คอนติ

คอนติ () เป็นมัลแวร์เรียกค่าไถ่ (ransomware) ประเภทหนึ่งที่ตรวจพบครั้งแรกในเดือนพฤษภาคม ค.ศ. 2020 ซึ่งเชื่อว่าถูกเผยแพร่โดยกลุ่มบุคคลที่อยู่ในประเทศรัสเซีย คอมพิวเตอร์ที่ใช้ระบบปฏิบัติการไมโครซอฟท์ วินโดวส์ ทุกรุ่นได้รับผลกระทบ รัฐบาลสหรัฐเสนอรางวัลสูงถึง 10 ล้านดอลลาร์สำหรับข้อมูลเกี่ยวกับกลุ่มในช่วงต้นเดือนพฤษภาคมปี ค.ศ. 2022

กลุ่มบุคคลที่ปล่อยมัลแวร์เรียกค่าไถ่ก่อนหน้านี้หลายกลุ่ม เช่น ดาร์กไซด์ (Darkside) ระบุอย่างชัดเจนว่าพวกเขาจะไม่กำหนดเป้าหมายเป็นสถาบันทางการแพทย์ แต่กลุ่มที่ปล่อยคอนติให้ความสนใจ และกำหนดเป้าหมายเป็นสถาบันทางการแพทย์หลายแห่งโดยไม่มีเหตุผล บริษัทรักษาความปลอดภัยของสหรัฐ พาโลอัลโตเน็ตเวิร์กส์ (Palo Alto Networks) อธิบายว่าเป็น "มัลแวร์เรียกค่าไถ่ที่โหดเหี้ยมที่สุดชนิดหนึ่งจากกลุ่มที่ปล่อยมัลแวร์เรียกค่าไถ่ที่เราติดตาม" ตามการแจ้งเตือนด่วนที่ออกโดยเอฟบีไอ ได้รับการยืนยันว่าในปีที่ผ่านมา มีการโจมตีด้วยคอนติอย่างน้อย 16 ครั้งซึ่งมุ่งเป้าไปที่ระบบเครือข่ายในสถานพยาบาลและหน่วยพยาบาลฉุกเฉิน

ภาพรวม 
คอนติได้รับการพัฒนาโดยกลุ่มแฮ็คเกอร์วิซาร์ดสไปเดอร์ (Wizard Spiders) ที่สันนิษฐานว่ามีที่ตั้งอยู่ในนครเซนต์ปีเตอร์สเบิร์ก ประเทศรัสเซีย และในประเทศยูเครน ซึ่งกลุ่มนี้พัฒนามัลแวร์เรียกค่าไถ่ Ryuk ด้วย

วิซาร์ดสไปเดอร์ดำเนินการรูปแบบระบบการให้บริการ Ransomware as a Service (RaaS) แต่แตกต่างจากกลุ่มอื่น ๆ คือจะจ่ายเงินให้กับผู้โจมตีที่ควบคุมมัลแวร์เรียกค่าไถ่ แทนที่จะแบ่งจ่ายค่าไถ่ให้กับผู้มีส่วนเกี่ยวข้อง

รายละเอียดการคุกคาม 
ซอฟต์แวร์ไมโครซอฟท์ วินโดว์ ทุกรุ่นได้รับผลกระทบ[1] ขณะที่ แม็คโอเอส, ลินุกซ์ และแอนดรอยด์ ไม่ถูกคุกคาม

ผู้โจมตีโดยใช้คอนติใช้เทคนิคและเครื่องมือที่หลากหลายในการแทรกซึมระบบ รวมถึงการโจมตีแบบสเปียร์ฟิชชิ่ง, ซอฟต์แวร์การตรวจสอบและการจัดการจากระยะไกล และซอฟต์แวร์เดสก์ท็อประยะไกล

บริษัทรักษาความปลอดภัยแอดวานซ์อินเทลลิเจนซ์ (Advanced Intelligence) รายงานว่าคอนติและมัลแวร์เรียกค่าไถ่อื่น ๆ กำลังหาวิธีใช้ประโยชน์จากช่องโหว่ของ อะแพชี Log4j (ช่องโหว่ Log4Shell หรือ CVE-2021-44228)

