Ghost Ransomware  โจมตีองค์กรในกว่า 70 ประเทศ รวมถึงโครงสร้างพื้นฐานสำคัญ

CISA และ FBI เปิดเผยว่า กลุ่มแฮ็กเกอร์ที่ใช้ Ghost Ransomware  ได้เจาะระบบของเหยื่อในหลายภาคอุตสาหกรรมในกว่า 70 ประเทศ รวมถึงองค์กรที่เกี่ยวข้องกับโครงสร้างพื้นฐานสำคัญ อุตสาหกรรมอื่นๆ ที่ได้รับผลกระทบ ได้แก่ การดูแลสุขภาพ หน่วยงานรัฐบาล การศึกษา เทคโนโลยี การผลิต และธุรกิจขนาดกลางและขนาดเล็กจำนวนมาก

ตามรายงานที่เผยแพร่โดย CISA, FBI และ Multi-State Information Sharing and Analysis Center (MS-ISAC) ระบุว่า ตั้งแต่ต้นปี 2021 กลุ่ม Ghost ได้เริ่มโจมตีเหยื่อที่ใช้บริการออนไลน์ที่ทำงานบนซอฟต์แวร์และเฟิร์มแวร์เวอร์ชั่นเก่า การโจมตีแบบไม่เลือกเป้าหมายบนเครือข่ายที่มีช่องโหว่นี้ ส่งผลให้เกิดการละเมิดความปลอดภัยในองค์กรต่างๆ กว่า 70 ประเทศ รวมถึงองค์กรในประเทศจีน

Ghost Ransomware  จะเปลี่ยนไฟล์ปฏิบัติการของมัลแวร์, เปลี่ยนส่วนขยายของไฟล์ที่ถูกเข้ารหัส, แก้ไขเนื้อหาของข้อความเรียกค่าไถ่ และใช้ที่อยู่อีเมลหลายรายการสำหรับการติดต่อเกี่ยวกับค่าไถ่ ซึ่งทำให้การระบุที่มาของกลุ่มนี้มีความผันผวนอยู่เสมอ

กลุ่มแรนซั่มแวร์นี้มีชื่อที่เชื่อมโยงกันหลายชื่อ ได้แก่ Ghost, Cring, Crypt3r, Phantom, Strike, Hello, Wickrme, HsHarada และ Rapture โดยตัวอย่างแรนซั่มแวร์ที่ใช้ในการโจมตี ได้แก่ Cring.exe, Ghost.exe, ElysiumO.exe และ Locker.exe

Ghost Ransomware  มีแรงจูงใจทางการเงิน และใช้โค้ดที่เผยแพร่สาธารณะเพื่อโจมตีช่องโหว่ด้านความปลอดภัยในเซิร์ฟเวอร์ที่มีความเสี่ยง โดยเฉพาะช่องโหว่ที่ยังไม่ได้รับการแพตช์ใน Fortinet (CVE-2018-13379), ColdFusion (CVE-2010-2861, CVE-2009-3960) และ Exchange (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207)

มาตรการป้องกัน Ghost Ransomware
เพื่อป้องกันการโจมตีจาก Ghost Ransomware  ผู้ดูแลระบบเครือข่ายควรดำเนินมาตรการต่อไปนี้:

• สำรองข้อมูลระบบเป็นประจำและจัดเก็บนอกสถานที่ โดยให้แน่ใจว่าแรนซั่มแวร์ไม่สามารถเข้ารหัสไฟล์สำรองได้
• อัปเดตแพตช์ช่องโหว่ของระบบปฏิบัติการ ซอฟต์แวร์ และเฟิร์มแวร์โดยเร็วที่สุด
• ให้ความสำคัญกับช่องโหว่ที่ Ghost Ransomware  ใช้โจมตี (เช่น CVE-2018-13379, CVE-2010-2861, CVE-2009-3960, CVE-2021-34473, CVE-2021-34523, CVE-2021-31207)
• แบ่งเครือข่ายเป็นส่วนๆ เพื่อลดการแพร่กระจายของมัลแวร์ระหว่างอุปกรณ์ที่ติดเชื้อ
• บังคับให้ต้องมีการใช้ระบบยืนยันตัวตนแบบหลายปัจจัย (MFA) เพื่อป้องกันฟิชชิงสำหรับบัญชีที่มีสิทธิระดับสูงและบัญชีอีเมล

นอกจากนี้ นอกจากช่องโหว่ที่ถูกใช้เพื่อเข้าถึงระบบในขั้นต้นในการโจมตีของ Ghost Ransomware  แล้ว กลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐซึ่งสแกนหาอุปกรณ์ Fortinet SSL VPN ที่มีช่องโหว่ ยังได้มุ่งเป้าไปที่ช่องโหว่ CVE-2018-13379 ด้วยเช่นกัน

ด้วยความรุนแรงของการโจมตีจาก Ghost Ransomware  องค์กรควรดำเนินมาตรการป้องกันอย่างเร่งด่วน เพื่อลดความเสี่ยงของการถูกโจมตีและป้องกันความเสียหายที่อาจเกิดขึ้น

รายละเอียดเพิ่มเติม – BPC