กลุ่ม Akira Ransomware ได้ปิดการทำงานของโซลูชัน Endpoint Detection and Response (EDR) บนระบบที่ถูกโจมตี โดยการรีสตาร์ทเครื่องเข้าสู่ Safe Mode with Networking (แบบเปิดใช้งานเครือข่าย)
การโจมตีเกิดขึ้นเมื่อวันที่ 4 สิงหาคม หลังจากที่แฮ็กเกอร์ได้สิทธิ์การเข้าถึงเบื้องต้นผ่านอุปกรณ์ SonicWall VPN ที่มีช่องโหว่ โดยไม่มีการตรวจสอบการยืนยันตัวตนแบบ MFA
Huntress บริษัทผู้ให้บริการ Managed Detection and Response (MDR) ระบุว่า ประมาณสองชั่วโมงหลังจากล็อกอิน VPN สำเร็จ ผู้โจมตีได้เชื่อมต่อไปยัง Domain Controller ผ่าน RDP ทำการไล่ดูรายชื่อผู้ใช้ และคอมพิวเตอร์ใน Active Directory แล้วจึงย้ายไปยัง Application Server
พวกเขาใช้ WinRAR เพื่อ Archive ไฟล์ที่แชร์ไว้ และใช้เครื่องมือ command-line ที่ชื่อ s5cmd เพื่ออัปโหลดข้อมูลที่ขโมยมาไปยัง S3 bucket ที่ผู้โจมตีควบคุมอยู่ ก่อนที่จะติดตั้ง AnyDesk สำหรับการเข้าถึงจากระยะไกล
ในขั้นตอนนี้ ผู้โจมตีใช้ AnyDesk เพื่อบังคับให้ Host ที่ถูกโจมตี Boot เข้าสู่ Safe Mode with Networking และปิดการทำงานของทั้ง Huntress agent และระบบป้องกันแบบ Real-time ของ Microsoft Defender
Safe Mode คือสถานะการเริ่มต้นระบบของ Windows ที่ออกแบบมาสำหรับการแก้ไขปัญหา และวิเคราะห์ระบบ โดยจะเริ่มการทำงานของ Windows ด้วยชุด Drivers และ Services ที่จำกัด ซึ่งโดยทั่วไปจะป้องกันไม่ให้ Software และ Services ของ Third-party ส่วนใหญ่โหลดขึ้นมาทำงาน
Huntress ระบุว่า เป็นเวลา 10 นาทีขณะอยู่ใน Safe Mode "Host ดังกล่าวที่ไม่มี EDR ทำงานอยู่ และโปรแกรม Antivirus (AV) ก็ถูกทำให้มองไม่เห็นความผิดปกติ"
ในขณะเดียวกัน ผู้โจมตีได้เพิ่ม AnyDesk ลงใน Registry ของ Windows สำหรับ Safe Mode ทำให้โปรแกรมสามารถเริ่มทำงานได้หลังจาก Reboot และคงสิทธิ์การเข้าถึงเครื่องที่ถูกโจมตีจากระยะไกลเอาไว้ได้
อย่างไรก็ตาม เมื่อพวกเขาพยายามเรียกใช้ Payload หลักของ Ransomware (akira.exe) ผ่าน AnyDesk ใน Safe Mode กลับไม่สามารถทำงานได้ เนื่องจากระบบรายงานว่า Low virtual memory และสร้าง Error แบบ Out-of-memory รวมถึง Error ของ PowerShell
ในท้ายที่สุด การสแกนตามกำหนดเวลาของ Defender ก็ตรวจพบไฟล์ Executable ของ Akira แม้ว่าการป้องกันแบบ Real-time จะถูกปิดไว้ใน Safe Mode ก็ตาม แต่เครื่องมือรักษาความปลอดภัยดังกล่าวไม่สามารถลบไฟล์นั้นได้ในขณะที่เครื่องยังคงอยู่ในโหมดนั้น
Defender ทำการ Quarantine ไฟล์ดังกล่าวได้หลังจากที่ผู้โจมตี Rebooted ระบบเข้าสู่โหมดปกติ ซึ่งทำให้การป้องกันแบบ Real-time กลับมาทำงานอีกครั้ง
แม้จะไม่สามารถเข้ารหัสไฟล์ได้ แต่ผู้ควบคุม Akira Ransomware ก็ยังคงสามารถขโมยข้อมูล Credentials และไฟล์เพื่อนำไปใช้ในการเรียกค่าไถ่ได้สำเร็จ โดยทั้งหมดนี้ใช้เวลาไม่ถึงห้าชั่วโมงนับตั้งแต่มีการเริ่มเจาะระบบเข้ามา
Huntress ตั้งข้อสังเกตว่า Ransomware ตระกูลอื่น ๆ เช่น Snatch และ AvosLocker ได้ใช้กลยุทธ์นี้มานานหลายปีแล้ว แต่เหตุการณ์นี้นับเป็นครั้งแรกที่บริษัทพบเห็นการใช้วิธีดังกล่าวในการโจมตีของ Akira
นักวิจัยแนะนำให้เพิ่ม MFA ให้กับบัญชี VPN ทั้งหมด, ติดตั้งมาตรการตรวจจับการโจมตีแบบ Credential-spraying และเฝ้าระวังการเปลี่ยนแปลง Boot configuration ใน Safe Mode หรือการเพิ่มเครื่องมือการเข้าถึงจากระยะไกลลงใน Service Registry ของ Safe Mode
ที่มา : bleepingcomputer
You must be logged in to post a comment.