พฤติกรรม 
เมื่ออยู่ในระบบ คอนติจะพยายามลบ Volume Shadow Copy และ ข้อมูลสำรองของวินโดว์ ใช้ตัวจัดการการรีสตาร์ตเพื่อหยุดบริการต่าง ๆ และตรวจสอบให้แน่ใจว่าไฟล์ที่เหยื่อใช้นั้นถูกเข้ารหัส ปิดใช้งานการตรวจสอบแบบเรียลไทม์ และถอนการติดตั้งแอปพลิเคชัน Windows Defender

คอนติพยายามกระจายความเสียหายไปยังเครื่องใกล้เคียงผ่านเครือข่าย ลักษณะการทำงานเริ่มต้นคือพยายามตรวจหา Server Message Block (SMB) ของไดรฟ์เครือข่ายและบังคับให้มีการเข้ารหัสไฟล์ทั้งหมดเสมือนว่าอยู่ในเครื่อง มัลแวร์เรียกค่าไถ่นี้ใช้มาตรฐานการเข้ารหัส AES-256 พร้อมลอจิคัลเธรดแยกกันมากถึง 32 เธรด ทำให้สามารถเข้ารหัสได้เร็วกว่ามัลแวร์เรียกค่าไถ่อื่น ๆ ด้วยเหตุนี้ การใช้งานหน่วยประมวลผลกลาง การทำงานของอุปกรณ์ และประสิทธิภาพระบบ จึงได้รับผลกระทบเช่นกัน แต่คอนติพยายามทำภารกิจในการเข้ารหัสให้สำเร็จเร็วกว่าความเสี่ยงที่จะถูกค้นพบ

โฟลเดอร์ต่าง ๆ เช่น Windows, boot, temp และไฟล์ที่มีนามสกุล เช่น .DLL, .exe, .sys และ .lnk จะไม่รวมอยู่ในการเข้ารหัส นอกจากนี้ยังสามารถกำหนดเป้าหมายไดรฟ์เฉพาะหรือที่อยู่ไอพีแต่ละรายการโดยขึ้นอยู่กับชุดตัวเลือก เมื่อเข้ารหัสโดยคอนติเวอร์ชันเก่าจะมีการเพิ่มนามสกุลไฟล์ .CONTI หรือ .[A-Z]{5} ให้กับชื่อไฟล์ แต่สำหรับเวอร์ชันล่าสุดจะไม่มีการใช้นามสกุล .CONTI ในชื่อไฟล์อีกต่อไป

เมื่อการเข้ารหัสเสร็จสิ้น ไฟล์ชื่อ "Conti_README.txt" หรือ "readme.txt" จะถูกสร้างขึ้น ซึ่งระบุข้อความรวมถึงข้อมูลการติดต่อสำหรับผู้ที่ตกเป็นเหยื่อและคำแนะนำเกี่ยวกับวิธีการชำระค่าไถ่ ไซต์ชื่อ "CONTI Recovery service" ใน URL สำหรับติดต่อจะแนะนำให้เหยื่ออัปโหลดไฟล์ readme.txt เพื่อติดต่อกับผู้โจมตี

การข่มขู่ 
การโจมตีมีการขู่เรียกร้องค่าไถ่สองกรณีคือ เพื่อยกเลิกการเข้ารหัส (ถอดรหัส) และขู่ว่าจะทำให้ข้อมูลที่ถูกขโมยรั่วไหล ในเดือนตุลาคม พ.ศ. 2564 ผู้โจมตีด้วยคอนติประกาศอย่างแข็งกร้าวว่าจะเปิดเผยข้อมูลที่ได้รับ เนื่องจากไม่พอใจที่มีการรั่วไหลของข่าวระหว่างการเจรจากับเหยื่อคือบริษัทเจวีซีเคนวูด (JVC Kenwood)

การกู้คืนข้อมูล 
มีหลายกรณีที่แม้ว่าจะจ่ายเงินค่าไถ่แล้ว แต่ไฟล์ก็ไม่สามารถกู้คืนได้ มีการชี้ให้เห็นด้วยว่ากลุ่มอาชญากรมีการตอบสนองที่ไม่ซื่อสัตย์ หน่วยเทคโนโลยีสารสนเทศของระบบดูแลสุขภาพแห่งชาติของสหราชอาณาจักร (NHS Digital) กล่าวว่าวิธีเดียวในการกู้คืนระบบคือการกู้คืนไฟล์ที่เข้ารหัสทั้งหมดจากการสำรองข้อมูลที่มีล่าสุด

