เซิร์ฟเวอร์ Hive ransomware ปิดตัวลงในที่สุด FBI กล่าว

เซิร์ฟเวอร์ Hive ransomware ปิดตัวลงในที่สุด FBI กล่าว

ประทับเวลา: 27 มกราคม 2023 12:58 น
โหนดต้นทาง: 1924152
by นักเขียนเรื่อง Naked Security

เมื่อหกเดือนที่แล้ว ตาม ถึงกระทรวงยุติธรรมสหรัฐฯ (DOJ) สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI) ได้แทรกซึมเข้าไปในแก๊งแฮ็กแรนซัมแวร์และเริ่ม "ขโมยกลับ" คีย์ถอดรหัสสำหรับเหยื่อที่ไฟล์ถูกสัญญาณรบกวน

อย่างที่คุณเกือบจะทราบดีและน่าเศร้าที่ทราบว่าการโจมตีของแรนซัมแวร์ในทุกวันนี้มักจะเกี่ยวข้องกับอาชญากรไซเบอร์สองกลุ่มที่เกี่ยวข้องกัน

กลุ่มเหล่านี้มักจะ "รู้จัก" กันโดยใช้ชื่อเล่น และ "พบกัน" ทางออนไลน์เท่านั้น โดยใช้เครื่องมือที่ไม่ระบุตัวตนเพื่อหลีกเลี่ยง จริง รู้ (หรือเปิดเผยไม่ว่าจะโดยบังเอิญหรือการออกแบบ) ตัวตนและสถานที่ในชีวิตจริงของกันและกัน

สมาชิกหลักของแก๊งส่วนใหญ่อยู่เบื้องหลัง สร้างโปรแกรมอันตรายที่ช่วงชิง (หรือบล็อกการเข้าถึง) ไฟล์สำคัญทั้งหมดของคุณ โดยใช้คีย์การเข้าถึงที่พวกเขาเก็บไว้เองหลังจากสร้างความเสียหายเสร็จแล้ว

พวกเขายังเรียกใช้ “หน้าชำระเงิน” เว็บมืดหนึ่งหน้าหรือมากกว่านั้น ซึ่งเหยื่อ (พูดอย่างหลวม ๆ) ไปจ่ายเงินแบล็กเมล์เพื่อแลกกับคีย์การเข้าถึงเหล่านั้น ซึ่งทำให้พวกเขาปลดล็อกคอมพิวเตอร์ที่หยุดทำงาน และทำให้บริษัทของพวกเขากลับมาดำเนินกิจการได้อีกครั้ง

Crimeware-as-a-บริการ

กลุ่มหลักนี้ล้อมรอบด้วยกลุ่ม "พันธมิตร" ที่มีขนาดใหญ่และเปลี่ยนแปลงตลอดเวลา ซึ่งเป็นพันธมิตรในอาชญากรรมที่เจาะเข้าไปในเครือข่ายของผู้อื่นเพื่อปลูกฝัง "โปรแกรมโจมตี" ของแก๊งหลักให้กว้างขวางและลึกซึ้งที่สุดเท่าที่จะเป็นไปได้

เป้าหมายของพวกเขาซึ่งได้รับแรงกระตุ้นจาก “ค่าคอมมิชชัน” ที่อาจมากถึง 80% ของค่าแบล็กเมล์ที่จ่ายไปทั้งหมด คือการสร้างความปั่นป่วนในวงกว้างและฉับพลันให้กับธุรกิจ ซึ่งพวกเขาไม่เพียงแต่เรียกร้องเงินจากการขู่กรรโชกที่ชวนน้ำลายสอเท่านั้น แต่ยังรวมถึง ปล่อยให้เหยื่อมีทางเลือกน้อยแต่ต้องชดใช้

ข้อตกลงนี้เป็นที่รู้จักกันทั่วไปว่าเป็น raas or ซีเอเอส, ย่อจาก ransomware (หรือ อาชญากรแวร์) เป็นบริการซึ่งเป็นชื่อที่เตือนใจว่าอาชญากรในโลกไซเบอร์ยินดีที่จะคัดลอกรูปแบบพันธมิตรหรือแฟรนไชส์ที่ใช้โดยธุรกิจที่ถูกกฎหมายจำนวนมาก

