นักวิจัยจาก Picus Security เปิดเผยว่ากลุ่ม Ransomware มีการพัฒนาวิธีการโจมตีให้ซับซ้อนมากขึ้นอย่างต่อเนื่อง โดยผู้ไม่ประสงค์ดีไม่ได้มุ่งเพียงการเข้ารหัสข้อมูลเท่านั้น แต่ยังพยายาม ปิดหรือทำให้ระบบรักษาความปลอดภัยและระบบตรวจสอบภายในองค์กรไม่สามารถทำงานได้ก่อนเริ่มกระบวนการเข้ารหัส เพื่อป้องกันไม่ให้กิจกรรมของตนถูกตรวจจับหรือขัดขวาง โดยพฤติกรรมที่พบประกอบด้วยการหยุดการทำงานของ EDR และ Antivirus รวมถึงการปิดระบบ Backup และ Database Services ที่อาจขัดขวางการเข้ารหัสข้อมูล
กลไกการโจมตี: ปิดทุกช่องทางตรวจจับก่อนลงมือ
จากการวิเคราะห์กลุ่ม Ransomware ที่มีอัตราการถูกป้องกันต่ำที่สุดในปี 2569 พบเทคนิคเด่นดังนี้:
- BabLock ใช้ Legitimate Vendor Uninstaller ซึ่งเป็นเครื่องมือที่ผู้ผลิตซอฟต์แวร์รักษาความปลอดภัยจัดทำไว้เพื่อถอนการติดตั้งอย่างถูกต้อง มายุติการทำงานของ Antivirus, EDR, Backup และ Database Process จากนั้นล้าง Security และ System Event Log ทิ้งเพื่อลบร่องรอย
- LockBit 5.0 เลือกแนวทางที่ต่างออกไปโดยแทรกแซง Event Tracing for Windows (ETW) ซึ่งเป็นกลไก Telemetry หลักที่ผลิตภัณฑ์ Monitoring จำนวนมากพึ่งพา การดัดแปลงของ LockBit ทำให้ฟังก์ชันบันทึก Event หลัก Return โดยไม่บันทึกข้อมูลใดๆ ส่งผลให้ระบบตรวจสอบ "มองไม่เห็น" กิจกรรมที่เกิดขึ้นจริงบนเครื่อง แม้ Agent ยังทำงานอยู่ก็ตาม
กลุ่ม Ransomware ที่มีอัตราการถูกป้องกันต่ำที่สุดจากการทดสอบในปี 2569 ได้แก่ Play (13%) และ BlackByte (25%) ตามด้วย LockBit, BabLock, Magniber, FAUST, Sodinokibi/REvil, Hive, BlackKingdom และ Maori
ระบบที่ได้รับผลกระทบ
- องค์กรที่ใช้ Windows Endpoint ที่ติดตั้ง EDR/Antivirus โดยไม่ได้เปิดใช้งาน Tamper Protection
- ระบบ Backup และ Database ที่เข้าถึงได้จาก Network เดียวกับเครื่องที่อาจถูกยึดครอง
- องค์กรที่พึ่งพา Event Tracing for Windows (ETW) เป็นแหล่งข้อมูลหลักสำหรับ SIEM/Monitoring โดยไม่มีกลไกตรวจสอบว่า ETW เองถูกดัดแปลงหรือไม่
ผลกระทบที่อาจเกิดขึ้น
- ทีมความปลอดภัยสูญเสียทั้ง Early Warning และช่องทางกู้คืนข้อมูลไปพร้อมกัน หาก EDR, Event Log และ Backup ถูกปิดในเวลาใกล้เคียงกัน
- การเข้ารหัสข้อมูลอาจลุกลามเป็นวงกว้างก่อนที่องค์กรจะทันรู้ตัว เนื่องจากไม่มีสัญญาณเตือนจากระบบตรวจสอบที่ควรทำงานอยู่
- การกู้คืนระบบยากขึ้นอย่างมาก แม้จะมีการเจรจาหรือไม่จ่ายค่าไถ่ก็ตาม เนื่องจาก Backup ถูกทำลายไปพร้อมกับข้อมูลหลัก
- การสืบสวนเหตุการณ์ภายหลัง (Forensics) ทำได้ยากขึ้น เนื่องจาก Event Log ถูกล้างทิ้งหรือ ETW ถูกดัดแปลงไม่ให้บันทึกข้อมูล
