พบแรนซัมแวร์ ใช้งาน BitLocker ของ Windows ในการช่วยล็อกไฟล์

พบแรนซัมแวร์ ใช้งาน BitLocker ของ Windows ในการช่วยล็อกไฟล์

จากรายงานโดยเว็บไซต์ Biggo Finance ได้กล่าวถึงรายงานของทีมวิจัยจาก Kaspersky บริษัทผู้พัฒนาซอฟต์แวร์แอนตี้ไวรัส (Anti-Virus) ยอดนิยม ที่ได้ตรวจพบแรนซัมแวร์สายพันธุ์ใหม่ซึ่งมุ่งเน้นการโจมตีไปยังกลุ่มธุรกิจในแถบประเทศโคลอมเบียและเม็กซิโกในช่วงระหว่างเดือนพฤษภาคม และเดือนมิถุนายน ที่ผ่านมา โดยความแปลกของแรนซัมแวร์ตัวนี้ก็คือ แทนที่จะเป็นแรนซัมแวร์ในรูปแบบของการใช้งานมัลแวร์ที่ถูกดัดแปลงมาเพื่อการนี้โดยเฉพาะ กลับเป็นการโจมตีด้วยการใช้งานฟีเจอร์ Bitlocker ซึ่งเป็นฟีเจอร์เข้ารหัสฮาร์ดดิสก์ของ Windows มาใช้เป็นเครื่องมือสำหรับการเข้ารหัสเครื่องของเหยื่อเสียเอง ซึ่งเหตุการณ์ที่เกิดขึ้นในการโจมตีทั้ง 2 ครั้งนั้นก็เรียกได้ว่าเกิดจากความประมาทของการรักษาความปลอดภัยไซเบอร์ภายในองค์กร จนแฮกเกอร์สามารถแทรกซึมเข้าสู่ระบบของบริษัทและใช้งาน Bitlocker เพื่อล็อกข้อมูลสำคัญต่าง ๆ ได้ ซึ่งกว่าจะรู้ตัวก็เป็นตอนที่พนักงานของพนักงานพบว่าฮาร์ดดิสก์นั้นมีไอคอนแม่กุญแจปรากฏอยู่และไม่สามารถเข้าถึงไฟล์ต่าง ๆ ได้

โดยในการโจมตีครั้งแรกที่เกิดขึ้นในประเทศโคลอมเบียนั้นเกิดขึ้นจากการที่มีเครื่องมือสำหรับการเข้าสู่ระบบของบริษัทจากระยะไกล (Remote Access Tool) ถูกเปิดให้เชื่อมต่อกับระบบอินเทอร์เน็ตทิ้งไว้แบบไม่มีการรักษาความปลอดภัยที่เพียงพอ จนแฮกเกอร์ลักลอบเข้ามาใช้ช่องทางนี้เข้าสู่ระบบของบริษัท โดยตัวระบบนี้นั้นถูกเชื่อมต่อเข้ากับไดร์ฟเก็บข้อมูลหลัก (Core Data Storage) ของบริษัทที่มีการเก็บข้อมูลไว้สูงมากถึง 8 เทราไบต์ (TB หรือ Terabyte) ซึ่งหลังจากแฮกเกอร์เข้าสู่ระบบได้แล้ว แฮกเกอร์ก็ได้ทำการเปลี่ยนข้อมูลสำหรับการเข้าสู่ระบบ (Credential) ของบัญชีผู้ใช้งานที่แฮกเกอร์ใชัเข้าสู่ระบบ แล้วทำการเปิดใช้งาน Bitlocker เพื่อล็อกตายฮาร์ดดิสก์เสีย แล้วจึงทำการสั่งพิมพ์จดหมายเรียกค่าไถ่ผ่านทางเครื่องพิมพ์ (Printer) ของทางบริษัท ทิ้งไว้ให้ดูต่างหน้า

สำหรับกรณีการแฮกที่เกิดขึ้นในประเทศเม็กซิโกก็คล้าย ๆ กัน โดยคราวนี้เกิดจากการที่รหัสสำหรับเข้าสู่ระบบของบริษัทนั้นรั่วไหลสู่โลกภายนอกผ่านทางโค้ดต้นฉบับ (Source Code) ของทางบริษัท และกลุ่มแฮกเกอร์ที่มีชื่อว่า XEntry Team ได้รหัสผ่านดังกล่าวไป จึงนำมาเพื่อแฮกเข้าสู่ระบบของบริษัทผ่านทางเซิร์ฟเวอร์ฐานข้อมูล Microsoft SQL ของทางบริษัทที่มีการตั้งค่าความปลอดภัยที่อ่อนแอ ทั้งยังมีการเชื่อมต่อกับโครงสร้างพื้นฐานภายในของบริษัท (Internal Infrastructure) จนแฮกเกอร์สามารถแฮกเข้ามาตามทางจนสามารถสั่งล็อกระบบ แล้วทิ้งข้อความไว้บนหน้าจอผู้ใช้งาน (User Screen) ของพนักงานในบริษัทว่า เครื่องถูกแฮกโดยทีม XEntry Team (Hacked by XEntry Team) และพนักงานทั้งหมดก็ไม่สามารถเข้าสู่ระบบของบริษัทด้วยบัญชีต่าง ๆ ที่บริษัทมีได้อีกต่อไป

ในการป้องกันนั้น ทางทีมวิจัยแนะนำว่าระบบของบริษัทจะต้องมีการสอดส่องจับตามอง (Monitoring) การเข้าสู่ระบบต่าง ๆ อย่างเข้มงวด ผ่านเครื่องมือจำพวก Endpoint Detection and Response (EDR) และ Extended Detection and Response (XDR) นอกจากนั้นยังแนะนำให้ใช้เครื่องมืออย่าง Managed Detection and Response (MDR) และ Incident Response (IR) มาใช้เพื่อสอดส่องการเข้าสู่ระบบจากระยะไกลผ่านทางโปรโตคอล Remote Desktop Protocol (RDP) เพื่อความปลอดภัยที่มากยิ่งขึ้นอีกด้วย