การวิจัย 
บริษัทรักษาความปลอดภัยทางไซเบอร์ วีเอ็มแวร์คาร์บอนแบล็ก (VMware Carbon Black) ได้เผยแพร่รายงานทางเทคนิคเกี่ยวกับคอนติ

ประวัติ

พ.ศ. 2563 
ในเดือนพฤษภาคม มีการยืนยันกิจกรรมของคอนติเป็นครั้งแรก ในเวลาเดียวกัน ผู้ใช้คอนติยังได้จัดตั้งเว็บไซต์ที่เปิดเผยข้อมูลที่ถูกขโมย

พ.ศ. 2564 
จากข้อมูลในเดือนเมษายนของบริษัทจัดการด้านความปลอดภัยไอที Mitsui Bussan Secure Directions ระบุว่าคอนติคิดเป็นร้อยละ 25 ของความเสียหายจากมัลแวร์เรียกค่าไถ่ทั้งหมด โดยประเมินว่าเป็นมัลแวร์เรียกค่าไถ่ที่กลุ่มโจมตีใช้งานมากที่สุดในปัจจุบัน และยังระบุอีกว่ามีองค์กรโดยเฉลี่ย 30 แห่งขึ้นไปที่ได้รับผลกระทบต่อเดือน

เมื่อวันที่ 20 พฤษภาคม มีความโกรธแค้นและการประณามจากนานาชาติ หลังจากที่พบว่ามีการโจมตีโดยคอนติต่อสถาบันทางการแพทย์ ซึ่งรวมถึงสำนักงานบริการสุขภาพไอร์แลนด์ (Board of Health Services) และสำนักงานเขตสาธารณสุขไวกาโต (Waikato District Health Board) ของนิวซีแลนด์ มีการกระตุ้นให้กลุ่มปล่อยมัลแวร์ที่รับผิดชอบการโจมตีดังกล่าวคืนค่าไถ่ และปล่อยตัวถอดรหัส (คีย์ถอดรหัส) ของซอฟต์แวร์ ซึ่งต่อมาทีมวิจัยภัยคุกคามของบริษัทแบล็กเบอร์รี (BlackBerry) ยืนยันว่าเครื่องมือนี้เป็นเครื่องมือถอดรหัสที่ไม่เป็นอันตรายจริง อย่างไรก็ตามจะถอดรหัสเฉพาะไฟล์ที่มีชื่อไฟล์ลงท้ายด้วย .FEEDC เท่านั้น ดังนั้นจึงไม่มีประโยชน์สำหรับการถอดรหัสจากคอนติรุ่นย่อยและรุ่นดัดแปลงต่าง ๆ ที่ไม่มีการเพิ่มชื่อไฟล์นี้

เมื่อวันที่ 20 กันยายน สำนักงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐ (CISA) สำนักงานความมั่นคงแห่งชาติ (NSA) และเอฟบีไอได้ร่วมกันออกคำเตือนว่ามีการยืนยันการโจมตีมากกว่า 400 ครั้งโดยใช้มัลแวร์เรียกค่าไถ่ "คอนติ" ซึ่งในจำนวนนั้นเป็นการโจมตีองค์กรของสหรัฐมากกว่า 290 ราย

ในเดือนธันวาคม บริษัทด้านรักษาความปลอดภัยแอดวานซ์อินเทลลิเจนซ์อ้างว่าคอนติได้รับค่าไถ่รวมมากกว่า 150 ล้านดอลลาร์ในช่วงหกเดือนที่ผ่านมา

พ.ศ. 2565 
วันที่ 24 กุมภาพันธ์ รัสเซียรุกรานยูเครน ในวันรุ่งขึ้น วันที่ 25 กลุ่มแฮ็กเกอร์นานาชาติแอนโนนีมัส (Anonymous) ประกาศว่าจะดำเนินการตอบโต้รัฐบาลรัสเซีย และเกิดเหตุเว็บไซต์ที่เกี่ยวข้องเช่น gov.ru และ kremlin.ru ล่มและไม่สามารถเข้าถึงได้ ในวันเดียวกันนั้น กลุ่มแฮ็กเกอร์ที่พัฒนามัลแวร์เรียกค่าไถ่ "คอนติ" ได้ประกาศอย่างเป็นทางการว่าสนับสนุนรัฐบาลรัสเซียอย่างเต็มที่ โดยแถลงการณ์ระบุว่า "เราจะตอบโต้ด้วยการทุ่มเททรัพยากรทั้งหมดของเรา” ประมาณหนึ่งชั่วโมงต่อมา ได้มีการแก้ไขข้อความบางส่วนโดยระบุว่า “เราไม่ได้เป็นพันธมิตรกับรัฐบาลใด ๆ และประณามสงครามที่ดำเนินอยู่” และ "หากชีวิตและความปลอดภัยของพลเมืองถูกคุกคาม เราจะพยายามอย่างเต็มที่เพื่อตอบโต้”

