๆ

แต่ให้ฉันอ่านสิ่งที่ฉันเขียนในการตอบกลับความคิดเห็นเกี่ยวกับ Naked Security:

เป้าหมายของเราคือการเฝ้าระวังตลอดเวลา และเข้าแทรกแซงโดยเร็วที่สุด โดยอัตโนมัติ ปลอดภัยที่สุด และเด็ดขาดที่สุดเท่าที่จะทำได้ สำหรับการโจมตีทางไซเบอร์ทุกประเภท ไม่ใช่แค่แรนซัมแวร์

---

ดั๊ก.   พูดได้ดี!

ขอบคุณมากแอนดี้ที่ส่งมา

หากคุณมีเรื่องราว ข้อคิดเห็น หรือคำถามที่น่าสนใจที่คุณต้องการส่ง เรายินดีที่จะอ่านในพอดแคสต์

คุณสามารถส่งอีเมล tips@sophos.com คุณสามารถแสดงความคิดเห็นเกี่ยวกับบทความใดๆ ของเรา หรือคุณสามารถติดต่อเราทางโซเชียล: @NakedSecurity

นั่นคือการแสดงของเราในวันนี้ ขอบคุณมากสำหรับการฟัง

สำหรับ Paul Ducklin ฉันชื่อ Doug Aamoth เตือนคุณ ไว้คราวหน้าจะ…

---

ทั้งสอง   รักษาความปลอดภัย!

[โมเด็มดนตรี]