Ransomware เข้าองค์กรได้ทางไหน และปิดแต่ละทางอย่างไร

Ransomware ส่วนใหญ่ไม่ได้เริ่มจากการเข้ารหัสไฟล์ครับ ก่อนจะถึงขั้นนั้น ผู้โจมตีต้องเข้ามาในเครือข่ายให้ได้ก่อน และช่องทางที่ใช้กันซ้ำ ๆ มีไม่กี่แบบ ถ้ารู้ว่าแต่ละแบบคืออะไร ก็จะรู้ว่าควรปิดตรงไหนก่อน

บทความนี้ใช้สองแหล่งหลัก คือ #StopRansomware Guide ที่ CISA, MS-ISAC, NSA และ FBI ออกร่วมกัน ซึ่งจัดกลุ่มวิธีป้องกันตามช่องทางเข้าแรก (initial access vector) และ tactic Initial Access (TA0001) ใน MITRE ATT&CK v17

ENTRY ROUTE             CONTROL         NETWORK      FILES      
                                       ┌──────────┐ ┌──────────┐
exposed RDP/VPN    ────────────────────│         ●│ │□ a.docx  │
                                       │          │ │          │
stolen password    ────────────────────│          │ │□ b.pdf   │
                                       │          │ │          │
phishing mail      ────────────────────│          │ │□ c.xlsx  │
                                       │ internal │ │          │
earlier malware    ────────────────────│          │ │□ d.jpg   │
                                       │          │ │          │
fake site          ────────────────────│          │ │□ e.pptx  │
                                       │          │ │          │
MSP / 3rd party    ────────────────────│          │ │□ f.src   │
                                       └──────────┘ └──────────┘
                                                                
no controls: route -> network -> files encrypted (T1486)        
                                                                
initial access first; encryption is the last step               

Ransomware คืออะไร

Ransomware คือ malware ที่เข้ารหัสไฟล์บนเครื่อง ทำให้ไฟล์และระบบที่พึ่งไฟล์นั้นใช้งานไม่ได้ แล้วเรียกค่าไถ่แลกกับการถอดรหัส ช่วงหลังผู้โจมตีมักขโมยข้อมูลออกไปด้วย แล้วขู่ว่าจะปล่อยข้อมูลถ้าไม่จ่าย การทำทั้งสองอย่างพร้อมกันเรียกว่า "double extortion" และบางกลุ่มขโมยข้อมูลไปขู่อย่างเดียวโดยไม่เข้ารหัสเลย

ใน ATT&CK การเข้ารหัสไฟล์คือ technique Data Encrypted for Impact (T1486) ซึ่งอยู่ใน tactic Impact ไฟล์ที่โดนบ่อยคือไฟล์งานทั่วไป เช่น Office, PDF, รูป และ source code และบางครั้งผู้โจมตีเข้ารหัส virtual machine บน ESXi หรือ hypervisor อื่นด้วย

ขั้น Impact อยู่ท้ายสุด ขั้นแรกคือ Initial Access ซึ่ง ATT&CK อธิบายว่าเป็นช่วงที่ผู้โจมตีพยายามเข้ามาในเครือข่าย บทความนี้จะอยู่กับขั้นแรกนี้เป็นหลักครับ

Ransomware เข้าองค์กรได้ทางไหนบ้าง

#StopRansomware Guide แบ่งช่องทางเข้าแรกไว้หกกลุ่ม (CISA) ผมจับคู่แต่ละกลุ่มกับ technique ใน ATT&CK v17 ที่ใกล้ที่สุดไว้ด้านล่าง (การจับคู่นี้เป็นของผมเอง ไม่ได้อยู่ใน guide)

ใน ATT&CK v17 tactic Initial Access มีทั้งหมด 11 technique ส่วนที่ไม่ได้อยู่ในตาราง เช่น Hardware Additions หรือ Replication Through Removable Media ก็เป็นทางเข้าได้ แต่ guide ของ CISA ไม่ได้ยกเป็นกลุ่มหลัก

