กระทรวงการคลังสหรัฐฯ ถูกแฮกเกอร์จีนเจาะระบบผ่านซอฟต์แวร์ BeyondTrust

เหตุการณ์ความมั่นคงทางไซเบอร์ครั้งสำคัญเกิดขึ้นเมื่อ กระทรวงการคลังสหรัฐฯ (US Treasury Department) ตกเป็นเป้าหมายของการโจมตีทางไซเบอร์ ซึ่งส่งผลให้แฮกเกอร์สามารถเข้าถึงคอมพิวเตอร์บางเครื่องและเอกสารที่ไม่เป็นความลับได้ โดยการโจมตีครั้งนี้เกิดขึ้นผ่านช่องโหว่ของซอฟต์แวร์สนับสนุนทางไกลจากบริษัท BeyondTrust ซึ่งเป็นผู้ให้บริการด้านการจัดการอัตลักษณ์และการเข้าถึง (Identity and Access Management)

จากการรายงานต่อสภาคองเกรส กระทรวงการคลังระบุว่าผู้ก่อเหตุคือกลุ่ม APT (Advanced Persistent Threat) หรือกลุ่มภัยคุกคามขั้นสูงที่มีรัฐบาลจีนให้การสนับสนุน โดยแฮกเกอร์ได้ขโมยคีย์การยืนยันตัวตน (Authentication Key) เพื่อใช้หลบเลี่ยงระบบป้องกันและลอบเข้าสู่สถานีงาน (Workstations) ของหน่วยงาน ซึ่งทาง BeyondTrust ได้แจ้งเหตุการณ์นี้ให้กระทรวงการคลังทราบเมื่อวันที่ 8 ธันวาคมที่ผ่านมา

รายละเอียดทางเทคนิคและช่องโหว่ที่ถูกใช้

การโจมตีในครั้งนี้อาศัยช่องโหว่ประเภท Command Injection ซึ่งเป็นข้อผิดพลาดของแอปพลิเคชันที่ยอมให้ผู้ไม่หวังดีส่งคำสั่งอันตรายเข้าไปรันในระบบเป้าหมายได้ โดยมีการระบุรหัสช่องโหว่ 2 รายการ ได้แก่:

  • CVE-2024-12356: ช่องโหว่ระดับวิกฤต (Critical) ซึ่งทาง CISA ได้บรรจุไว้ในรายการช่องโหว่ที่ถูกใช้โจมตีจริงแล้ว
  • CVE-2024-12686: ช่องโหว่ระดับปานกลาง (Medium)

ผู้เชี่ยวชาญด้านความปลอดภัยจาก Hunter Strategy แสดงความกังวลว่า การพบช่องโหว่พื้นฐานอย่าง Command Injection ในผลิตภัณฑ์ที่ออกแบบมาเพื่อความปลอดภัยระดับรัฐบาลในปี 2024 เป็นเรื่องที่น่าตกใจ เนื่องจากเป็นบั๊กที่ตรวจพบและแก้ไขได้ง่ายที่สุดในปัจจุบัน

Image 6

การตอบสนองและการตรวจสอบ

ปัจจุบันกระทรวงการคลังได้สั่งปิดบริการของ BeyondTrust ที่ถูกบุกรุกแล้ว และระบุว่ายังไม่พบหลักฐานว่าแฮกเกอร์ยังคงเข้าถึงข้อมูลได้อยู่ ทั้งนี้มีการประสานงานร่วมกับหน่วยงานระดับสูงอย่าง FBI, CISA (หน่วยงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐาน) และหน่วยงานข่าวกรอง รวมถึงผู้เชี่ยวชาญด้านนิติวิทยาศาสตร์ดิจิทัลจากภาคเอกชนเพื่อประเมินความเสียหาย