กู้คืนโดยไม่ต้องจ่ายเงิน

มีสามวิธีหลักที่ผู้ที่ตกเป็นเหยื่อสามารถช่วยให้ธุรกิจของพวกเขากลับมาเหมือนเดิมโดยไม่ต้องจ่ายเงินหลังจากการโจมตีแบบล็อกเอาต์ไฟล์ทั่วเครือข่ายที่ประสบความสำเร็จ:

  • มีแผนการกู้คืนที่แข็งแกร่งและมีประสิทธิภาพ โดยทั่วไปแล้ว นี่หมายความว่าไม่เพียงแต่มีกระบวนการชั้นเยี่ยมในการสำรองข้อมูลเท่านั้น แต่ยังรู้วิธีเก็บสำเนาสำรองของทุกสิ่งอย่างปลอดภัยจากบริษัทในเครือแรนซัมแวร์อย่างน้อยหนึ่งชุด (พวกเขาไม่ชอบอะไรดีไปกว่าการค้นหาและทำลายข้อมูลสำรองออนไลน์ของคุณก่อนที่จะปล่อย ช่วงสุดท้ายของการโจมตี) คุณต้องฝึกฝนวิธีกู้คืนข้อมูลสำรองเหล่านั้นอย่างน่าเชื่อถือและรวดเร็วเพียงพอ ซึ่งการทำเช่นนั้นเป็นทางเลือกที่ได้ผลแทนการจ่ายเงินอยู่ดี
  • ค้นหาข้อบกพร่องในกระบวนการล็อคไฟล์ที่ผู้โจมตีใช้ โดยปกติแล้ว แรนซัมแวร์อาชญากรจะ "ล็อก" ไฟล์ของคุณโดยเข้ารหัสด้วยการเข้ารหัสที่ปลอดภัยแบบเดียวกับที่คุณอาจใช้เองเมื่อรักษาความปลอดภัยให้กับการเข้าชมเว็บหรือสำรองข้อมูลของคุณเอง อย่างไรก็ตาม ในบางครั้ง กลุ่มแกนกลางสร้างข้อผิดพลาดในการเขียนโปรแกรมอย่างน้อยหนึ่งรายการซึ่งอาจทำให้คุณใช้เครื่องมือฟรีเพื่อ "ถอดรหัส" การถอดรหัสและกู้คืนโดยไม่ต้องจ่ายเงิน อย่างไรก็ตาม โปรดทราบว่าเส้นทางสู่การฟื้นฟูนี้เกิดขึ้นจากโชค ไม่ใช่จากการออกแบบ
  • รับรหัสผ่านหรือคีย์การกู้คืนที่แท้จริงด้วยวิธีอื่น แม้ว่าสิ่งนี้จะเกิดขึ้นได้ยาก แต่ก็มีหลายวิธีที่สามารถเกิดขึ้นได้ เช่น การระบุตัวบุคคลในแก๊งที่จะรั่วไหลของกุญแจด้วยความรู้สึกผิดชอบชั่วดีหรือความอาฆาตแค้น; การค้นหาข้อผิดพลาดด้านความปลอดภัยของเครือข่ายทำให้การโจมตีตอบโต้เพื่อดึงคีย์จากเซิร์ฟเวอร์ที่ซ่อนอยู่ของมิจฉาชีพ หรือการแทรกซึมเข้าไปในแก๊งและแอบแฝงเข้าถึงข้อมูลที่จำเป็นในเครือข่ายของอาชญากร

สุดท้ายนี้ การแทรกซึมคือสิ่งที่ DOJ บอกว่าเป็น สามารถทำได้ อย่างน้อยสำหรับเหยื่อ Hive บางรายตั้งแต่เดือนกรกฎาคม 2022 ดูเหมือนว่าการแบล็กเมล์แบบลัดวงจรต้องการเงินรวมกว่า 130 ล้านดอลลาร์ ซึ่งเกี่ยวข้องกับการโจมตีบุคคลมากกว่า 300 ครั้งในเวลาเพียงหกเดือน