ระบบที่เปิดออก internet ถูกใช้เป็นทางเข้าได้อย่างไร

ผู้โจมตีหาเครื่องที่เปิด service ออก internet แล้วใช้ช่องโหว่ที่ยังไม่ได้แพตช์ หรือ service ที่ตั้งค่าไว้หลวม เพื่อเข้ามาในเครือข่าย ATT&CK อธิบาย T1190 ว่าเป็นการใช้จุดอ่อนของเครื่องที่หันหน้าออก internet ซึ่งอาจเป็น bug การทำงานผิดพลาดชั่วคราว หรือการตั้งค่าผิด ส่วน T1133 คือการใช้ VPN, Citrix และ remote service อื่นที่ให้คนข้างนอกเชื่อมเข้าเครือข่ายภายใน

CISA เขียนตรง ๆ ว่าผู้โจมตีมักได้ initial access ผ่าน remote service ที่เปิดออก internet และป้องกันไม่ดี และมักใช้ช่องโหว่ VPN หรือ credential ที่หลุดด้วย

สิ่งที่ guide แนะนำสำหรับช่องทางนี้ (CISA):

• อย่าเปิด RDP ออก web ถ้าจำเป็นต้องเปิด ต้องมี control ชดเชย และปิด port ที่ไม่ได้ใช้ เช่น RDP ที่ TCP 3389
• สแกนหาช่องโหว่สม่ำเสมอ โดยเฉพาะอุปกรณ์ที่หันออก internet
• แพตช์ระบบที่หันออก internet ก่อน โดยเฉพาะช่องโหว่ที่อยู่ใน Known Exploited Vulnerabilities catalog
• อัปเดต VPN และอุปกรณ์เครือข่าย และเปิด MFA กับทุก VPN connection
• บล็อก SMB ที่ขอบเครือข่าย คือ TCP 445 ทั้งขาเข้าและขาออก รวมถึง TCP 137, 138 และ 139 และปิด SMBv1

ถ้าเขียนเป็น rule ที่ firewall ขอบเครือข่าย ข้อสุดท้ายหน้าตาประมาณนี้ (ชื่อ zone และรูปแบบ syntax เป็นตัวอย่าง แต่ละยี่ห้อเขียนต่างกัน):

rule  block-smb-edge
  from  untrust  to  any     service  tcp/445, tcp/137-139   action  deny   log
  from  any      to  untrust service  tcp/445, tcp/137-139   action  deny   log

รหัสผ่านที่หลุดพาผู้โจมตีเข้ามาได้อย่างไร

ผู้โจมตีเอา username และ password ที่ได้มาจากที่อื่นมา login เข้าระบบตรง ๆ เหมือนผู้ใช้ปกติ ATT&CK เรียกสิ่งนี้ว่า Valid Accounts และระบุว่าใช้กับ VPN, Outlook Web Access, อุปกรณ์เครือข่าย และ remote desktop ได้ ข้อที่ทำให้จับยากคือผู้โจมตีอาจไม่ใช้ malware เลย เพราะการ login ด้วยบัญชีจริงดูเหมือนการใช้งานปกติ

วิธีป้องกันจาก guide (CISA):

• phishing-resistant MFA สำหรับทุก service โดยเฉพาะอีเมล VPN และบัญชีที่เข้าระบบสำคัญ
• เปลี่ยน username และ password เริ่มต้นของ admin
• รหัสผ่านไม่ซ้ำกัน ยาวอย่างน้อย 15 ตัวอักษร
• ล็อกบัญชีเมื่อ login ผิดหลายครั้ง และเก็บ log เพื่อดู brute force และ password spraying
• แยกบัญชี admin ออกจากบัญชีใช้งานประจำ
• ใช้ LAPS กับรหัสผ่าน local administrator

ข้อแรกสำคัญที่สุดในกลุ่มนี้ครับ เพราะถ้า login ต้องใช้ปัจจัยที่สองที่ phishing เอาไปไม่ได้ รหัสผ่านที่หลุดอย่างเดียวก็ไม่พอให้เข้าระบบ