นอกจากนี้ยังมีประเด็นเรื่องมาตรฐาน FedRAMP (โปรแกรมการจัดการความเสี่ยงและการอนุญาตของรัฐบาลกลาง) ซึ่งเป็นมาตรฐานความปลอดภัยสำหรับบริการคลาวด์ที่ใช้ในหน่วยงานรัฐ โดยมีการตั้งข้อสังเกตว่าหากการเจาะระบบครั้งนี้เกิดขึ้นบนโครงสร้างพื้นฐานที่ได้รับรอง FedRAMP จะถือเป็นกรณีการบุกรุกครั้งแรกของมาตรฐานนี้

สรุปเหตุการณ์การเจาะระบบกระทรวงการคลังสหรัฐฯ
หัวข้อ รายละเอียด
ผู้ก่อเหตุ กลุ่ม APT ที่สนับสนุนโดยรัฐบาลจีน
ช่องทางที่ถูกโจมตี ซอฟต์แวร์ Remote Support ของ BeyondTrust
วิธีการ ขโมย Authentication Key และใช้ Command Injection
ผลกระทบ เข้าถึงคอมพิวเตอร์และเอกสารที่ไม่เป็นความลับบางส่วน
รหัสช่องโหว่ CVE-2024-12356 และ CVE-2024-12686

ข้อเท็จจริงสำคัญ

  • การโจมตีเกิดขึ้นผ่านซอฟต์แวร์ SaaS (Software as a Service) หรือซอฟต์แวร์ที่ให้บริการผ่านคลาวด์
  • เหตุการณ์นี้เกิดขึ้นในช่วงเวลาใกล้เคียงกับการจารกรรมข้อมูลบริษัทโทรคมนาคมสหรัฐฯ โดยกลุ่ม Salt Typhoon
  • กระทรวงการคลังจัดให้การบุกรุกโดยกลุ่ม APT เป็น เหตุการณ์ความมั่นคงทางไซเบอร์ระดับรุนแรง
  • มีการคาดการณ์ว่าความเสียหายจริงอาจกว้างขวางกว่าเพียงแค่การเข้าถึงเอกสารไม่กี่ฉบับ

คำถามที่พบบ่อย

กลุ่ม APT คืออะไร?

APT หรือ Advanced Persistent Threat คือกลุ่มแฮกเกอร์ที่มีทักษะสูงและมีทรัพยากรสนับสนุนจำนวนมาก (มักเป็นรัฐบาล) ซึ่งเน้นการลอบเข้าสู่ระบบเป้าหมายอย่างแนบเนียนและฝังตัวอยู่เป็นเวลานานเพื่อจารกรรมข้อมูล

Command Injection คืออะไรและอันตรายอย่างไร?

คือช่องโหว่ที่เกิดขึ้นเมื่อแอปพลิเคชันรับข้อมูลจากผู้ใช้แล้วนำไปประมวลผลเป็นคำสั่งของระบบปฏิบัติการโดยไม่มีการตรวจสอบ ทำให้แฮกเกอร์สามารถสั่งการเครื่องเซิร์ฟเวอร์ให้ทำงานตามที่ต้องการได้ เช่น การขโมยข้อมูลหรือติดตั้งมัลแวร์

FedRAMP มีบทบาทอย่างไรในเหตุการณ์นี้?

FedRAMP เป็นมาตรฐานที่รับรองว่าบริการคลาวด์มีความปลอดภัยเพียงพอสำหรับรัฐบาลสหรัฐฯ หากการโจมตีครั้งนี้เกิดขึ้นในเวอร์ชันที่ได้รับรอง FedRAMP จะส่งผลกระทบต่อความเชื่อมั่นในมาตรฐานความปลอดภัยของคลาวด์ภาครัฐอย่างมาก

เหตุการณ์นี้เกี่ยวข้องกับกลุ่ม Salt Typhoon หรือไม่?

แม้จะมีการโจมตีจากกลุ่ม Salt Typhoon ในภาคโทรคมนาคมในช่วงเวลาเดียวกัน แต่ทางกระทรวงการคลัง CISA และ FBI ยังไม่ได้ยืนยันอย่างเป็นทางการว่าผู้บุกรุกในครั้งนี้คือกลุ่มเดียวกันหรือไม่