Regin: ความซับซ้อนใหม่ในภัยคุกคามความปลอดภัยขั้นสูงแบบถาวร
ปลายเดือนพฤศจิกายน ผู้จำหน่ายแอนตี้ไวรัสรายใหญ่สามรายเปิดเผยรายละเอียดเกี่ยวกับสิ่งที่พวกเขาถือว่าเป็นไวรัสที่ซับซ้อนที่สุดเท่าที่เคยค้นพบมา แต่การเรียก Regin ว่าเป็นไวรัสนั้นค่อนข้างจะดูถูกความสามารถของมัน นั่นคือความซับซ้อน จึงเหมาะสมกว่าที่จะเรียกว่าเป็นแพลตฟอร์มประนีประนอมที่ช่วยให้ผู้เขียนซึ่งอาจได้รับการสนับสนุนจากรัฐหนึ่งหรือหลายรัฐสามารถรวบรวมข้อมูลผ่านวิธีการที่หลากหลาย
แม้ว่าเหยื่อของ Regin ดูเหมือนจะจำกัดอยู่เพียงหน่วยงานภาครัฐ การวิจัย การเงิน ผู้ให้บริการโทรศัพท์มือถือ และสถาบันการศึกษาในบางประเทศ แต่ความซับซ้อนและความเชี่ยวชาญในการรวบรวมข้อมูล และการไม่ถูกตรวจจับเป็นเวลานาน น่าจะเป็นความกังวลของเราทุกคน
เริ่มต้นใหม่ทีละขั้นตอน
กระบวนการติดตั้งมีห้าขั้นตอน เริ่มด้วยบริการ Windows หรือไดรเวอร์ จากนั้นจะมีการติดตั้งโค้ดเพิ่มเติม ซ่อนและเข้ารหัสอย่างชาญฉลาดใน NTFS Extended Attributes หรือรีจิสทรีบนอุปกรณ์ที่มีโวลุ่ม FAT/FAT32 หรือที่ส่วนท้ายของพาร์ติชันดิสก์สุดท้ายบนระบบ 64 บิต
เวอร์ชัน 32 บิตมีขั้นตอนที่สาม โดยใช้ไดรเวอร์เพื่อสร้างระบบไฟล์เสมือน (VFS) ซึ่งไฟล์จะถูกเข้ารหัสเพื่อซ่อนกิจกรรมของ Regin ไม่มีสเตจที่สามแบบ 64 บิต และโมดูลโปรแกรมเลือกจ่ายงานของสเตจที่สี่จะถูกโหลดโดยตรง DLL ของโปรแกรมเลือกจ่ายงานโหมดผู้ใช้จะสร้างแกนหลักของ Regin และจัดเตรียมพื้นฐานสำหรับการโต้ตอบกับ VFS การรันปลั๊กอิน การเข้ารหัส และฟังก์ชันเครือข่าย
ขั้นตอนสุดท้ายคือชุดปลั๊กอินที่ใช้ในการรวบรวมข้อมูล ซึ่งบางส่วนจากรายการที่ครอบคลุมได้แก่:
- ดมข้อมูลประจำตัว HTTP/SMTP/SMB
- Keylogger และคลิปบอร์ดดมกลิ่น
- การเข้าสู่ระบบของผู้ใช้และการเลียนแบบ
- ดมผู้ใช้และชื่อโดเมน
- การแจงนับและการจัดการการแบ่งปันเครือข่าย
- เครื่องอ่านบันทึกเหตุการณ์ของ Windows
- ตัวกรอง NDIS
- การฉีดโค้ดและการเกี่ยว
- การแยกข้อมูล Microsoft Exchange Server
เพื่อหลีกเลี่ยงการตรวจจับ การรับส่งข้อมูลเครือข่ายจะถูกเข้ารหัสระหว่างเหยื่อของ Regin และผู้โจมตี นอกจากนี้ยังสร้างเครือข่ายแบบเพียร์ทูเพียร์บนเครือข่ายที่ถูกบุกรุก โดยจำกัดปริมาณข้อมูลที่จำเป็นต้องส่งกลับไปยังผู้โจมตี และช่วยหลบเลี่ยงการตรวจจับอีกครั้ง
ใบรับรองปลอม
โมดูลที่จำเป็นสำหรับระยะแรกบนระบบ 64 บิตได้รับการลงนามโดยใบรับรองปลอม ซึ่งดูเหมือนว่ามาจาก Microsoft และ Broadcom เพื่อให้ดูเหมือนเป็นของแท้ ด้วยการแทรกผู้ออกใบรับรอง (CA) ลงในห่วงโซ่ใบรับรองบนอุปกรณ์แต่ละเครื่อง ไฟล์ของ Regin จะได้รับความเชื่อถือจากระบบในเครื่อง
นี่เป็นสิ่งสำคัญ เนื่องจากการเพิ่มใบรับรอง CA เป็นการเปลี่ยนแปลงที่สามารถตรวจพบได้ ในขณะที่กิจกรรมอื่นๆ มากมายของ Regin นั้นยากต่อการเปิดเผย และไม่เหมือนกับการเปลี่ยนแปลงในรีจิสทรีของ Windows และระบบไฟล์ การแก้ไขที่เก็บใบรับรองนั้นแทบจะไม่มีเลย ทำให้ตรวจสอบได้ง่าย
กลยุทธ์การป้องกัน
ไม่ทราบวิธีการประนีประนอมในช่วงแรก แต่ Regin ใช้ส่วนแบ่งการดูแลระบบเพื่อย้ายเครือข่าย และพบได้ในตัวควบคุมโดเมน Active Directory บ่งบอกว่ามีแนวโน้มว่าพนักงานที่มีสิทธิ์ระดับผู้ดูแลระบบตกเป็นเป้าหมายโดยไม่เจตนาโดยการหาประโยชน์ทางเว็บหรืออีเมล
แล้วคุณจะป้องกันภัยคุกคามเช่น Regin ที่แพร่ระบาดไปยังความปลอดภัยเครือข่ายของคุณได้อย่างไร?
- ปรับใช้ Windows 64 บิตและลบสิทธิ์ผู้ดูแลระบบออกจากผู้ใช้
- ใช้การดูแลระบบเพียงพอ (JEA)
- ใช้รายการแอปพลิเคชันที่อนุญาตพิเศษ
- ตรวจสอบการกำหนดค่าระบบที่สำคัญบนเซิร์ฟเวอร์และอุปกรณ์ของผู้ใช้ปลายทาง
- อย่าพึ่งพาโปรแกรมป้องกันไวรัสและไฟร์วอลล์เพียงอย่างเดียว