Phishing ส่ง ransomware เข้ามาได้อย่างไร

Phishing คือการส่งข้อความหลอกให้ผู้รับเปิดไฟล์ คลิกลิงก์ หรือให้ข้อมูล ATT&CK แยกไว้สี่แบบ คือ แนบไฟล์ แนบลิงก์ ส่งผ่าน service ภายนอก และหลอกทางโทรศัพท์ แบบแนบไฟล์มักอาศัยให้ผู้ใช้เปิดไฟล์เอง (User Execution) ส่วนแบบลิงก์ใช้ลิงก์แทนไฟล์เพื่อหลบระบบที่ตรวจไฟล์แนบ

guide ของ CISA ให้ข้อสังเกตที่ใช้ได้ทันทีหลายข้อ (CISA):

• malware มักอยู่ในไฟล์บีบอัดที่ใส่รหัสผ่าน เพื่อให้ antivirus และ email filter สแกนไม่ได้
• ไฟล์ OneNote ที่ฝัง malware เคยถูกใช้ใน campaign phishing จึงควรทบทวนรายการนามสกุลไฟล์ที่กรองอย่างน้อยทุกหกเดือน
• ปิด macro ในไฟล์ Office ที่มาทางอีเมล
• ตั้ง DMARC แต่ต้องรู้ว่า DMARC ปกป้องโดเมนของเราจากการถูกปลอม ไม่ได้กันอีเมลปลอมขาเข้าจากโดเมนที่ไม่ได้ตั้ง DMARC
• ปิด Windows Script Host
• ติดป้ายอีเมลที่มาจากภายนอกในโปรแกรมอีเมล

Malware ที่ติดอยู่ก่อนเกี่ยวกับ ransomware อย่างไร

ransomware หลายครั้งเป็นขั้นต่อจาก malware ตัวอื่นที่ติดเครื่องมาก่อนแล้ว CISA ระบุว่า ransomware อาจเป็นหลักฐานของการถูกเจาะที่ยังไม่ได้แก้ และยกตัวอย่าง QakBot, Bumblebee และ Emotet ในบางกรณี ransomware ถูกปล่อยเป็นขั้นสุดท้ายเพื่อกลบร่องรอยของสิ่งที่ทำไปก่อนหน้า เช่น business email compromise

ความหมายในทางปฏิบัติคือ alert เล็ก ๆ จาก antivirus หรือ EDR บนเครื่องผู้ใช้ไม่ควรถูกปิดทิ้งโดยไม่ดูต่อ guide แนะนำให้ (CISA):

• ใช้ antivirus ที่จัดการจากส่วนกลาง และตั้งให้ส่ง warning ไปถึงทีม security
• ใช้ application allowlisting หรือ EDR บนทุกเครื่อง บน Windows คือ WDAC และ AppLocker
• ใช้ IDS เพื่อจับ command and control ก่อน ransomware ถูกปล่อย

หลอกผู้ใช้แบบอื่นและผู้ให้บริการภายนอกเป็นทางเข้าได้อย่างไร

สองกลุ่มสุดท้ายใน guide ไม่ได้ผ่านอีเมลหรือ VPN ของเราโดยตรง กลุ่มแรกคือ social engineering แบบอื่น เช่น เว็บไซต์ปลอมและผลการค้นหาปลอม ซึ่ง guide แนะนำให้สอนผู้ใช้ให้รู้จักเว็บไซต์และผลการค้นหาที่ไม่ใช่ของจริง ใช้ Protective DNS และพิจารณา sandboxed browser ในฝั่ง ATT&CK สิ่งที่ใกล้ที่สุดคือ Drive-by Compromise ซึ่งเกิดเมื่อผู้ใช้เข้าเว็บไซต์ตามปกติ

