นักวิจัยค้นหาการใช้ที่ผิดวิธี (RDP) เผยกลยุทธ์แบบ Fileless แบบใหม่

การตรวจสอบล่าสุด โดยนักวิจัยด้านความปลอดภัยของ Bitdefender ได้เปิดเผยกลยุทธ์การโจมตี ที่อาจพิจารณาได้ว่าเป็นรูปแบบ Fileless จากอุปกรณ์ปลายทาง การใช้โปรโตคอล RDP ในทางที่ผิด ผู้โจมตีมีข้อมูลประจำตัว RDP (Remote Desktop Protocol) ที่ถูกต้องตามกฎหมาย ซึ่งนั่นก็หมายความว่า พวกเขาสามารถตั้งค่าการแบ่งปันบนเครื่องที่ทำหน้าที่เป็นทรัพยากรในเครือข่ายเสมือนได้นั่นเอง

อุปกรณ์ปลายทางของเหยื่อนั้น ได้เห็นส่วนแบ่งราวกับว่าเป็นส่วนหนึ่งของโครงสร้างพื้นฐานใน Local ที่มีเนื้อหาทั้งที่สามารถอ่านและเขียนได้ ทำให้กลไกการกรองข้อมูลนั้นง่ายมาก และมีวิธีการที่น่าสนใจสำหรับการดำเนินการในไฟล์ที่ไม่ได้อยู่ในอุปกรณ์ปลายทางของเหยื่อนั่นเอง

การวิจัยทางเทคนิคแบบเต็มรูปแบบ ที่มีการวิเคราะห์โดยละเอียด ของส่วนประกอบที่พบทั้งหมด มีอยู่ใน Bitdefender Labs ของเรา

กลยุทธ์ของ Fileless vs. Fileless- ในรูปแบบ RDP

การโจมตีแบบไม่ระบุช้ชื่อไฟล์แบบดั้งเดิมนั้น มักเกี่ยวข้องกับเครื่องมือที่อาศัยอยู่ภายนอกสิ่งแวดล้อม ซึ่งทำการรันคำสั่ง หรือใส่ข้อมูลลงในหน่วยความจำโดยตรง และการใช้งานร่วมกันในทางที่ผิด แต่สำหรับ RDP รูปแบบใหม่ในลักษณะเดียวกัน - ไม่มีไฟล์อันตรายใด ๆ เขียนลงในไดรฟ์ของเหยื่อ ดำเนินการภายในหน่วยความจำ หากเข้าถึงได้จากการแชร์ของเครื่องที่มีปัญหา

ตัวอย่างเช่น มัลแวร์ที่ไม่มีแสดงข้อมูลแบบดั้งเดิมนั้น เกี่ยวข้องกับการใช้งานสคริปต์เช่น PowerShell, WMI (Windows Management Instrumentation) หรือ Microsoft Office Macros ซึ่งมักจะอยู่ในเอกสารที่ไม่เป็นอันตราย เนื่องจากสคริปต์เหล่านี้เป็นชุดของคำสั่งการดำเนินการอัตโนมัติ ที่สามารถดำเนินการได้โดยเครื่องมือที่ติดตั้งไว้ล่วงหน้าไปยังไฟล์ที่ถูกต้อง พวกเขาจึงมักจะหลบเลี่ยงการสแกนแบบในรูปแบบดั้งเดิม

เครื่องมือ Windows ที่มีมาในตัว เช่น Windows PowerShell สามารถเรียกใช้ payload ได้โดยตรงจากหน่วยความจำ เนื่องจากสามารถเข้าถึงฟังก์ชั่นระบบ Windows ได้หลากหลาย ผู้เชี่ยวชาญด้านความปลอดภัยที่เรียกกันทั่วไปว่า LOLBins และ LOLScripts (มักอยู่นอกไบนารี และสคริปต์ทั่วไป) การโจมตีประเภทนี้ จะช่วยให้ผู้โจมตีนั้น สามารถใช้เครื่องมือที่ถูกต้องตามลิขสิทธิ์ ซึ่งไม่สามารถถูกทำการบล็อกได้ และยังอยู่ทั่วไปในสภาพแวดล้อมขององค์กรของท่าน