สิ่งที่องค์กรควรทำ
- เปิดใช้งาน Tamper Protection บน EDR/Antivirus ทุกเครื่อง เพื่อป้องกันการ Uninstall หรือหยุดการทำงานโดยไม่ได้รับอนุญาต และตั้งค่าให้แจ้งเตือนทันทีเมื่อมีความพยายามดังกล่าว
- สำรองข้อมูลแบบ Offline หรือ Immutable Backup ที่ไม่สามารถเข้าถึงหรือลบผ่านเครือข่ายปกติได้ เพื่อให้มั่นใจว่ายังมีข้อมูลกู้คืนได้แม้ Backup ออนไลน์จะถูกทำลาย
- ตรวจสอบ Log การ Uninstall ซอฟต์แวร์รักษาความปลอดภัยและการหยุดทำงานของ Database/Backup Service อย่างสม่ำเสมอ เนื่องจากมักเป็นสัญญาณเริ่มต้นของการโจมตี Ransomware
- พิจารณาแหล่งข้อมูล Telemetry เสริมนอกเหนือจาก ETW เช่น Network-based Detection ที่ไม่ได้พึ่งพา Agent บนเครื่องเพียงอย่างเดียว เพื่อลดความเสี่ยงหาก ETW ถูกดัดแปลง
แนวทางลดความเสี่ยงระยะยาว
1. ยึดหลัก Defense-in-Depth ไม่พึ่งพา EDR เพียงชั้นเดียว
ควรมีการตรวจจับระดับ Network และ Identity ควบคู่กัน เพื่อให้ยังมีสัญญาณเตือนแม้ Endpoint Agent ถูกปิดการทำงาน
2. ทดสอบ Backup Recovery Plan อย่างสม่ำเสมอในสภาพแวดล้อมที่แยกออกจากเครือข่ายหลัก
เพื่อยืนยันว่า Backup ยังใช้งานได้จริงและไม่ถูกเข้าถึงจากเครือข่ายที่อาจถูกยึดครอง
3. จำกัดสิทธิ์การ Uninstall หรือแก้ไขการตั้งค่า EDR/Antivirus ให้เฉพาะบัญชี Admin ที่มีการควบคุมเข้มงวด
ลดโอกาสที่ผู้โจมตีจะใช้ Legitimate Uninstaller เป็นเครื่องมือปิดการป้องกัน
4. ติดตามงานวิจัยด้าน Ransomware Tradecraft จากแหล่งข้อมูลด้านความปลอดภัยอย่างต่อเนื่อง
เนื่องจากเทคนิคการหลบเลี่ยงการตรวจจับมีการพัฒนาอย่างรวดเร็วและแตกต่างกันในแต่ละกลุ่ม Ransomware
วิเคราะห์ในมุมมองจาก TXEC
แนวโน้มที่กลุ่ม Ransomware มุ่งโจมตี "ระบบตรวจจับ" ก่อนจะเข้ารหัสข้อมูลจริง สะท้อนว่าผู้โจมตีเข้าใจดีว่าการตรวจจับได้ทันเวลาคือปัจจัยชี้ขาดในการหยุดยั้งความเสียหาย เมื่อ EDR, Event Log และ Backup ถูกปิดพร้อมกัน องค์กรจะสูญเสียทั้งสัญญาณเตือนล่วงหน้าและทางเลือกในการกู้คืน กลายเป็นสถานการณ์ที่ยากจะรับมือแม้จะมีมาตรการป้องกันพื้นฐานครบถ้วน
TXEC มองว่าจุดที่องค์กรควรให้ความสำคัญเป็นพิเศษคือ Tamper Protection และ Immutable Backup ซึ่งเป็นมาตรการที่ตรงจุดที่สุดในการรับมือเทคนิคกลุ่มนี้ นอกจากนี้การไม่พึ่งพา ETW เพียงแหล่งเดียวสำหรับ Telemetry ยังเป็นแนวทางสำคัญ เนื่องจากกรณีของ LockBit 5.0 แสดงให้เห็นว่าแม้ Agent จะยังทำงานอยู่ แต่ข้อมูลที่บันทึกได้อาจไม่ตรงกับความเป็นจริงหากกลไกการบันทึกถูกดัดแปลงไปแล้ว
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CyberSecurityNews, Picus Security, Cryptika Cybersecurity ]