กลุ่มที่สองคือบุคคลที่สามและ MSP CISA ระบุว่า MSP เคยเป็นช่องทางที่ ransomware เข้าไปถึงลูกค้าหลายองค์กร ใน ATT&CK คือ Trusted Relationship ซึ่งใช้การเชื่อมต่อที่มีอยู่แล้วและมักถูกตรวจน้อยกว่าทางเข้าปกติ สิ่งที่ทำได้คือให้บุคคลที่สามเข้าถึงเฉพาะเครื่องที่อยู่ในขอบเขตงาน เขียนข้อกำหนดด้าน security ไว้ในสัญญา และตรวจบัญชี remote monitoring and management ที่เปิดสู่สาธารณะเป็นประจำ

ถ้าผู้โจมตีเข้ามาแล้ว อะไรช่วยให้กู้ระบบคืนได้

backup ที่อยู่ offline และทดสอบกู้คืนแล้ว คือสิ่งแรกที่ guide ของ CISA ใส่ไว้ในส่วนเตรียมตัว เหตุผลคือ ransomware หลายตัวพยายามหา backup ที่เข้าถึงได้แล้วลบหรือเข้ารหัสทิ้ง backup ที่ต่ออยู่กับเครือข่ายตลอดเวลาจึงอาจโดนไปพร้อมกับเครื่องหลัก

ส่วนเตรียมตัวใน guide มีอีกหลายข้อ (CISA):

• เก็บ "golden image" ของระบบสำคัญ และเก็บ template ของ infrastructure as code ไว้ offline
• มี incident response plan และแผนสื่อสาร ที่มีฉบับกระดาษและฉบับ offline
• อัปเดตและ harden hypervisor เพราะผู้โจมตีเริ่มเล็ง VMware ESXi และระบบที่รวมศูนย์ ซึ่งทำให้เข้ารหัส infrastructure ได้ทีละมาก ๆ

ควรเริ่มทำข้อไหนก่อน

ถ้าต้องเลือก ผมจะเริ่มจากสิ่งที่ผู้โจมตีเห็นได้จาก internet ก่อน เพราะเป็นส่วนที่ไม่ต้องรอให้ใครในองค์กรพลาด ด้านล่างเป็นลำดับที่ผมใช้คิด ทุกข้อมาจาก guide แต่การเรียงลำดับเป็นความเห็นของผมครับ

1. ทำรายการทุกอย่างที่เปิดออก internet: VPN, RDP, เว็บ, อีเมล และอุปกรณ์ที่มีหน้า admin
2. ปิด RDP และ SMB ที่ขอบเครือข่าย แพตช์ VPN และอุปกรณ์ edge โดยดู KEV catalog ก่อน
3. เปิด phishing-resistant MFA กับ VPN อีเมล และบัญชี admin
4. ทดสอบกู้คืน backup offline จริงอย่างน้อยหนึ่งระบบ
5. ตั้ง email filter ปิด macro และทบทวนนามสกุลไฟล์ที่บล็อก
6. ส่ง alert จาก antivirus และ EDR ไปที่คนที่ต้องดูจริง
7. ทบทวนสิทธิ์ของ MSP และบุคคลที่สาม

แต่ละข้อไม่ได้กันทุกอย่าง แต่ทุกข้อทำให้ช่องทางที่ใช้กันบ่อยที่สุดใช้ยากขึ้น ซึ่งเป็นสิ่งที่ guide ฉบับนี้ตั้งใจไว้ตั้งแต่ต้นครับ

แหล่งอ้างอิง

• CISA, MS-ISAC, NSA, FBI: #StopRansomware Guide (กันยายน 2566)
• CISA: Known Exploited Vulnerabilities Catalog
• MITRE ATT&CK v17: Initial Access (TA0001)
• MITRE ATT&CK v17: Data Encrypted for Impact (T1486)
• MITRE ATT&CK v17: Exploit Public-Facing Application (T1190)
• MITRE ATT&CK v17: External Remote Services (T1133)
• MITRE ATT&CK v17: Valid Accounts (T1078)
• MITRE ATT&CK v17: Phishing (T1566)
• MITRE ATT&CK v17: Drive-by Compromise (T1189)
• MITRE ATT&CK v17: Trusted Relationship (T1199)
• MITRE ATT&CK v17: Supply Chain Compromise (T1195)