ไมโครซอฟต์เตือนแรนซัมแวร์ตัวใหม่ The Gentlemen สามารถแพร่กระจายทั่วระบบบริษัทได้อย่างไว

ไมโครซอฟต์เตือนแรนซัมแวร์ตัวใหม่ The Gentlemen สามารถแพร่กระจายทั่วระบบบริษัทได้อย่างไว

จากรายงานโดยเว็บไซต์ Industrial Cyber ได้กล่าวถึงการที่ทีมวิจัย Microsoft Threat Intelligence ซึ่งเป็นทีมผู้เชี่ยวชาญด้านภัยไซเบอร์ของบริษัทไมโครซอฟท์ ได้ออกมาแจ้งเตือนถึงอันตรายของแรนซัมแวร์ตัวใหม่ The Gentlemen ซึ่งเป็นแรนซัมแวร์ที่ถูกเขียนขึ้นด้วยภาษา Go และวางจำหน่ายบนตลาดมืดในรูปแบบแรนซัมแวร์เช่าใช้ หรือ RaaS (Ransomware-as-a-Service) ทำให้แฮกเกอร์สามารถเข้าถึงได้ง่าย แต่ปัจจัยในส่วนนี้ยังไม่ใช่ปัจจัยที่น่ากลัวที่สุด เพราะความน่ากลัวที่แท้จริงอยู่ที่ความสามารถในการแพร่กระจายตัวเองได้ (Self-Propagation) ทำให้ตัวแรนซัมแวร์นั้นสามารถกระจายตัวไปทั่วเครือข่าย (Network) ขององค์กร หรือบริษัทที่ติดแรนซัมแวร์ตัวนี้ได้อย่างรวดเร็ว เรียกได้ว่าสามารถทำลายทั้งบริษัทได้เลย

ในด้านความสามารถหลักอื่น ๆ นั้น แรนซัมแวร์ตัวนี้จะเน้นหนักไปในด้านการเข้ารหัสไฟล์ (Encryption) เพื่อล็อกไฟล์ไว้เป็นตัวประกัน โดยใช้เทคนิคการเข้ารหัสแบบสร้างกุญแจชั่วคราว (Ephemeral Key) ในแต่ละไฟล์ด้วยอัลกอริทึมแบบ Curve25519 และ XChaCha20 โดยในส่วนของการเข้ารหัสนั้น ไฟล์ขนาดเล็กกว่า 1MB จะถูกเข้ารหัสอย่างสมบูรณ์แบบ ขณะที่ไฟล์ขนาดใหญ่กว่าจะถูกเข้ารหัสเพียงบางส่วนเพื่อให้ใช้งานไม่ได้ โดยจะถูกบันทึกเป็นไฟล์สกุล .umc16h นอกจากนั้นยังสามารถทำการขยายการแพร่กระจายแรนซัมแวร์ (Lateral Movement) ด้วยตนเอง ทั้งนั้นยังสามารถแอบลักลอบส่งข้อมูล (Exfiltration) ที่เข้ารหัสแล้วไปยังเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ทำให้แฮกเกอร์สามารถรีดไถเหยื่อแบบซ้อน (Double Extortion) ได้ด้วยการข่มขู่เหยื่อว่า ถ้าไม่ทำการจ่ายเงินเพื่อถอดรหัสไฟล์ เหยื่อนอกจากจะไม่ได้ไฟล์คืนแล้ว ข้อมูลที่หลุดไปจะถูกนำไปขายในตลาดมืด ไม่เพียงเท่านั้น เพื่อป้องกันความพยายามในการกู้ข้อมูล ตัวแรนซัมแวร์ยังทำการจงใจทำให้พื้นที่ว่างบนฮาร์ดดิสก์เต็มเพื่อขัดขวางความพยายามนี้อีกด้วย

โดยก่อนที่ตัวมัลแวร์จะทำการเข้ารหัสไฟล์ต่าง ๆ นั้น แรนซัมแวร์จะเริ่มการใช้คำสั่งแบบ Command Line หลากรูปแบบเพื่อควบคุมขอบเขตการเข้ารหัส, ความเร็ว, การทำ Lateral Movement, การสร้างความคงทนบนระบบ (Persistence) ด้วยการตั้งเวลาการทำงาน (Task Scheduling) และ ดัดแปลงในส่วนกุญแจ Run (Run Key) ภายในรีจิสทรี (Registry), และการเก็บกวาดหลักฐาน (Cleanup) แล้วจึงจัดการทำการล็อกเป้าไดร์ฟบนเครื่อง (Local Drive), ทำผังการแชร์ภายในเครือข่าย (Mapped Network Sharing), แล้วทำพยายามขออัปเกรดสิทธิ์ในการใช้งานเครื่องขึ้นเป็นระดับผู้ดูแลสูงสุด หรือ SYSTEM เพื่อให้สามารถเข้าถึงระบบได้อย่างทั่วถึง