มันนี่เบิร์ด แรนซัมแวร์

กลุ่มแฮ็กเกอร์ชาวอิหร่าน Agrius หรือที่รู้จักกันในชื่อ Pink Sandstorm และชื่อเดิมคือ Americium ได้พัฒนาแรนซั่มแวร์สายพันธุ์ใหม่ที่เรียกว่า Moneybird เมื่อเร็วๆ นี้ มัลแวร์ที่คุกคามนี้ได้รับการสังเกตว่ากำหนดเป้าหมายไปที่องค์กรของอิสราเอลโดยเฉพาะ ซึ่งบ่งชี้ถึงการเปลี่ยนแปลงที่สำคัญในกลยุทธ์ของ Agrius

อาชญากรไซเบอร์ขยายคลังแสงที่คุกคามพวกเขา

Agrius มีประวัติในการดำเนินการโจมตีล้างข้อมูลแบบทำลายล้างต่อหน่วยงานของอิสราเอล โดยมักปลอมแปลงเป็นเหตุการณ์แรนซัมแวร์ การเกิดขึ้นของ Moneybird ซึ่งเขียนด้วยภาษา C++ แสดงให้เห็นถึงความเชี่ยวชาญที่เพิ่มขึ้นของกลุ่มและความมุ่งมั่นอย่างต่อเนื่องในการสร้างเครื่องมือทางไซเบอร์ใหม่ๆ

กิจกรรมของกลุ่มสามารถย้อนไปถึงเดือนธันวาคม 2020 เป็นอย่างน้อย เมื่อ Agrius มีส่วนร่วมในการขัดขวางความพยายามบุกรุกที่มุ่งเป้าไปที่อุตสาหกรรมเพชรในแอฟริกาใต้ อิสราเอล และฮ่องกง ก่อนหน้านี้ Agrius ใช้แรนซั่มแวร์ที่เปลี่ยนจาก Wiper ที่เรียกว่า Apostle ซึ่งใช้ .NET Framework และตัวต่อมาที่ชื่อ Fantasy อย่างไรก็ตาม Moneybird แสดงให้เห็นถึงความก้าวหน้าครั้งสำคัญสำหรับกลุ่ม โดยแสดงความสามารถทางไซเบอร์ที่พัฒนาขึ้นผ่านภาษาโปรแกรม C++

ผู้คุกคามใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยเพื่อเข้าถึง

วิธีการโจมตีที่ใช้โดย Moneybird Ransomware แสดงให้เห็นถึงความซับซ้อนในระดับสูง โดยเริ่มจากการใช้ประโยชน์จากช่องโหว่ที่มีอยู่ในเว็บเซิร์ฟเวอร์ที่เชื่อมต่อกับอินเทอร์เน็ต การแสวงหาประโยชน์ในขั้นต้นนี้ทำให้ผู้โจมตีมีจุดเริ่มต้นที่สำคัญในเครือข่ายขององค์กรเป้าหมาย ซึ่งอำนวยความสะดวกโดยการติดตั้ง ASPXSpy Web shell

เมื่อเข้าไปอยู่ในเครือข่ายที่ถูกบุกรุก Web shell จะทำหน้าที่เป็นช่องทางการสื่อสารสำหรับผู้โจมตีเพื่อดำเนินการเครื่องมือที่รู้จักกันดีซึ่งปรับแต่งเป็นพิเศษเพื่อดำเนินการสำรวจสภาพแวดล้อมของเหยื่ออย่างกว้างขวาง เครื่องมือเหล่านี้ช่วยให้ผู้โจมตีสามารถเคลื่อนที่จากด้านข้างภายในเครือข่าย รวบรวมข้อมูลประจำตัวที่มีค่า และกรองข้อมูลที่สำคัญออกไป

Moneybird Ransomware มาพร้อมกับความสามารถในการเข้ารหัสขั้นสูง

หลังจากขั้นตอนการแทรกซึมและการลาดตระเวนเริ่มต้น Moneybird Ransomware จะถูกเปิดใช้งานบนโฮสต์ที่ถูกบุกรุก แรนซั่มแวร์นี้ได้รับการออกแบบโดยเน้นที่การเข้ารหัสไฟล์ที่ละเอียดอ่อนซึ่งอยู่ภายในโฟลเดอร์ "F:\User Shares" เมื่อดำเนินการ แรนซั่มแวร์จะใช้บันทึกเรียกค่าไถ่ สร้างแรงกดดันอย่างมากต่อผู้ที่ตกเป็นเหยื่อให้ติดต่อภายในระยะเวลา 24 ชั่วโมง เพื่อเตือนพวกเขาถึงการรั่วไหลของข้อมูลที่ถูกขโมยสู่สาธารณะ

