ประกาศเตือนภัยร่วม: ปฏิบัติการ ransomware ชื่อ Gunra มุ่งเป้าโครงสร้างพื้นฐานสำคัญ

โปรไฟล์ภัยคุกคาม: ปฏิบัติการ ransomware ชื่อ Gunra

การแจ้งเตือนแบบบูรณาการที่เผยแพร่โดย CISA, Federal Bureau of Investigation (FBI) และพันธมิตรด้านข่าวกรองระหว่างประเทศ เน้นย้ำถึงภัยคุกคามที่กำลังเกิดขึ้นจากกลุ่มผู้ใช้งาน ransomware ชื่อ Gunra โดยผู้ไม่หวังดีที่ใช้ payload ของ Gunra ได้ทำการบุกรุกองค์กรในหลายภาคส่วนที่เป็นโครงสร้างพื้นฐานสำคัญอย่างต่อเนื่อง ส่งผลให้เกิดการหยุดชะงักของการดำเนินงาน การทำลายข้อมูล และการข่มขู่เรียกค่าไถ่ที่เกี่ยวข้องกับสินทรัพย์องค์กรที่สำคัญ

ข้อมูลจากการสืบสวนระบุว่ากลุ่มพันธมิตรของ Gunra ได้รับการเข้าถึงเบื้องต้นผ่านช่องโหว่บริเวณขอบเครือข่ายที่ยังไม่ได้แก้ไข (เช่น ข้อบกพร่อง remote code execution ใน firewall และ VPN) ควบคู่ไปกับการใช้แคมเปญ spear-phishing แบบเจาะจงเป้าหมาย เมื่อสามารถยึดพื้นที่ได้แล้ว ผู้ใช้งานจะใช้กลไกการหลบเลี่ยงการตรวจจับ (defense-evasion), ปิดการทำงานของโซลูชัน antivirus ผ่านการใช้ยูทิลิตี้แบบ living-off-the-land, ขโมยข้อมูลสำคัญ และดำเนินการปล่อย ransomware เพื่อหยุดการทำงานของเทคโนโลยีการดำเนินงาน (OT) และโครงสร้างพื้นฐานระดับองค์กร

แนวทางเชิงกลยุทธ์เพื่อบรรเทาความเสี่ยงจาก ransomware ชื่อ Gunra

FORTSECURE GLOBAL ขอเรียกร้องให้ผู้นำด้านความปลอดภัยในภาคส่วนโครงสร้างพื้นฐานที่สำคัญและสภาพแวดล้อมเชิงพาณิชย์ดำเนินการติดตั้งมาตรการควบคุมเพื่อลดความเสี่ยงต่อไปนี้ทันที:

• รักษาการสำรองข้อมูลแบบ Immutable: ตรวจสอบให้แน่ใจว่ามีการสำรองข้อมูลที่ผ่านการตรวจสอบแล้ว นอกสถานที่ (off-site) และแยกออกจากเครือข่าย (air-gapped) โดยต้องมีการทดสอบการกู้คืนระบบแบบเต็มรูปแบบเป็นประจำโดยไม่พึ่งพา credentials ที่เชื่อมต่อกับเครือข่าย
• แก้ไขช่องโหว่ที่เป็นที่รู้จัก: ตรวจสอบอุปกรณ์ที่อยู่บริเวณขอบเครือข่ายทั้งหมดเพื่อหาข้อผิดพลาดของซอฟต์แวร์ที่เป็นที่รู้จัก และใช้แพตช์ของผู้จำหน่ายทันที โดยให้ความสำคัญกับสินทรัพย์ที่ระบุไว้ในแคตตาล็อก CISA KEV
• บังคับใช้หลัก Least Privilege และแบ่งส่วนเครือข่าย: จำกัดสิทธิ์ของผู้ดูแลระบบ, ปิดใช้งานโปรโตคอลการจัดการระยะไกลที่ไม่ได้ใช้งาน เช่น RDP และทำการแยกส่วนระหว่างสภาพแวดล้อม IT และ OT
• จัดตั้งและฝึกซ้อมแผนตอบสนองต่อเหตุการณ์ (Incident Response Plans): ตรวจสอบให้แน่ใจว่าทีมเทคนิคและทีมบริหารมีการจำลองสถานการณ์ (tabletop simulations) เป็นระยะ เพื่อซ้อมแผนความต่อเนื่องทางธุรกิจและโปรโตคอลการแยกส่วนเครือข่ายอย่างรวดเร็วระหว่างเกิดเหตุ ransomware

---

แหล่งที่มา: CISA News เผยแพร่ครั้งแรก: Mon, 10 Aug 26 12:00:00 +0000 บทความต้นฉบับ: อ่านต้นฉบับ