เราสันนิษฐานว่าตัวเลข 130 ล้านดอลลาร์นั้นขึ้นอยู่กับความต้องการเริ่มต้นของผู้โจมตี บางครั้งอาชญากรแรนซัมแวร์ก็ลงเอยด้วยการยอมลดการชำระเงิน โดยเลือกที่จะรับบางอย่างมากกว่าไม่ทำอะไรเลย แม้ว่า "ส่วนลด" ที่เสนอมักจะดูเหมือนจะลดการชำระเงินจากจำนวนที่มากเกินเอื้อมไปจนถึงขนาดใหญ่จนน้ำตาไหล ความต้องการเฉลี่ยตามตัวเลขด้านบนคือ 130 ล้านดอลลาร์/300 ดอลลาร์ หรือเกือบ 450,000 ดอลลาร์ต่อเหยื่อหนึ่งราย

โรงพยาบาลถือว่าเป็นเป้าหมายที่ยุติธรรม

ตามที่ DOJ ชี้ให้เห็น โดยทั่วไปแล้วแก๊งแรนซัมแวร์จำนวนมาก และโดยเฉพาะอย่างยิ่งทีมงานของ Hive ปฏิบัติต่อเครือข่ายใด ๆ และทั้งหมดเหมือนเป็นเกมที่ยุติธรรมสำหรับการแบล็กเมล์ โจมตีองค์กรที่ได้รับเงินสนับสนุนจากสาธารณะ เช่น โรงเรียนและโรงพยาบาลด้วยความรุนแรงเช่นเดียวกับที่พวกเขาใช้ต่อต้าน บริษัทการค้าที่ร่ำรวยที่สุด:

[T]he Hive ransomware group […] ได้กำหนดเป้าหมายเหยื่อมากกว่า 1500 รายในกว่า 80 ประเทศทั่วโลก รวมถึงโรงพยาบาล เขตการศึกษา บริษัทการเงิน และโครงสร้างพื้นฐานที่สำคัญ

น่าเสียดายที่แม้ว่าการแทรกซึมของแก๊งอาชญากรไซเบอร์สมัยใหม่อาจทำให้คุณได้รับข้อมูลเชิงลึกที่ยอดเยี่ยมเกี่ยวกับ TTP ของแก๊ง (เครื่องมือ เทคนิค และขั้นตอนต่างๆ) และ - เช่นเดียวกับในกรณีนี้ - ให้โอกาสคุณในการขัดขวางการดำเนินงานของพวกเขาโดยล้มล้างกระบวนการแบล็กเมล์ซึ่งเรียกร้องการขู่กรรโชกที่ชวนน้ำลายสอ...

…การรู้รหัสผ่านของผู้ดูแลระบบของแก๊งเพื่อเข้าถึงโครงสร้างพื้นฐานด้านไอทีบนเว็บมืดของอาชญากรโดยทั่วไปไม่ได้บอกคุณว่าโครงสร้างพื้นฐานนั้นอยู่ที่ใด

นามแฝงแบบสองทิศทาง

หนึ่งในแง่มุมที่ยอดเยี่ยม/น่ากลัวของดาร์คเว็บ (ขึ้นอยู่กับสาเหตุที่คุณใช้มัน และคุณอยู่ด้านไหน) โดยเฉพาะอย่างยิ่ง ยอดหินของภูเขา (ย่อจาก เราเตอร์หัวหอม) เครือข่ายที่ได้รับความนิยมอย่างกว้างขวางจากอาชญากรแรนซัมแวร์ในปัจจุบัน คือสิ่งที่คุณอาจเรียกมันว่าสองทิศทาง pseudoanonymity

darkweb ไม่เพียงแค่ปกป้องตัวตนและตำแหน่งที่ตั้งของผู้ใช้ที่เชื่อมต่อกับเซิร์ฟเวอร์ที่โฮสต์บนนั้น แต่ยังซ่อนตำแหน่งของเซิร์ฟเวอร์เองจากไคลเอนต์ที่มาเยี่ยมชมอีกด้วย