รูปแบบชั้นเชิงของ RDP แบบมุ่งหวังผลร้ายเหล่านี้ ได้มีการละเมิดทั้งโปรโตคอล RDP ที่ถูกกฎหมาย เพื่อสร้างการเชื่อมต่อที่ปลอดภัยให้กับสภาพแวดล้อมขององค์กร และคุณสมบัติการแชร์เครือข่ายแบบดั้งเดิมที่แมปโฟลเดอร์ของผู้โจมตี หรือไดรฟ์ ไปยังเครือข่ายเสมือนของเหยื่อในองค์กรของคุณ

ในขณะที่การโจมตี RDP แบบ Fileless นี้น่าสนใจมาก เนื่องจากมีความแปลกใหม่ของนักวิจัย Bitdefender ยังพบว่าส่วนประกอบที่ใช้ในการโจมตีเหล่านั้น ได้เป็นเครื่องมืออเนกประสงค์ที่ใช้ในการคัดกรองผู้ที่ตกเป็นเหยื่อ และทิ้งโหลดที่เป็นอันตราย รวมไปถึงการทำเหมืองอย่าง cryptocurrency และโทรจันสำหรับขโมยข้อมูล

ความปลอดภัยทางอินเทอร์เน็ตแบบเลเยอร์ ที่เกี่ยวข้องกับ IoCs และ IoAs

คำว่า "ตัวชีวัดของการเข้าควบคุมเครื่อง" ของภาคอุตสาหกรรม (indicators of compromise, IoC) ซึ่งหมายถึงหลักฐานทางนิติวิทยาศาสตร์ ที่สามารถเปิดเผยการโจมตีทางไซเบอร์ ในขณะที่คำว่า "ตัวชี้วัดทางการโจมตี" (indicators of attack, IoA) มุ่งเน้นไปที่เจตนาของการโจมตี ตัวอย่างเช่นในขณะที่ IoC สามารถประกอบด้วยคำสั่ง และควบคุมที่อยู่ IP หรือแฮช MD5 ได้ ตัวชี้วัดของการโจมตีนี้ มักเกี่ยวข้องกับการใช้เครื่องมือที่ถูกต้องตามกฎหมาย บนหน่วยความจำ หรือแม้แต่การปลอมแปลงข้อมูลต่าง ๆ ให้กลายเป็นการกระทำที่ถูกต้องนั่นเอง

เทคโนโลยีความปลอดภัยแบบเลเยอร์นี้ ควรใช้ประโยชน์จากทั้งเทคโนโลยี IoC และ IoA ที่สามารถตรวจจับการโจมตี RDP แบบไร้รูปแบบ ตัวอย่างเช่น เลเยอร์เทคโนโลยี IoC ควรเกี่ยวข้องกับโปรแกรมต่อต้านมัลแวร์ ที่สามารถระบุเปย์โหลดที่เป็นอันตราย เทคโนโลยีการควบคุมภัยคุกคามขั้นสูง ที่คอยตรวจสอบกระบวนการที่ทำงานอยู่ตลอดเวลา เพื่อให้แน่ใจว่าอุปกรณ์ดังกล่าวได้กลายเป็นอันตราย ณ จุดใด ๆ ที่บรรจุไฟล์เหล่านั้นลงไป

ในแง่ของการตรวจจับ เจตนาของเทคโนโลยี IoA นั้นเราเรียกว่าเทคโนโลยีแบบ EDR สิ่งเหล่านี้ได้รับการมอบหมายด้วยการระบุการกระทำต่าง ๆ ที่ดูเหมือนว่าไม่เป็นอันตราย เช่น อินเตอร์เฟสคอมมานด์ไลน์ที่น่าสงสัย ความพยายามในการจับภาพหน้าจอ คีย์รีสตาร์ท รีจิสตรีที่เพิ่งสร้างขึ้นใหม่ และแม้กระทั่งการจัดการรีจิสตรีคีย์ก็ตาม

ความอันตรายที่แฝงอยู่ในรายละเอียด

ในขณะที่เทคนิคที่ค้นพบเมื่อเร็ว ๆ นี้ ซึ่งได้ถูกใช้โดยผู้รับมือกับภัยคุกคาม อาจดูเหมือนยากที่จะทำการนำออกไปจากทีมไอที และทีมรักษาความปลอดภัย ก็ยังสามารถนำคำแนะนำด้านความปลอดภัยมาใช้เพื่อรักษาความปลอดภัยดังกล่าวได้
 
