มัลแวร์ USB กลับมาระบาดอีกครั้ง: กลยุทธ์จารกรรมไซเบอร์ยุคเก่าที่ยังได้ผลในปัจจุบัน
ในขณะที่โลกก้าวเข้าสู่ยุคดิจิทัลเต็มรูปแบบ หลายคนอาจมองว่าการแพร่กระจายมัลแวร์ผ่าน USB flash drive เป็นเรื่องล้าสมัยและเป็นเพียงเทคนิคของแฮกเกอร์ในอดีต แต่รายงานล่าสุดจากบริษัทความปลอดภัยไซเบอร์ Mandiant กลับชี้ให้เห็นว่า ภัยคุกคามรูปแบบนี้กำลังถูกนำกลับมาใช้อย่างมีประสิทธิภาพ โดยเฉพาะในภูมิภาคที่เทคโนโลยีการเชื่อมต่อยังไม่ครอบคลุม หรือในพื้นที่ที่การใช้แฟลชไดรฟ์ยังคงเป็นเรื่องปกติในชีวิตประจำวัน
กลุ่มจารกรรมทางไซเบอร์ที่เชื่อมโยงกับประเทศจีน ซึ่งถูกตั้งชื่อว่า UNC53 ได้ใช้ช่องว่างทางเทคโนโลยีในประเทศกำลังพัฒนาเพื่อเจาะเข้าสู่เครือข่ายขององค์กรระดับโลก โดยการหลอกล่อให้พนักงานนำ USB ที่ติดมัลแวร์ไปเสียบกับคอมพิวเตอร์ในระบบ ซึ่งวิธีการนี้สามารถสร้างความเสียหายให้กับองค์กรต่างๆ ได้อย่างน่าตกใจ
การโจมตีที่พุ่งเป้าไปยังจุดอ่อนทางภูมิศาสตร์
จากการตรวจสอบของ Mandiant พบว่ามีองค์กรอย่างน้อย 29 แห่งทั่วโลกตกเป็นเหยื่อตั้งแต่ต้นปีที่ผ่านมา แม้ว่าเป้าหมายจะกระจายตัวอยู่ในสหรัฐอเมริกา ยุโรป และเอเชีย แต่จุดเริ่มต้นของการติดเชื้อส่วนใหญ่มักมาจากสาขาของบริษัทข้ามชาติในทวีปแอฟริกา เช่น ในประเทศอียิปต์ ซิมบับเว แทนซาเนีย เคนยา กานา และมาดากัสการ์
สิ่งที่น่าสนใจคือ มัลแวร์เหล่านี้มักแพร่กระจายผ่านคอมพิวเตอร์สาธารณะในร้านอินเทอร์เน็ตคาเฟ่หรือร้านรับพิมพ์เอกสาร ตัวอย่างที่ชัดเจนคือการพบการติดเชื้อจากเครื่องคอมพิวเตอร์ที่สนามบิน Robert Mugabe ในเมืองฮาราเร ประเทศซิมบับเว ซึ่งเป็นจุดที่ผู้คนเดินทางผ่านไปมาจำนวนมาก ทำให้มัลแวร์สามารถแพร่กระจายจากเครื่องหนึ่งไปสู่อีกเครื่องหนึ่งได้อย่างกว้างขวาง
ทำความรู้จักกับ Sogu: อาวุธจารกรรมรุ่นเก๋า
มัลแวร์ที่ถูกนำมาใช้ในแคมเปญนี้คือ Sogu (หรือที่รู้จักในชื่อ Korplug หรือ PlugX) ซึ่งเป็น Remote Access Trojan (RAT) หรือโปรแกรมประทุษร้ายที่ช่วยให้ผู้โจมตีสามารถควบคุมเครื่องคอมพิวเตอร์จากระยะไกลได้ Sogu ไม่ใช่เรื่องใหม่ แต่เป็นเครื่องมือที่กลุ่มแฮกเกอร์จีนใช้มานานกว่าทศวรรษ รวมถึงเคยถูกใช้ในการเจาะระบบสำนักงานบริหารงานบุคคลของสหรัฐฯ (OPM) เมื่อปี 2015 และมีการเตือนภัยจาก CISA ในปี 2017
แม้ว่าปัจจุบันการโจมตีส่วนใหญ่จะเปลี่ยนไปใช้การทำ Phishing (การหลอกลวงทางอีเมล) หรือการโจมตีผ่านช่องโหว่ของซอฟต์แวร์ แต่ UNC53 กลับนำ Sogu มาปรับปรุงและแพร่กระจายผ่าน USB อีกครั้ง เพื่อสร้างเครือข่ายการจารกรรมข้อมูลในกลุ่มธุรกิจที่หลากหลาย เช่น การธนาคาร, การศึกษา, การก่อสร้าง, เหมืองแร่, ยา และหน่วยงานรัฐบาล