เซิร์ฟเวอร์ (อย่างน้อยส่วนใหญ่) ไม่รู้ว่าคุณเป็นใครเมื่อคุณเข้าสู่ระบบ ซึ่งเป็นสิ่งที่ดึงดูดลูกค้า เช่น บริษัทในเครืออาชญากรรมไซเบอร์และผู้ซื้อยาเว็บมืด เพราะพวกเขามักจะรู้สึกว่าพวกเขาจะเป็น สามารถตัดและวิ่งได้อย่างปลอดภัยแม้ว่าผู้ควบคุมแก๊งค์หลักจะถูกจับ

ในทำนองเดียวกัน ผู้ให้บริการเซิร์ฟเวอร์อันธพาลมักถูกดึงดูดด้วยข้อเท็จจริงที่ว่าแม้ว่าลูกค้า บริษัทในเครือ หรือผู้ดูแลระบบของพวกเขาจะถูกจับกุม หรือถูกเปลี่ยนมือ หรือถูกแฮ็กโดยหน่วยงานบังคับใช้กฎหมาย พวกเขาก็ไม่สามารถเปิดเผยได้ว่าใครคือสมาชิกหลักของแก๊งหรือที่ใด โฮสต์กิจกรรมออนไลน์ที่เป็นอันตราย

ลบออกในที่สุด

ดูเหมือนว่าเหตุผลของการแถลงข่าวของ DOJ เมื่อวานนี้ก็คือ เจ้าหน้าที่สืบสวนของ FBI ซึ่งได้รับความช่วยเหลือจากหน่วยงานบังคับใช้กฎหมายทั้งในเยอรมนีและเนเธอร์แลนด์ ได้ระบุตำแหน่งและยึดเซิร์ฟเวอร์ Darkweb ที่แก๊ง Hive ใช้งานแล้ว:

ในที่สุด แผนกได้ประกาศในวันนี้[2023-01-26] ว่าด้วยการประสานงานกับหน่วยงานบังคับใช้กฎหมายของเยอรมนี (สำนักงานตำรวจอาชญากรรมแห่งสหพันธรัฐเยอรมนีและกองบัญชาการตำรวจรอยต์ลิงเงน-CID Esslingen) และหน่วยงานอาชญากรรมเทคโนโลยีขั้นสูงแห่งชาติเนเธอร์แลนด์ ได้เข้าควบคุม เซิร์ฟเวอร์และเว็บไซต์ที่ Hive ใช้เพื่อสื่อสารกับสมาชิก ทำให้ Hive ไม่สามารถโจมตีและขู่กรรโชกผู้ที่ตกเป็นเหยื่อได้

จะทำอย่างไร?

เราเขียนบทความนี้เพื่อปรบมือให้ FBI และพันธมิตรผู้บังคับใช้กฎหมายในยุโรปที่ก้าวมาไกลถึงเพียงนี้...

…สืบสวน แทรกซึม สอดแนม และในที่สุดก็โจมตีโครงสร้างพื้นฐานปัจจุบันของทีมงานแรนซั่มแวร์ชื่อกระฉ่อนรายนี้ พร้อมเรียกร้องแบล็กเมล์มูลค่าครึ่งล้านดอลลาร์โดยเฉลี่ย และความเต็มใจที่จะพาโรงพยาบาลออกจากโรงพยาบาลอย่างง่ายดายราวกับไล่ตามใครก็ตาม เครือข่ายของผู้อื่น

น่าเสียดายที่คุณอาจเคยได้ยินถ้อยคำที่ซ้ำซากจำเจแล้ว อาชญากรรมไซเบอร์เกลียดชังสุญญากาศและนั่นเป็นเรื่องจริงที่น่าเศร้าสำหรับผู้ให้บริการแรนซัมแวร์พอๆ กับแง่มุมอื่นๆ ของอาชญากรออนไลน์

