ในสมัยก่อน ถ้ามีคนจี้คอมพิวเตอร์ของคุณ มักจะเป็นไปได้โดยการจับคอมพิวเตอร์ของคุณไม่ว่าจะอยู่ตรงนั้นหรือใช้การเข้าถึงจากระยะไกล ในขณะที่โลกก้าวไปข้างหน้าด้วยระบบอัตโนมัติ ความปลอดภัยของคอมพิวเตอร์ก็รัดกุมขึ้น สิ่งหนึ่งที่ไม่เปลี่ยนแปลงคือความผิดพลาดของมนุษย์ นั่นคือที่มาของการโจมตี Ransomware ที่ดำเนินการโดยมนุษย์ ^{(Human-operated Ransomware Attacks)}สิ่งเหล่านี้เป็นการโจมตีที่ประดิษฐ์ขึ้นเองซึ่งพบช่องโหว่หรือการรักษาความปลอดภัยที่กำหนดค่าไม่ถูกต้องบนคอมพิวเตอร์และเข้าถึงได้ Microsoftได้จัดทำกรณีศึกษาที่ละเอียดถี่ถ้วนซึ่งสรุปว่าผู้ดูแลระบบไอทีสามารถบรรเทาการโจมตี Ransomware^{(Ransomware attacks)} ที่ดำเนินการ โดยมนุษย์เหล่านี้ได้อย่างมีนัยสำคัญ

บรรเทาการโจมตี Ransomware ที่ดำเนินการโดยมนุษย์^{(Human-operated Ransomware Attacks)}

ตามที่Microsoftกล่าว วิธีที่ดีที่สุดในการบรรเทา ransomware ประเภทนี้และแคมเปญที่ทำด้วยมือคือการบล็อกการสื่อสารที่ไม่จำเป็นทั้งหมดระหว่างปลายทาง การปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดสำหรับสุขอนามัยของข้อมูลรับรอง เช่นการตรวจสอบสิทธิ์แบบหลายปัจจัย^{(Multi-Factor Authentication)}การตรวจสอบความพยายามที่ใช้กำลังเดรัจฉาน การติดตั้งการอัปเดตความปลอดภัยล่าสุด และอีกมากมาย ก็มีความสำคัญไม่แพ้กัน นี่คือรายการทั้งหมดของมาตรการป้องกันที่จะดำเนินการ:

• ตรวจสอบให้แน่ใจว่าได้ใช้ การตั้งค่าคอนฟิกที่แนะนำ^{(recommended configuration settings)}ของ Microsoft เพื่อป้องกันคอมพิวเตอร์ที่เชื่อมต่อกับอินเทอร์เน็ต
• Defender ATPเสนอ การจัดการ ภัยคุกคามและช่องโหว่ ^{(threat and vulnerability management)}คุณสามารถใช้เพื่อตรวจสอบเครื่องเป็นประจำเพื่อหาช่องโหว่ การกำหนดค่าผิดพลาด และกิจกรรมที่น่าสงสัย
• ใช้เกตเวย์ MFA^{(MFA gateway)}เช่นAzure Multi-Factor Authentication ( MFA ) หรือเปิดใช้งานการพิสูจน์ตัวตนระดับเครือข่าย ( NLA )
• เสนอสิทธิ์ขั้นต่ำให้กับบัญชี^{(least-privilege to accounts)}และเปิดใช้งานการเข้าถึงเมื่อจำเป็นเท่านั้น บัญชีใดๆ ที่มีสิทธิ์เข้าถึงระดับผู้ดูแลระบบทั่วทั้งโดเมนควรมีอย่างน้อยหรือศูนย์
• เครื่องมือเช่นเครื่องมือLocal Administrator Password Solution ( LAPS ) สามารถกำหนดค่ารหัสผ่านแบบสุ่มที่ไม่ซ้ำกันสำหรับบัญชีผู้ดูแลระบบ คุณสามารถเก็บไว้ในActive Directory (AD) และป้องกันโดยใช้ACL
• ติดตามความพยายามเดรัจฉาน คุณควรตื่นตระหนก โดยเฉพาะอย่างยิ่งหากมีการพยายามตรวจสอบสิทธิ์ที่ล้มเหลวหลายครั้ง ^{(failed authentication attempts. )}กรอง^(Filter)โดยใช้รหัสเหตุการณ์4625^{(ID 4625)}เพื่อค้นหารายการดังกล่าว
• ผู้โจมตีมักจะล้างบันทึกเหตุการณ์ความปลอดภัยและบันทึกการปฏิบัติงานของ PowerShell^{(Security Event logs and PowerShell Operational log)}เพื่อลบรอยเท้าทั้งหมด Microsoft Defender ATPสร้างEvent ID 1102เมื่อสิ่งนี้เกิดขึ้น
• เปิด คุณสมบัติ การป้องกันการงัดแงะ^{(Tamper protection)(Tamper protection)}เพื่อป้องกันไม่ให้ผู้โจมตีปิดคุณสมบัติความปลอดภัย
• ตรวจสอบ^{(Investigate)} ID เหตุการณ์4624^{(ID 4624)}เพื่อค้นหาว่าบัญชีที่มีสิทธิ์สูงเข้าสู่ระบบอยู่ที่ใด หากพวกเขาเข้าไปในเครือข่ายหรือคอมพิวเตอร์ที่ถูกบุกรุก อาจเป็นภัยคุกคามที่สำคัญยิ่งกว่า
• เปิดการป้องกันที่ส่งผ่านระบบคลาวด์^{(Turn on cloud-delivered protection)}และการส่งตัวอย่างอัตโนมัติในWindows Defender Antivirus ^{(Windows Defender Antivirus)}มันปกป้องคุณจากภัยคุกคามที่ไม่รู้จัก
• เปิดกฎการลดพื้นผิวการโจมตี นอกจากนี้ ยังเปิดใช้กฎที่บล็อกการโจรกรรมข้อมูลรับรอง กิจกรรมแรนซัมแวร์ และการใช้PsExecและWMI ที่ น่า สงสัย
• เปิด  AMSIสำหรับOffice VBA  ถ้าคุณมี Office 365
• ป้องกันการสื่อสาร RPC^{(Prevent RPC)}และSMBระหว่างอุปกรณ์ปลายทางทุกเมื่อที่ทำได้