กลไกการทำงานและการเจาะระบบ Air-gapped
เนื่องจากระบบปฏิบัติการ Windows รุ่นใหม่มักปิดฟังก์ชัน Autorun (การรันโปรแกรมอัตโนมัติ) ไว้ Sogu จึงใช้กลวิธีทางจิตวิทยาโดยการตั้งชื่อไฟล์ executable ให้เหมือนกับชื่อของตัวไดรฟ์ USB หรือใช้ชื่อกลางๆ เช่น “removable media” เพื่อหลอกให้ผู้ใช้คลิกเปิดไฟล์ด้วยตนเอง
เมื่อมัลแวร์เข้าสู่เครื่องได้แล้ว จะมีพฤติกรรมการทำงานดังนี้:
- เครื่องที่เชื่อมต่ออินเทอร์เน็ต: จะส่งสัญญาณไปยังเซิร์ฟเวอร์ควบคุม (Command-and-Control Server) เพื่อรับคำสั่งในการค้นหาข้อมูลและอัปโหลดข้อมูลออกไป พร้อมทั้งคัดลอกตัวเองลงใน USB ทุกตัวที่นำมาเสียบเพื่อแพร่เชื้อต่อ
- เครื่องแบบ Air-gapped: (คอมพิวเตอร์ที่ถูกตัดขาดจากการเชื่อมต่อเครือข่ายภายนอกเพื่อความปลอดภัยสูงสุด) มัลแวร์จะพยายามเปิดตัวรับสัญญาณ Wi-Fi เพื่อเชื่อมต่อเครือข่ายท้องถิ่น หากทำไม่ได้ มันจะเก็บข้อมูลที่ขโมยมาไว้ในโฟลเดอร์ลับบน USB และรอจนกว่า USB นั้นจะถูกนำไปเสียบกับเครื่องที่ต่ออินเทอร์เน็ตเพื่อส่งข้อมูลกลับไปยังผู้โจมตี
ข้อเท็จจริงสำคัญ
- กลุ่มผู้โจมตี: UNC53 ซึ่งมีความเชื่อมโยงกับรัฐบาลจีน
- เครื่องมือหลัก: มัลแวร์ Sogu (PlugX) ซึ่งเป็น Remote Access Trojan
- จุดแพร่เชื้อหลัก: คอมพิวเตอร์สาธารณะในแอฟริกา เช่น อินเทอร์เน็ตคาเฟ่และสนามบิน
- เป้าหมาย: องค์กรข้ามชาติในหลายอุตสาหกรรม รวมถึงหน่วยงานรัฐบาล
- ความสามารถพิเศษ: สามารถขโมยข้อมูลจากเครื่อง Air-gapped ผ่านการฝากข้อมูลไว้ใน USB
| หัวข้อเปรียบเทียบ | เทคนิคสมัยใหม่ (Modern) | เทคนิคของ UNC53 (Retro) |
|---|---|---|
| ช่องทางการเข้าถึง | Phishing, Software Vulnerabilities | Infected USB Drives |
| ความเร็วในการแพร่กระจาย | รวดเร็วผ่านเครือข่ายอินเทอร์เน็ต | ช้ากว่า แต่เจาะจงพื้นที่และเข้าถึงเครื่องปิดกั้นได้ |
| เป้าหมายหลัก | ผู้ใช้ทั่วไปและองค์กรทั่วโลก | พนักงานในภูมิภาคที่เทคโนโลยีล้าหลัง |
| การรับมือ | Firewall, Email Filter, Patching | USB Port Control, User Awareness |
ปรากฏการณ์นี้สะท้อนให้เห็นว่า ผู้ดูแลระบบเครือข่ายไม่ควรประมาทและคิดว่าภัยคุกคามจาก USB เป็นเรื่องในอดีต โดยเฉพาะองค์กรที่มีการดำเนินงานในระดับสากล เพราะในขณะที่ฝั่งตะวันตกอาจจะป้องกันเรื่องนี้ได้ดีแล้ว แต่ในภูมิภาคอื่นๆ ช่องโหว่นี้ยังคงถูกนำมาใช้เป็นเครื่องมือจารกรรมที่มีประสิทธิภาพอย่างยิ่ง
คำถามที่พบบ่อย
มัลแวร์ Sogu คืออะไร?