ตัวอย่างเช่นการเปิดใช้งานนโยบาย “ไม่อนุญาตให้เปลี่ยนเส้นทางไดรฟ์ (Do not allow drive redirection)” ซึ่งอยู่ใน “Computer Configuration > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Device and Resource Redirection” สามารถทำลายกลไกการติดเชื้อสำหรับการโจมตีนี้โดยเฉพาะจากการโจมตีดังกล่าวที่ผ่านมา

ซึ่งก็เป็นการกำหนดค่าที่ไม่ถูกต้องอย่างง่าย เช่น สิ่งเหล่านี้ซึ่งมักจะนำไปสู่การละเมิดข้อมูลอย่างเต็มรูปแบบ โชคดีที่มีเครื่องมือที่สามารถให้คำแนะนำเพื่อจัดการกลวิธีเทคนิคและขั้นตอน (TTP)ดังกล่าวแล้วนั่นเอง

MITER ATT & CK matrix ได้ให้กลไกในการแบ่งปันตัวชี้วัด TTP ที่ใช้กันทั่วไป โดยผู้รับมือกับภัยคุกคาม และกองรักษาความปลอดภัยของ Bitdefender สามารถป้องกันตรวจจับ และการป้องกันการโจมตีรูปแบบ RDP แบบไร้รูปแบบใหม่นี้ และนำเสนอข้อมูลที่ครอบคลุมซึ่งสอดคล้องกับ MITER ATT & CK matrix ได้อย่างไร้ข้อกังขา

รูปแบบการอยู่อย่างปลอดภัยจากกลยุทธ์ RDP แบบใหม่

ด้วยการตั้งค่าเทคโนโลยีของ Bitdefender ในโหมดการรายงานเท่านั้น เมื่อวิเคราะห์ส่วนประกอบเฉพาะที่ใช้ในการตรวจสอบล่าสุดนี้ เราสามารถวาดภาพที่ชัดเจนว่า เทคโนโลยีใดประสบความสำเร็จในการแทรกแซงแต่ละขั้นตอน ของห่วงโซ่การโจมตีสำหรับแต่ละตัวอย่างมัลแวร์ที่วิเคราะห์

ตัวอย่างเช่นเครื่องมือต่อต้านมัลแวร์ของ Bitdefender ตรวจจับเครื่องมืออเนกประสงค์ (worker.exe) ที่กลั่นกรองผู้ที่ตกเป็นเหยื่อและลดปริมาณงานที่เป็นอันตรายรวมถึงส่วนลดอื่น ๆ ทั้งหมด

การแจ้งเตือน EDR (การตรวจจับจุดปลายและการตอบสนอง) ที่แตกต่างกันจะถูกเรียกใช้ในระหว่างขั้นตอนการดำเนินการต่างๆ การแจ้งเตือนเหล่านี้จะถูกแมปตามกลยุทธ์ของ MITER เช่น "Command-Line Interface" (T1059) และ "Screen Capture" (T1113) ตัวอย่างเช่นชั้นเชิง "Command-Line Interface" มักใช้โดยผู้คุกคามเพื่อรันซอฟต์แวร์หรือแอปพลิเคชันและสามารถโต้ตอบกับภายในหรือระยะไกลผ่านบริการเดสก์ท็อประยะไกล ในขณะที่ไม่เป็นอันตรายต่อ se, กลยุทธ์ชอบเหล่านี้ได้รับรายงานโดย EDR เป็นที่น่าสงสัยเพราะอาจบ่งบอกถึงการเข้าถึงที่ไม่ได้รับอนุญาต การแจ้งเตือนอื่นที่ติดแท็กเป็น "คัดลอกไฟล์ระยะไกล" (T1105) มีความน่าสนใจเป็นพิเศษเนื่องจากถูกเรียกโดยเซ็นเซอร์การโจมตีเครือข่ายของ Bitdefender ซึ่งเป็นส่วนหนึ่งของ EDR ซึ่งหมายความว่านอกเหนือจากเหตุการณ์จุดสิ้นสุดแล้ว EDR ยังออกการแจ้งเตือนที่เกี่ยวข้องกับเครือข่ายซึ่งถือว่าน่าสงสัยหรือบ่งบอกถึงการกระทำที่เป็นอันตราย

