พบ Ransomware ใหม่ที่เรียกว่า LooCipher ใน Wild

จากรายงานของ Bleeping Computer พบว่ามีแรนซัมแวร์ตัวใหม่ชื่อ LooCipher แพร่ระบาดแล้วhttps://www.bleepingcomputer.com/news/security/new-loocipher-ransomware-spreads-its-evil-through-spam/เช่นเคย มันโจมตีผู้ใช้ผ่านทางอีเมลสแปม ผู้ใช้ที่ไม่ระมัดระวังเปิดอีเมลฟิชชิ่ง คลิกที่ลิงก์ อนุญาตให้ไฟล์ใช้มาโคร และในที่สุดก็ถูกติดตั้งไฟล์ที่เป็นอันตราย

ในปี 2011 ล็อกฮีดมาร์ตินได้รับเครดิตจากแนวคิดเรื่องเครือข่ายความปลอดภัยในโลกไซเบอร์ kill-chain ตามที่ได้รับการออกแบบมาจะจัดระเบียบภัยคุกคามเป็นหมวดหมู่เช่นเดียวกับการควบคุมความปลอดภัยที่สามารถปรับใช้ในหมวดหมู่เหล่านั้นเพื่อลดความเสี่ยง หากเราใช้ kill-chain กับ Loocipher ransomware เราจะเห็นสิ่งต่อไปนี้:

1. อีเมลฟิชชิงในหมวดการจัดส่งควรถูกจับโดยเครื่องมือป้องกันอีเมลเชิงพาณิชย์
2. ไฟล์หยด (Info_BSV_2019.docm) ในหมวดการจัดส่งควรถูกจับโดยเครื่องมือมัลแวร์รวมถึงเครื่องมือ AV อื่น ๆ หมายเหตุผู้ใช้ปลายทางในกรณีนี้ต้องอนุญาตให้เรียกใช้แมโคร การรับรู้ของผู้ใช้ยังคงเป็นสิ่งสำคัญในการป้องกันการโจมตีประเภทนี้!
3. เมื่อเปิดใช้งานมาโครแล้วมัลแวร์จะเข้าถึงเซิร์ฟเวอร์ TOR เพื่อดาวน์โหลดไฟล์อื่น (http://hcwyo5rfapkytajg.onion.pet/3agpke31mk.exe) ในกรณีนี้ควรตรวจพบในคำสั่งและการควบคุมด้วย เป็นหมวดหมู่การจัดส่ง หมวดหมู่เหล่านี้มักได้รับการปกป้องโดยเครื่องมือ Intel ภัยคุกคามเครื่องมือมัลแวร์และเครื่องมือที่ใช้โฮสต์
4. ในที่สุดไฟล์ใหม่ (c2056.ini) จะถูกสร้างขึ้นและกระบวนการเข้ารหัสไฟล์จะเริ่มขึ้น การสร้างไฟล์นี้และการเข้ารหัสในภายหลังควรอยู่ในประเภทการดำเนินการและการถอนการกรองและได้รับการปกป้องโดยเครื่องมือต่างๆเช่น intel ภัยคุกคามการตรวจจับความผิดปกติของกระบวนการไฟร์วอลล์และเครื่องมือมัลแวร์

สิ่งที่ไม่ได้คำนึงถึงใน Cyber ​​kill-chain คือความก้าวหน้าของการเรียนรู้ของเครื่องและ AI การใช้เครื่องมือเหล่านี้กับข้อมูลในแต่ละหมวดหมู่ของ kill-chain ช่วยเพิ่มความสามารถของเราในการตรวจจับพฤติกรรมที่ผิดปกติในแต่ละหมวดหมู่รวมทั้งปรับปรุงการบรรเทาผลกระทบในแต่ละหมวดหมู่ด้วยการเชื่อมโยงการตรวจจับ

Starlight มุ่งมั่นที่จะใช้แพลตฟอร์ม Unified Security Analytics เพื่อตรวจจับแจ้งเตือนและตอบสนองต่อพฤติกรรมประเภทนี้ การรวบรวมข้อมูลที่แพร่หลายของเราควบคู่ไปกับการจัดการข้อมูลขั้นสูงและการเรียนรู้ของเครื่องทำให้เรามีหลายพื้นที่ที่เราสามารถตรวจจับการโจมตีประเภทนี้ผ่านเครือข่ายการฆ่าทางไซเบอร์ หากการโจมตีพลาดในขั้นตอนหนึ่งของ kill chain เราจะจับมันในอีกด่านหนึ่ง เมื่อตรวจพบแล้วเราสามารถดำเนินการโดยอัตโนมัติกับพฤติกรรมที่ผิดปกติเหล่านั้นได้ การนำเทคโนโลยีของเราไปใช้กับ Loocipher ransomware เราอาจตรวจพบและบรรเทาได้ด้วยวิธีต่อไปนี้:

1. การตรวจจับฟิชชิงของเราจะประเมิน URL ที่เป็นอันตรายและลดความเสี่ยง
2. ไฟล์ Dropper ที่อ้างถึงข้างต้นจะได้รับการประเมินโดยเครื่องมือมัลแวร์ของเราและบรรเทาลง
3. หากไฟล์ดรอปเปอร์ผ่านการทดสอบมัลแวร์เซ็นเซอร์เซิร์ฟเวอร์จะตรวจพบการเปลี่ยนแปลงพฤติกรรม (เช่นกระบวนการใหม่เกิดพร้อมการเชื่อมต่อใหม่กับเซิร์ฟเวอร์ TOR)
4. หากไฟล์ dropper ผ่านการประเมินมัลแวร์และเซ็นเซอร์เซิร์ฟเวอร์การเรียกไปยังเซิร์ฟเวอร์ TOR อาจลดลงในระดับเครือข่าย แพลตฟอร์ม Starlight จะส่งสัญญาณให้ไฟร์วอลล์เครือข่ายนำบล็อกไปใช้กับเซิร์ฟเวอร์เป้าหมาย
5. การดาวน์โหลดไฟล์ใหม่ (http://hcwyo5rfapkytajg.onion.pet/3agpke31mk.exe) อาจถูกตรวจพบและบรรเทาลงที่เซ็นเซอร์เซิร์ฟเวอร์หรือการประเมินมัลแวร์
6. สุดท้ายกระบวนการเข้ารหัสจะถูกตรวจพบโดยเซ็นเซอร์เซิร์ฟเวอร์และใช้เทคนิคการลดผลกระทบเพื่อป้องกัน / หยุดกระบวนการไม่ให้ดำเนินต่อไป

Ransomware เป็นอุตสาหกรรมขนาดใหญ่ การสำรองข้อมูลเป็นสิ่งสำคัญ แต่การป้องกันในเชิงลึกก็เช่นกัน หากคุณไม่ได้ปกป้องสิ่งแวดล้อมของคุณในขั้นตอนต่างๆของ kill-chain คุณควรพิจารณาดำเนินการดังกล่าว หากคุณมีปัญหาในการนำแนวคิดเหล่านี้ไปใช้เนื่องจากคุณมีเครื่องมือมากเกินไปที่ไม่ทำงานร่วมกันโปรดโทรหาเรา เราสามารถช่วย!