Sogu หรือ PlugX คือมัลแวร์ประเภท Remote Access Trojan (RAT) ที่ถูกออกแบบมาเพื่อการจารกรรมข้อมูล โดยช่วยให้ผู้โจมตีสามารถควบคุมเครื่องคอมพิวเตอร์เป้าหมายจากระยะไกล ขโมยไฟล์ และเฝ้าติดตามกิจกรรมของผู้ใช้ได้
ทำไมการใช้ USB ถึงยังเป็นภัยคุกคามในปัจจุบัน?
เพราะในบางภูมิภาค เช่น แอฟริกา การใช้ USB flash drive ในการส่งต่อข้อมูลยังคงเป็นเรื่องปกติ และมีการใช้คอมพิวเตอร์สาธารณะในร้านอินเทอร์เน็ตคาเฟ่สูง ทำให้แฮกเกอร์สามารถใช้เป็นจุดแพร่กระจายมัลแวร์เข้าสู่เครื่องของพนักงานบริษัทข้ามชาติได้
เครื่องคอมพิวเตอร์ที่ไม่ได้ต่ออินเทอร์เน็ต (Air-gapped) ปลอดภัยจากมัลแวร์นี้หรือไม่?
ไม่ปลอดภัยเสียทีเดียว เนื่องจาก Sogu สามารถฝังตัวใน USB และเก็บข้อมูลที่ขโมยมาไว้ในตัวไดรฟ์ เมื่อ USB นั้นถูกนำไปเสียบกับเครื่องที่เชื่อมต่ออินเทอร์เน็ต ข้อมูลที่ถูกขโมยมาจะถูกส่งกลับไปยังผู้โจมตีทันที
เราจะป้องกันการติดมัลแวร์จาก USB ได้อย่างไร?
วิธีป้องกันที่ดีที่สุดคือการหลีกเลี่ยงการใช้ USB ที่ไม่ทราบที่มา, ไม่เสียบ USB ของตนเองกับคอมพิวเตอร์สาธารณะ, ปิดการทำงานของ Autorun และใช้ซอฟต์แวร์ความปลอดภัยที่สามารถสแกนอุปกรณ์จัดเก็บข้อมูลภายนอกได้ทันทีที่เชื่อมต่อ
กลุ่ม UNC53 มีเป้าหมายอะไรในการโจมตีครั้งนี้?
เชื่อว่าเป็นการจารกรรมข้อมูลเพื่อผลประโยชน์ทางยุทธศาสตร์และเศรษฐกิจ โดยเฉพาะในทวีปแอฟริกาซึ่งจีนมีความสนใจเป็นพิเศษ โดยการหว่านแหโจมตีองค์กรจำนวนมากเพื่อคัดกรองหาเป้าหมายที่มีมูลค่าสูงต่อไป