หากสมาชิกแก๊งแกนหลักไม่ถูกจับกุม พวกเขาอาจนอนเฉยๆ ชั่วขณะหนึ่ง แล้วผุดขึ้นมาภายใต้ชื่อใหม่ (หรืออาจถึงขั้นจงใจฟื้นฟู "แบรนด์" เก่าของพวกเขาอย่างจงใจ) ด้วยเซิร์ฟเวอร์ใหม่ ซึ่งสามารถเข้าถึงได้อีกครั้งบน darkweb แต่อยู่ในตำแหน่งใหม่และตอนนี้ไม่รู้จัก

หรือแก๊งแรนซั่มแวร์อื่น ๆ จะเพิ่มการดำเนินงานของพวกเขาโดยหวังว่าจะดึงดูด "พันธมิตร" บางส่วนที่ถูกทิ้งไว้โดยไม่มีแหล่งรายได้ที่ผิดกฎหมายที่ร่ำรวย

ไม่ว่าจะด้วยวิธีใด การลบเนื้อหาเช่นนี้เป็นสิ่งที่เราต้องการอย่างเร่งด่วน ซึ่งเราต้องให้กำลังใจเมื่อมันเกิดขึ้น แต่นั่นไม่น่าจะทำให้อาชญากรไซเบอร์ในภาพรวมลดลงมากไปกว่าการลดลงชั่วคราว

เพื่อลดจำนวนเงินที่อาชญากรแรนซัมแวร์ดูดไปจากระบบเศรษฐกิจของเรา เราจำเป็นต้องมุ่งเป้าไปที่การป้องกันอาชญากรรมทางไซเบอร์ ไม่ใช่แค่การรักษาเท่านั้น

การตรวจจับ ตอบสนอง และป้องกันการโจมตีด้วยแรนซัมแวร์ที่อาจเกิดขึ้นได้ก่อนที่จะเริ่ม หรือในขณะที่กำลังเปิดโปง หรือแม้แต่ในช่วงเวลาสุดท้าย เมื่ออาชญากรพยายามปลดปล่อยกระบวนการเข้ารหัสไฟล์ขั้นสุดท้ายในเครือข่ายของคุณ จะดีกว่าเสมอ ความเครียดจากการพยายามฟื้นตัวจากการโจมตีจริง

ในฐานะ Mr Miagi แห่งชื่อเสียงของ Karate Kid สังเกตอย่างรู้เท่าทัน, “วิธีหลีกเลี่ยงการชกต่อยที่ดีที่สุด – ไม่ต้องอยู่ที่นั่น”

ฟังตอนนี้: หนึ่งวันในชีวิตของนักสู้อาชญากรรมไซเบอร์

พอล ดั๊กลินคุยกับ ปีเตอร์ แมคเคนซี่ผู้อำนวยการฝ่ายตอบสนองเหตุการณ์ที่ Sophos ในเซสชันความปลอดภัยทางไซเบอร์ที่จะปลุก สร้างความสนุกสนาน และให้ความรู้แก่คุณ ทั้งหมดนี้อยู่ในระดับที่เท่าเทียมกัน

เรียนรู้วิธีหยุดแรนซัมแวร์โจรก่อนที่จะหยุดคุณ! (เต็ม สำเนา มีอยู่.)

คลิกแล้วลากบนคลื่นเสียงด้านล่างเพื่อข้ามไปยังจุดใดก็ได้ นอกจากนี้คุณยังสามารถ ฟังโดยตรง บนซาวด์คลาวด์

ไม่มีเวลาหรือความเชี่ยวชาญในการดูแลการตอบสนองภัยคุกคามทางไซเบอร์? กังวลว่าความปลอดภัยในโลกไซเบอร์จะทำให้คุณเสียสมาธิจากสิ่งอื่นๆ ทั้งหมดที่คุณต้องทำใช่หรือไม่ ไม่แน่ใจว่าจะตอบสนองต่อรายงานด้านความปลอดภัยจากพนักงานที่กระตือรือร้นที่จะช่วยเหลืออย่างไร

เรียนรู้เพิ่มเติมเกี่ยวกับ การตรวจจับและการตอบสนองที่มีการจัดการของ Sophos:
การตามล่า การตรวจจับ และการตอบสนองตลอด 24 ชั่วโมงทุกวัน  ▶

ประทับเวลา:

เพิ่มเติมจาก ความปลอดภัยเปล่า