อ่าน^(Read) : การป้องกันแร^{(Ransomware protection in Windows 10)} นซัมแว ร์ ใน Windows 10

Microsoftได้จัดทำกรณีศึกษาของWadhrama , Doppelpaymer , Ryuk , Samas , REvil

• Wadhramaถูกส่งโดยใช้กำลังดุร้ายในเซิร์ฟเวอร์ที่มีRemote Desktop ^{(Remote Desktop)}พวกเขามักจะค้นพบระบบที่ไม่ได้รับการแก้ไขและใช้ช่องโหว่ที่เปิดเผยเพื่อเข้าถึงเบื้องต้นหรือยกระดับสิทธิ์
• Doppelpaymerแพร่กระจายด้วยตนเองผ่านเครือข่ายที่ถูกบุกรุกโดยใช้ข้อมูลประจำตัวที่ถูกขโมยสำหรับบัญชีที่มีสิทธิพิเศษ ด้วยเหตุนี้จึงจำเป็นต้องปฏิบัติตามการตั้งค่าการกำหนดค่าที่แนะนำสำหรับคอมพิวเตอร์ทุกเครื่อง
• Ryukแจกจ่าย payload ผ่านอีเมล ( Trickboat ) โดยหลอกลวงผู้ใช้ปลายทางเกี่ยวกับอย่างอื่น เมื่อเร็ว ๆ นี้แฮกเกอร์ใช้ความหวาดกลัวของ Coronavirusเพื่อหลอกลวงผู้ใช้ปลายทาง หนึ่งในนั้นยังสามารถส่งมอบเพย์โหลดของEmotetได้

สิ่งทั่วไปเกี่ยวกับแต่ละรายการ^{(common thing about each of them)}คือสร้างขึ้นตามสถานการณ์ ดูเหมือนว่าพวกเขากำลังใช้กลอุบายแบบกอริลลาโดยที่พวกเขาย้ายจากเครื่องหนึ่งไปยังอีกเครื่องหนึ่งเพื่อส่งมอบน้ำหนักบรรทุก จำเป็นอย่างยิ่งที่ผู้ดูแลระบบไอทีไม่เพียงแต่คอยดูการโจมตีอย่างต่อเนื่อง แม้ว่าจะเป็นเพียงระดับเล็กๆ และให้ความรู้แก่พนักงานเกี่ยวกับวิธีที่พวกเขาสามารถช่วยปกป้องเครือข่ายได้

ฉันหวังว่าผู้ดูแลระบบไอทีทุกคนสามารถทำตามคำแนะนำและให้แน่ใจว่าได้ลดการโจมตีRansomware ที่ดำเนินการโดยมนุษย์^(Ransomware)

การอ่านที่เกี่ยวข้อง^{(Related read)} : จะทำอย่างไรหลังจากการโจมตี Ransomware บนคอมพิวเตอร์ Windows ของคุณ^{(What to do after a Ransomware attack on your Windows computer?)}

How to mitigate Human-operated Ransomware Attacks: Infographic

In earlier days, if someone haѕ to hijack your computеr, іt was usually possible by gеtting hold of yоur сomputer either by physically being there or using remote acceѕs. While the world has moved ahead with automation, computer security hаs tightened, one thіng that hasn’t сhanged is human mistakeѕ.  That is where the Human-operated Ransomware Attacks come into the picture. These are handcrafted attacks which find a vulnerability or a misconfigured security on the computer and gain access. Microsoft has come up with an exhaustive case study which concludes that IT admin can mitigate these human-operated Ransomware attacks by a significant margin.