Moneybird Ransomware ใช้วิธีการเข้ารหัสที่ซับซ้อนสูง โดยใช้ AES-256 พร้อม GCM (โหมด Galois/Counter) เทคนิคการเข้ารหัสขั้นสูงนี้สร้างคีย์การเข้ารหัสเฉพาะสำหรับแต่ละไฟล์ และต่อท้ายข้อมูลเมตาที่เข้ารหัส การกำหนดเป้าหมายที่แม่นยำและการเข้ารหัสที่มีประสิทธิภาพซึ่งดำเนินการโดย Moneybird ทำให้งานกู้คืนข้อมูลและถอดรหัสไฟล์มีความท้าทายอย่างมาก ในกรณีส่วนใหญ่ หากไม่ใช่แทบจะเป็นไปไม่ได้

มาตรการรักษาความปลอดภัยที่สำคัญในการหยุดการโจมตีของแรนซัมแวร์

สามารถใช้มาตรการรักษาความปลอดภัยที่มีประสิทธิภาพเพื่อปกป้องอุปกรณ์และข้อมูลจากการโจมตีของแรนซัมแวร์ ประการแรก การบำรุงรักษาซอฟต์แวร์รักษาความปลอดภัยที่ทันสมัยและมีประสิทธิภาพเป็นสิ่งสำคัญ การอัปเดตโปรแกรมป้องกันมัลแวร์อย่างสม่ำเสมอพร้อมกับการเปิดใช้งานการอัปเดตอัตโนมัติจะช่วยป้องกันภัยคุกคามล่าสุด

การใช้รหัสผ่านที่รัดกุมและไม่ซ้ำกันสำหรับทุกบัญชีเป็นอีกขั้นตอนที่สำคัญ ประกอบด้วยการใช้ตัวอักษร ตัวเลข และสัญลักษณ์ผสมกัน รวมทั้งหลีกเลี่ยงรหัสผ่านทั่วไปและเดาได้ง่าย นอกจากนี้ การเปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยยังเพิ่มความปลอดภัยอีกชั้นหนึ่งโดยกำหนดให้มีขั้นตอนการยืนยันเพิ่มเติมเพื่อเข้าถึงบัญชี

การสำรองข้อมูลที่เกี่ยวข้องเป็นประจำมีความสำคัญต่อการลดผลกระทบจากการโจมตีของแรนซัมแวร์ การสร้างการสำรองข้อมูลแบบออฟไลน์หรือการใช้โซลูชันพื้นที่เก็บข้อมูลบนคลาวด์ทำให้มั่นใจได้ว่าสามารถกู้คืนไฟล์ที่สำคัญได้ในกรณีที่เกิดการเข้ารหัสหรือสูญหาย

ระมัดระวังในขณะที่ท่องอินเทอร์เน็ตและโต้ตอบกับอีเมลเป็นสิ่งสำคัญ ผู้ใช้ควรสงสัยเมื่อคลิกลิงก์ที่น่าสงสัยหรือดาวน์โหลดไฟล์จากแหล่งที่ไม่น่าเชื่อถือ สิ่งสำคัญคือต้องระแวดระวังและหลีกเลี่ยงการเยี่ยมชมเว็บไซต์ที่อาจเป็นอันตรายหรือมีส่วนร่วมกับอีเมลที่น่าสงสัย เนื่องจากอาจมีแรนซัมแวร์เพย์โหลด

การให้ความรู้แก่ตนเองและรับทราบข้อมูลเกี่ยวกับภัยคุกคามความปลอดภัยทางไซเบอร์ล่าสุดและเทคนิคการโจมตีนั้นมีประโยชน์อย่างมาก การตระหนักถึงกลยุทธ์วิศวกรรมสังคมทั่วไปที่ใช้ในการโจมตีแบบฟิชชิ่งและการตระหนักถึงสัญญาณของการติดไวรัสแรนซัมแวร์ที่อาจเกิดขึ้นสามารถช่วยผู้ใช้ในการดำเนินมาตรการเชิงรุกเพื่อป้องกันและตอบสนองต่อการโจมตีดังกล่าว

การอัปเดตระบบปฏิบัติการ แอปพลิเคชัน และเฟิร์มแวร์อย่างสม่ำเสมอถือเป็นสิ่งสำคัญอีกประการหนึ่งในการรักษาความปลอดภัยที่แข็งแกร่ง แพตช์และการอัปเดตมักมีการแก้ไขด้านความปลอดภัยที่แก้ไขช่องโหว่ที่อาจถูกโจมตีโดยแรนซัมแวร์และมัลแวร์อื่นๆ

ด้วยการใช้มาตรการรักษาความปลอดภัยเหล่านี้ร่วมกัน ผู้ใช้สามารถปรับปรุงการป้องกันอุปกรณ์และข้อมูลของตนจากผลกระทบร้ายแรงของการโจมตีของแรนซัมแวร์