Update ข้อมูลจากข่าว Hive Ransomware

FBI ได้เปิดเผยรายงานเกี่ยวกับเทคนิค และ IOC ที่เกี่ยวข้องกับการโจมตีของ Hive Ransomware

Hive Ransomware ได้ใช้วิธี เทคนิค และขั้นตอนที่หลากหลาย ที่ทำให้องค์กรต่าง ๆ ทำการป้องกันได้ยาก โดยวิธีทีใช้เข้าถึงเครือข่ายของเป้าหมาย จะใช้การส่ง Phishing email พร้อมไฟล์แนบที่เป็นอันตราย และโจมตีผ่านช่องทาง Remote Desktop Protocol (RDP) ซึ่งเทคนิคการโจมตีก็จะคล้าย ๆ กับ Ransomware ตัวอื่น ๆ ก็คือจะมีการขโมยข้อมูลที่มีความสำคัญออกไป ก่อนที่จะทำการเข้ารหัสไฟล์ เพื่อใช้กดดันเหยื่อให้จ่ายค่าไถ่ และนอกจากนั้นผู้โจมตียังจะทำการค้นหากระบวนการเกี่ยวกับการสำรองข้อมูล การคัดลอกไฟล์ และการป้องกัน เช่น Windows Defender เพื่อทำการ Terminates กระบวนการเหล่านี้

หลังจากโจมตีสำเร็จ จะมีการทิ้ง hive.bat script ที่จะดำเนินการลบตัวเองทิ้งหลังจากลบตัวติดตั้ง Hive malware ออกไปแล้ว และยังมี Script อื่น เช่น shadow.bat ที่มีหน้าที่ในการลบ shadow copies, backup files และ system snapshots และลบตัวเองออกจากเครื่องที่ทำการโจมตี

นอกจากนี้ FBI ยังพบว่าผู้โจมตีจะใช้บริการแชร์ไฟล์ ที่ส่วนใหญ่จะไม่มีการระบุตัวตน เช่น Anonfiles, MEGA, Send.Exploit, Ufile หรือ SendSpace และแม้ว่าจะพบ Hive Ransomware ครั้งแรกในช่วงปลายเดือนมิถุนายน แต่ก็ได้มีการโจมตีองค์กรไปมากกว่า 30 แห่งแล้ว ซึ่งนับเฉพาะเหยื่อที่ปฏิเสธค่าไถ่ และเหยื่อรายล่าสุด คือ Memorial Health System ที่ถูกผู้โจมตีขโมยฐานข้อมูลที่มีข้อมูลของผู้ป่วยมากกว่า 2 แสนราย ออกไป

FBI ยังได้แนะนำว่าไม่ควรจ่ายเงินให้กับผู้โจมตี เพราะไม่มีอะไรรับประกันได้ว่าหลังจากจ่ายค่าไถ่แล้ว ผู้โจมตีจะทำลายข้อมูลที่ขโมยไปทิ้ง แทนที่จะเอาไปขาย

นอกจากนี้ยังแนะนำให้ทำการเพิ่ม IOC ที่เกี่ยวข้องกับ Hive Ransomware เข้าไปบนอุปกรณ์ความปลอดภัยขององค์กร เพื่อป้องกันการโจมตี ตามรายละเอียดด้านล่างนี้

Type Indicators
Domain bigblog[.]at
IP 176[.]123[.]8[.]228
MD5 b5045d802394f4560280a7404af69263
MD5 04FB3AE7F05C8BC333125972BA907398 *(Remark)
MD5 34c3a4538e89e2bc7cd66b01b6b21ffb
MD5 504bd1695de326bc533fde29b8a69319
MD5 7202c948aa5af1134efdfe978ec6ef60
MD5 7a731229659ec9175cfaf1358d0367f2
MD5 9e609932c59d043565c5d3e5260f571b
MD5 a0fb6a2a3eacbba40d193690c0486c4e
MD5 df5552357692e0cba5e69f8fbf06abb6
MD5 eb45ff7ea2ccdcceb2e7e14f9cc01397
MD5 f49a50f9867fa2be206aef078d2240f3
*Remark : MD5 นี้มีผลต่อโปรแกรม 7zip หากลูกค้ามีใช้งานในองค์กร ควรยกเว้นค่าดังกล่าว

ที่มา: BleepingComputer, ic3.gov