Mitigating Human-operated Ransomware Attacks

According to Microsoft, the best way to mitigate these kinds of ransomware, and handcrafted campaigns is to block all unnecessary communication between endpoints. It is also equally important to follow best practices for credential hygiene such as Multi-Factor Authentication, monitoring brute force attempts, installing the latest security updates, and more. Here is the complete list of defense measures to be taken:

• Make sure to apply Microsoft recommended configuration settings to protect computers connected to the internet.
• Defender ATP offers threat and vulnerability management. You can use it to audit machines regularly for vulnerabilities, misconfigurations, and suspicious activity.
• Use MFA gateway such as Azure Multi-Factor Authentication (MFA) or enable network-level authentication (NLA).
• Offer least-privilege to accounts, and only enable access when required. Any account with domain-wide admin-level access should be at the minimum or zero.
• Tools like Local Administrator Password Solution (LAPS) tool can configure unique random passwords for admin accounts. You can store them in Active Directory (AD) and protect using ACL.
• Monitor for brute-force attempts. You should be alarmed, especially if there is a lot of failed authentication attempts. Filter using event ID 4625 to find such entries.
• Attackers usually clear the Security Event logs and PowerShell Operational log to remove all their footprints. Microsoft Defender ATP generates an Event ID 1102 when this occurs.
• Turn on Tamper protection features to prevent attackers from turning off security features.
• Investigate event ID 4624 to find where accounts with high privileges are logging on. If they get into a network or a computer that is compromised, then it can be a more significant threat.
• Turn on cloud-delivered protection and automatic sample submission on Windows Defender Antivirus. It secures you from unknown threats.
• Turn on attack surface reduction rules. Along with this, enable rules that block credential theft, ransomware activity, and suspicious use of PsExec and WMI.
• Turn on AMSI for Office VBA if you have Office 365.
• Prevent RPC and SMB communication among endpoints whenever possible.

Read: Ransomware protection in Windows 10.

Microsoft has put up a case study of Wadhrama, Doppelpaymer, Ryuk, Samas, REvil

• Wadhrama is delivered using brute forces their way into servers that have Remote Desktop. They usually discover unpatched systems and use disclosed vulnerabilities to gain initial access or elevate privileges.
• Doppelpaymer is manually spread through compromised networks using stolen credentials for privileged accounts. That’s why it is essential to follow the recommended configuration settings for all computers.
• Ryuk distributes payload over email (Trickboat) by tricking the end-user about something else. Recently hackers used the Coronavirus scare to trick the end-user. One of them was also able to deliver the Emotet payload.

The common thing about each of them is they are built based on situations. They seem to be performing gorilla-tactics where they move from one machine to another machine to deliver the payload. It is essential that IT admins not only keep a tab on the ongoing attack, even if it’s on a small scale, and educate employees about how they can help to protect the network.

I hope all IT admins can follow the suggestion and make sure to mitigate human-operated Ransomware attacks.

Related read: What to do after a Ransomware attack on your Windows computer?

Related posts

• ransomware Attacks, Definition, Examples, Protection, Removal

• ฟรี Anti-Ransomware software สำหรับ Windows คอมพิวเตอร์

• กฎ Create email เพื่อป้องกัน Ransomware ในธุรกิจ Microsoft 365

• เปิดใช้งานและกำหนดค่า Ransomware Protection ใน Windows Defender

• Ransomware protection ใน Windows 10

• วิธีการป้องกันและป้องกันการโจมตีและการติดเชื้อ Ransomware

• จะทำอย่างไรหลังจาก Ransomware attack ใน Windows computer ของคุณ?

• Ransomware Response Playbook แสดงวิธีจัดการกับมัลแวร์

• รายการฟรี Ransomware Decryption Tools ฟรีเพื่อปลดล็อกไฟล์

• Cyber Attacks - นิยาม, Types, การป้องกัน

• วิธีหลีกเลี่ยง Phishing Scams and Attacks?

• Brute Force Attacks - Definition and Prevention

• ฉันควรรายงาน Ransomware หรือไม่ ฉันจะรายงาน Ransomware ที่ไหน

• DDoS Distributed Denial ของ Service Attacks: การป้องกัน, Prevention

• Fileless Malware Attacks, Protection and Detection

• McAfee Ransomware Recover (Mr2) สามารถช่วยในการถอดรหัสไฟล์

• CyberGhost Immunizer จะช่วยป้องกันการโจมตี ransomware

• DLL Hijacking Vulnerability Attacks, DLL Hijacking Vulnerability Attacks, Prevention & Detection

• Ransom Denial ของ Service (RDoS) คืออะไร Prevention and precautions