เมื่อวันที่ 27 กุมภาพันธ์ บัญชีชื่อ "@ContiLeaks" ปรากฏบนทวิตเตอร์ ได้เริ่มมีข้อมูลรั่วไหลการสนทนา บันทึก และรหัสต้นฉบับ ของมัลแวร์เรียกค่าไถ่ระหว่างสมาชิกของคอนติ ซึ่งมีเทคนิคภายในมากกว่า 60,000 ข้อ ซึ่งผู้เชี่ยวชาญด้านความปลอดภัยของตะวันตกกล่าวว่าพวกเขามั่นใจว่าข้อมูลนั้นเป็นของแท้ ข้อความนี้มาพร้อมกับคำว่า "Glory to Ukraine!" จากข้อมูลของเว็บบล็อก Krebs on Security บัญชีนี้ถูกสร้างขึ้นโดยนักวิจัยด้านความปลอดภัยชาวยูเครน

บริษัท/องค์กรที่เสียหาย

หน่วยงานคุ้มครองสิ่งแวดล้อมแห่งสกอตแลนด์ 
เมื่อวันที่ 24 ธันวาคม พ.ศ. 2563 หน่วยงานคุ้มครองสิ่งแวดล้อมแห่งสกอตแลนด์ (SEPA) ถูกโจมตี และข้อมูล 4,000 ไฟล์ (ประมาณ 1.2 กิกะไบต์) ถูกขโมย กลุ่มแฮ็กเกอร์ที่ดำเนินการคอนติได้อ้างความรับผิดชอบและเรียกร้องค่าไถ่ แม้ว่าบริการต่าง ๆ จะถูกขัดขวางโดยผลกระทบของการถูกเข้ารหัส แต่ SEPA แถลงว่าหน่วยงานจะไม่ใช้ข้อมูลเหล่านั้น"  SEPA ไม่ตอบสนองต่อคำขอใด ๆ ต่อมาผู้กระทำผิดซึ่งไม่ได้รับค่าไถ่ได้ทำการเผยแพร่ข้อมูลที่ถูกขโมยทั้งหมดบนพื้นที่สาธารณะเพื่อแก้แค้น

ธุรกิจแฟชั่น Fat Face 
เมื่อวันที่ 25 มีนาคม พ.ศ. 2564 แฟตเฟส (Fat Face) ร้านค้าปลีกแฟชั่นของอังกฤษถูกแฮ็ก โดยขโมยข้อมูลส่วนบุคคล เช่น ข้อมูลบัญชีธนาคารของพนักงานและลูกค้า สองเดือนต่อมาบริษัทได้แจ้งลูกค้าแต่ขอให้ไม่เปิดเผยรายละเอียดของการโจมตี แต่สิ่งนี้กลับกลายเป็นผลเสีย โดยลูกค้าที่โกรธแค้นพากันใช้สื่อสังคมออนไลน์เพื่อบ่น บริษัทอธิบายว่าความล่าช้านั้นเกิดจากช่วงเวลาที่ผู้เชี่ยวชาญด้านความปลอดภัยภายนอก "วิเคราะห์และจัดประเภทข้อมูลอย่างละเอียด เพื่อให้บริษัทสามารถให้ข้อมูลที่ถูกต้องแม่นยำที่สุดเท่าที่จะเป็นไปได้" บริษัทด้านการรักษาความปลอดภัยทางไซเบอร์ ESET ชี้ให้เห็นการตอบสนองที่ไม่ดีโดยกล่าวว่า "ปัญหาที่ใหญ่ที่สุดในครั้งนี้คือความล่าช้าในการแจ้งผู้ได้รับผลกระทบ"