เมื่อใช้การวิเคราะห์เดียวกันกับตัวอย่างคลิปบอร์ดตัวคัดสรรเฉพาะ (clipboard_stealer_cpp) โมดูล EDR จะออกชุดการแจ้งเตือนอีกครั้งตามการกระทำที่ดำเนินการโดยกลุ่มตัวอย่าง ข้อมูลที่ให้ไว้จะถูกแมปกับกลยุทธ์ของ MITER อีกครั้ง: "แก้ไขรีจิสทรี" (T1112), "โฟลเดอร์เรียกใช้คีย์ / โฟลเดอร์เริ่มต้นระบบ" (T1060), "หน้ากาก" (T1036) "Modify Registry" (T1112) ก็เป็นวิธีการทั่วไปที่ใช้โดยผู้ทำหน้าที่คุกคามเนื่องจากมันหมายถึงการเคลื่อนไหวด้านข้างที่เป็นไปได้หรือการปกปิดข้อมูลที่เป็นอันตรายภายในรายการรีจิสตรี

ตัวอย่างอื่น ๆ ที่เป็นอันตรายเช่น "clipboard_stealer_intelrapid" ยังเรียกใช้การแจ้งเตือน EDR เช่น "Registry Run Keys / Startup Folder" (T1060) นี่เป็นกลวิธีที่ใช้กันอย่างแพร่หลายเช่นกันเนื่องจากผู้ทำหน้าที่คุกคามจะจัดการรีจิสตรีคีย์เหล่านี้เพื่อเรียกใช้เครื่องมือการเข้าถึงระยะไกลหรือมัลแวร์เมื่อใดก็ตามที่ผู้ใช้ล็อกอินบางครั้งพวกเขาพยายามเลียนแบบรีจิสตรีคีย์ที่ถูกกฎหมาย ตรวจพบหรือกระตุ้นความสงสัยใด ๆ

เมื่อมีการดำเนินการ payloads ransomware โดยนักแสดงภัยคุกคามบนเครือข่ายแชร์การแจ้งเตือนมัลแวร์หลายครั้งจะถูกเรียกรวมถึงการตรวจสอบในหน่วยความจำสำหรับไฟล์ที่บรรจุและการตรวจสอบคงที่สำหรับตัวอย่าง แต่ยังเป็นการเตือนพฤติกรรมจาก ATC ของ Bitdefender ตัวอย่างเช่นผู้ทำหน้าที่คุกคามมักใช้ไฟล์ที่บรรจุเพื่อทำให้นักวิจัยด้านความปลอดภัยเข้าใจพฤติกรรมหรือคำแนะนำภายในไฟล์ไบนารีที่เก็บอยู่ในดิสก์ได้ยาก ไฟล์ที่บรรจุจะถูกโหลดภายในหน่วยความจำและคำแนะนำจะถูกถอดรหัสด้วย unpacker โดยไม่ทิ้งรอยบนดิสก์ ดังนั้นคำสั่งที่คลายการแพคจะถูกดำเนินการโดย CPU และโซลูชันความปลอดภัยแบบดั้งเดิมไม่สามารถตรวจจับได้

ยิ่งไปกว่านั้นสำหรับตัวอย่างแรนซัมแวร์บางตัวที่ดำเนินการโดยตรงจากเครือข่ายแบ่งปันเทคโนโลยี Sandbox ของ Bitdefender จะเริ่มขึ้นโดยอัตโนมัติทำให้เกิดการระเบิดในสภาพแวดล้อมที่มีการควบคุมและป้องกันไม่ให้ตัวอย่างดำเนินการบนจุดสิ้นสุดของพนักงาน

อัตราการขุดขุด Cryptocurrency ที่พบในระหว่างการสอบสวนถูกตรวจพบโดยเครื่องมือต่อต้านมัลแวร์ Bitdefender และเทคโนโลยี ATC เช่นเดียวกับเทคโนโลยี EDR ของเราด้วยการแจ้งเตือนของ MITER เช่น "Modify Registry" (1112), "Bypass User Account Control" (T1088) และ "Registry เรียกใช้คีย์ / โฟลเดอร์เริ่มต้น "(T1060)

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับเทคโนโลยี Bitdefender ที่สามารถตรวจจับการโจมตีประเภทนี้รวมทั้งตรวจจับป้องกันและปิดกั้นและเสนอการมองเห็นภัยคุกคามขั้นสูงอื่น ๆ โปรดดูที่ Ultra Security