แรนซั่มแวร์ที่ถูกขโมย (MedusaLocker)

ด้วยวิวัฒนาการที่รวดเร็วของภัยคุกคามดิจิทัล แรนซัมแวร์ยังคงเป็นหนึ่งในอาชญากรรมไซเบอร์ที่สร้างความเสียหายและมีค่าใช้จ่ายสูงที่สุด การโจมตีเหล่านี้สามารถล็อกเหยื่อจากไฟล์ของตนเอง ขัดขวางการดำเนินธุรกิจ และนำไปสู่ความเสียหายทางการเงินและชื่อเสียงอย่างมีนัยสำคัญ ดังนั้น การรักษาสุขอนามัยด้านความปลอดภัยทางไซเบอร์ที่แข็งแกร่งจึงเป็นสิ่งสำคัญเพื่อลดความเสี่ยงจากการติดมัลแวร์ เช่น แรนซัมแวร์ที่ถูกขโมย (MedusaLocker)

ภาพรวมของ Ransomware ที่ถูกขโมย

นักวิจัยด้านความปลอดภัยไซเบอร์ได้ระบุ Stolen ซึ่งเป็นแรนซัมแวร์สายพันธุ์อันตรายที่อยู่ในตระกูล MedusaLocker เมื่อมัลแวร์เข้าถึงอุปกรณ์ได้ มันจะเข้ารหัสข้อมูลสำคัญและเปลี่ยนชื่อไฟล์ทันทีโดยเพิ่มนามสกุลไฟล์เฉพาะ '.stolen[number]' เช่น จาก '1.png' กลายเป็น '1.png.stolen30' หลังจากเข้ารหัสไฟล์แล้ว มัลแวร์จะทิ้งข้อความเรียกค่าไถ่ชื่อ 'READ_NOTE.html' ลงในไดเรกทอรีที่ได้รับผลกระทบ
บันทึกดังกล่าวแจ้งให้เหยื่อทราบว่าไฟล์ของพวกเขาถูกล็อคโดยใช้การผสมผสานอัลกอริธึมการเข้ารหัส RSA และ AES ซึ่งเป็นวิธีที่ออกแบบมาเพื่อให้การกู้คืนข้อมูลแทบจะเป็นไปไม่ได้เลยหากไม่มีคีย์การถอดรหัสที่ผู้โจมตีถือครอง

บันทึกเรียกค่าไถ่และคำเรียกร้องของผู้โจมตี

ข้อความเรียกค่าไถ่อธิบายว่าไฟล์ทั้งหมดได้รับการเข้ารหัสแล้ว และเตือนเหยื่อไม่ให้พยายามกู้คืนหรือแก้ไขไฟล์โดยใช้เครื่องมือของบุคคลที่สาม โดยอ้างว่าความพยายามดังกล่าวจะทำให้ข้อมูลสูญหายอย่างถาวร นอกจากนี้ยังยืนยันว่าผู้โจมตีได้ขโมยข้อมูลลับและข้อมูลส่วนบุคคลไปเก็บไว้ในเซิร์ฟเวอร์ส่วนตัว ซึ่งคาดว่าจะถูกทำลายหลังจากชำระเงินแล้ว

เพื่อกดดันเหยื่อ อาชญากรจึงขู่ว่าจะเผยแพร่หรือขายข้อมูลที่ถูกขโมยไป หากไม่จ่ายค่าไถ่ทันที พวกเขาแนะนำให้เหยื่อติดต่อผ่านทางอีเมลที่ให้ไว้ — stevensfalls@outlook.com หรือ richardfeuell@outlook.com — และเตือนว่าค่าไถ่จะเพิ่มขึ้นหลังจาก 72 ชั่วโมง

แม้จะมีภัยคุกคามเหล่านี้ การจ่ายค่าไถ่ก็เป็นสิ่งที่ไม่ควรทำอย่างยิ่ง ไม่มีการรับประกันว่าเหยื่อจะสามารถเข้าถึงข้อมูลของตนได้อีกครั้ง และการทำเช่นนั้นยิ่งส่งเสริมให้เกิดอาชญากรรมมากขึ้น ผู้ที่มีการสำรองข้อมูลแบบออฟไลน์ที่ปลอดภัยอาจสามารถกู้คืนไฟล์ได้โดยไม่ต้องติดต่อกับผู้โจมตี

พาหะนำโรคติดเชื้อและกลยุทธ์การแพร่กระจาย

แรนซัมแวร์ที่ถูกขโมยมีช่องทางการแพร่กระจายหลายช่องทาง ทำให้แรนซัมแวร์มีความหลากหลายและอันตรายสูง ผู้ก่อภัยคุกคามมักอาศัย:

• อีเมลฟิชชิ่งที่มีไฟล์แนบหรือลิงก์ที่ติดไวรัส ซึ่งเมื่อเปิดแล้วจะกระตุ้นให้ติดตั้งมัลแวร์
• ชุดช่องโหว่ที่ใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์ที่ไม่ได้รับการแก้ไข
• โฆษณาที่เป็นอันตราย (มัลแวร์โฆษณา) และการดาวน์โหลดแบบไม่ทันตั้งตัวซึ่งจะติดตั้งแรนซัมแวร์โดยอัตโนมัติเมื่อเข้าชมเว็บไซต์ที่ถูกบุกรุกหรือไม่ปลอดภัย

ในบางกรณี อุปกรณ์ USB ที่ติดไวรัส สคริปต์ที่เป็นอันตราย หรือไฟล์เก็บถาวรแบบบีบอัดยังใช้เพื่อส่งแรนซัมแวร์ให้กับผู้ใช้ที่ไม่สงสัยอีกด้วย

แนวทางปฏิบัติด้านความปลอดภัยที่แนะนำเพื่อป้องกันการติดเชื้อ Ransomware

การป้องกันแรนซัมแวร์ขั้นสูงอย่าง Stolen จำเป็นต้องมีแนวทางการรักษาความปลอดภัยเชิงรุกและแบบหลายชั้น ผู้ใช้ควรใช้แนวทางปฏิบัติที่ดีที่สุดต่อไปนี้เพื่อปกป้องระบบและข้อมูลของตน:

1. เสริมสร้างความปลอดภัยระบบและเครือข่าย

• อัปเดตระบบปฏิบัติการ ซอฟต์แวร์ และเครื่องมือด้านความปลอดภัยเป็นประจำเพื่อแก้ไขช่องโหว่ที่ทราบ
• ใช้โซลูชันแอนตี้มัลแวร์และไฟร์วอลล์ที่มีชื่อเสียงที่สามารถตรวจจับพฤติกรรมที่คล้ายกับแรนซัมแวร์ได้
• ปิดใช้งานแมโครและการทำงานของสคริปต์ในไฟล์แนบในอีเมลและเอกสารจากผู้ส่งที่ไม่รู้จัก
• ใช้การตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) และบังคับใช้นโยบายรหัสผ่านที่แข็งแกร่งเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต

2. ฝึกฝนพฤติกรรมออนไลน์อย่างปลอดภัยและตระหนักรู้

• หลีกเลี่ยงการเปิดอีเมลที่น่าสงสัยหรือดาวน์โหลดไฟล์จากแหล่งที่ไม่คุ้นเคย
• หลีกเลี่ยงการใช้ซอฟต์แวร์แคร็กหรือโปรแกรมดาวน์โหลดที่ไม่เป็นทางการ เนื่องจากมักมีมัลแวร์เป็นพาหะ
• สำรองไฟล์สำคัญไปยังที่เก็บข้อมูลแบบออฟไลน์หรือบนคลาวด์ที่ตัดการเชื่อมต่อจากระบบหลักของคุณเป็นประจำ
• ให้ความรู้แก่ผู้ใช้ภายในองค์กรเกี่ยวกับกลวิธีทางสังคมและฟิชชิ่งเพื่อลดความเสี่ยงในการเปิดไฟล์อันตรายโดยไม่ได้ตั้งใจ

ความคิดสุดท้าย

แรนซัมแวร์ที่ถูกขโมย (MedusaLocker) เป็นตัวอย่างที่แสดงให้เห็นว่าแคมเปญแรนซัมแวร์สมัยใหม่ผสมผสานการเข้ารหัสที่แข็งแกร่ง การบงการทางจิตวิทยา และการขโมยข้อมูลเข้าด้วยกันเพื่อสร้างผลกระทบสูงสุด เหยื่อควรให้ความสำคัญกับการควบคุมและการกู้คืนมากกว่าการปฏิบัติตามข้อเรียกร้องค่าไถ่ มาตรการรักษาความปลอดภัยทางไซเบอร์ที่มีประสิทธิภาพ ซึ่งรวมถึงการอัปเดตข้อมูลเป็นประจำ การเรียกดูข้อมูลอย่างระมัดระวัง และการสำรองข้อมูลที่ปลอดภัย ยังคงเป็นแนวป้องกันที่แข็งแกร่งที่สุดต่อการโจมตีด้วยแรนซัมแวร์