บริษัท ExaGrid 
ในช่วงต้นเดือนพฤษภาคม 2021 ผู้ให้บริการพื้นที่เก็บข้อมูลสำรองของสหรัฐ เอ็กซากริด (ExaGrid) ถูกโจมตี โดยเข้ารหัสไฟล์ขนาด 800 กิกะไบต์ ซึ่งรวมถึงข้อมูลพนักงาน ข้อมูลธุรกรรมที่เป็นความลับ และเอกสารภาษี บริษัทได้จ่ายค่าไถ่ 50.75 บิตคอยน์ (ประมาณ 1.5 ล้านบาท ณ อัตราในขณะนั้น)

สำนักงานบริการสุขภาพไอร์แลนด์ 
เมื่อวันที่ 14 พฤษภาคม พ.ศ. 2564 สำนักงานบริการสุขภาพไอร์แลนด์ (HSE) ประกาศว่าได้ปิดระบบเทคโนโลยีสารสนเทศทั้งหมดหลังจากการโจมตีทางไซเบอร์ขนาดใหญ่โดยมัลแวร์เรียกค่าไถ่ ประธานเจ้าหน้าที่บริหาร พอล รีด (Paul Reed) ให้ความเห็นว่า "นี่เป็นการโจมตีที่ซับซ้อนมาก ไม่ใช่การโจมตีแบบทั่ว ๆ ไป มันส่งผลกระทบต่อระบบระดับชาติและระดับท้องถิ่นทั้งหมดสำหรับบริการหลักทั้งหมดของ HSE"

หน่วยงานเขตสาธารณสุขไวกาโต 
เมื่อวันที่ 18 พฤษภาคม พ.ศ. 2564 หน่วยงานเขตสาธารณสุขไวกาโต (Waikato District Health Board) ซึ่งตั้งอยู่ในภาคตะวันตกเฉียงเหนือของเกาะเหนือของนิวซีแลนด์ถูกโจมตี และระบบเทคโนโลยีสารสนเทศ เช่น อีเมลของโรงพยาบาล 5 แห่งในเขตนี้ล่ม โรงพยาบาลไม่สามารถเข้าถึงข้อมูลผู้ป่วย จึงต้องปิดแผนกผู้ป่วยนอก การผ่าตัดถูกเลื่อนออกไป ผู้ป่วยที่มีภาวะหัวใจวายถูกนำตัวส่งโรงพยาบาลในเขตอื่น รัฐบาลนิวซีแลนด์ระบุชัดเจนว่าจะไม่จ่ายค่าไถ่ แต่เมื่อวันที่ 24 พฤษภาคม กลุ่มอาชญากรที่หุนหันได้ส่งข้อมูลส่วนตัวของผู้ป่วยและเจ้าหน้าที่ที่ถูกขโมยไปให้กับบริษัทสื่อ 4 แห่ง รวมถึงสถานีวิทยุแห่งชาติ สื่อปฏิเสธที่จะรายงานข้อมูลนี้และรายงานต่อตำรวจ

บริษัท JVC Kenwood 
เมื่อวันที่ 29 กันยายน พ.ศ. 2564 บริษัทเจวีซีเคนวูด (JVC Kenwood) ในญี่ปุ่นพบว่าเมื่อวันที่ 22 กันยายน (ตามเวลาท้องถิ่น) มีการเข้าถึงเซิร์ฟเวอร์ของกลุ่มบริษัทลูกในสามประเทศโดยไม่ได้รับอนุญาต (เนเธอร์แลนด์ เบลเยียม และสหราชอาณาจักร) ส่งผลให้สูญเสียข้อมูลลูกค้าและพนักงาน มีรายงานว่าคอนติ ขโมยข้อมูลมากกว่า 1.7 เทราไบต์ และเรียกค่าไถ่ 7 ล้านเหรียญสหรัฐสำหรับการถอดรหัส

บริษัท Advantech 
เมื่อปลายเดือนพฤศจิกายน พ.ศ. 2564 บริษัทแอดวานเทค (Advantech) ผู้ผลิตคอมพิวเตอร์ของไต้หวัน ถูกโจมตีและขโมยไฟล์เอกสารของบริษัท มีการเรียกร้องค่าไถ่ 14 ล้านเหรียญสหรัฐ เพื่อแลกกับการลบข้อมูล

อ้างอิง 

มัลแวร์เรียกค่าไถ่
การละเมิดความปลอดภัย