3CX Supply-Chain Attack เจาะจงเป้าหมายบริษัทคริปโตโดยแฮกเกอร์เกาหลีเหนือ
ในโลกของความปลอดภัยทางไซเบอร์ Software Supply-Chain Attack หรือการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ คือหนึ่งในภัยคุกคามที่น่ากลัวที่สุด เนื่องจากแฮกเกอร์จะทำการฝังโค้ดอันตรายลงในแอปพลิเคชันที่ได้รับความนิยม เพื่อส่งต่อมัลแวร์ไปยังเครื่องคอมพิวเตอร์นับพันหรือนับล้านเครื่องในคราวเดียว
เหตุการณ์ล่าสุดที่สร้างความตื่นตระหนกคือการโจมตีซอฟต์แวร์ 3CX ซึ่งเป็นแอปพลิเคชัน VoIP (Voice over IP หรือระบบโทรศัพท์ผ่านอินเทอร์เน็ต) ที่มีองค์กรใช้งานอยู่ทั่วโลกกว่า 600,000 แห่ง โดยพบว่ามีการฝังโค้ดอันตรายไว้ในตัวติดตั้งซอฟต์แวร์ เพื่อใช้เป็นประตูทางเข้าสู่ระบบของเหยื่อ
กลยุทธ์การโจมตีแบบ "ศัลยกรรมแม่นยำ"
แม้ว่าการโจมตีครั้งนี้จะมีขอบเขตที่กว้างขวาง แต่ข้อมูลจาก Kaspersky บริษัทด้านความปลอดภัยทางไซเบอร์จากรัสเซีย ระบุว่าเป้าหมายที่แท้จริงของแฮกเกอร์กลุ่มนี้ไม่ใช่การโจมตีแบบหว่านแห แต่เป็นการเลือกเหยื่ออย่างเฉพาะเจาะจง โดยมุ่งเน้นไปที่บริษัทที่เกี่ยวข้องกับ Cryptocurrency ในภูมิภาคเอเชียตะวันตก
Georgy Kucherin นักวิเคราะห์จากทีม GReAT ของ Kaspersky อธิบายว่า แฮกเกอร์จะใช้ขั้นตอนการสอดแนม (Reconnaissance) เพื่อคัดกรองข้อมูลจากเหยื่อจำนวนมาก และเลือกติดตั้งมัลแวร์ขั้นที่สองให้กับเครื่องเป้าหมายเพียงไม่กี่เครื่องเท่านั้น ซึ่งในกรณีนี้พบว่ามีการเจาะจงเป้าหมายไม่ถึง 10 เครื่อง เพื่อหลีกเลี่ยงการถูกตรวจจับได้ง่าย
ร่องรอยดิจิทัลที่ชี้ไปยังเกาหลีเหนือ
หลักฐานสำคัญที่ทำให้บริษัทความปลอดภัยอย่าง CrowdStrike และ SentinelOne เชื่อว่าการโจมตีครั้งนี้ดำเนินการโดยแฮกเกอร์ที่ทำงานให้รัฐบาลเกาหลีเหนือ คือการพบมัลแวร์ Gopuram ซึ่งเป็นโปรแกรม Backdoor (ช่องทางลับที่แฮกเกอร์ใช้เข้าควบคุมระบบ) ที่ถูกนำมาใช้เป็น Payload หรือส่วนส่งมอบคำสั่งสุดท้ายในการโจมตี
มัลแวร์ Gopuram มีความเชื่อมโยงอย่างใกล้ชิดกับ AppleJeus ซึ่งเป็นมัลแวร์ที่ขึ้นชื่อว่าเกี่ยวข้องกับกลุ่มแฮกเกอร์เกาหลีเหนือ โดยทั้งคู่ใช้โครงสร้างพื้นฐานในการสั่งการและควบคุม (Command-and-Control) ชุดเดียวกัน และมีประวัติการโจมตีบริษัทคริปโตเพื่อระดมทุนให้กับรัฐบาลของ Kim Jong-Un
รูปแบบการโจมตีที่กลายเป็นมาตรฐานของรัฐสนับสนุน
การใช้ซอฟต์แวร์ยอดนิยมเป็นทางผ่านเพื่อเข้าถึงเป้าหมายจำนวนน้อยแต่มีมูลค่าสูง กลายเป็นกลยุทธ์ที่แฮกเกอร์ระดับรัฐนิยมใช้ ตัวอย่างที่เห็นได้ชัดในอดีต ได้แก่:
- SolarWinds (2020): แฮกเกอร์รัสเซียเจาะระบบซอฟต์แวร์ Orion ส่งผลกระทบต่อเหยื่อ 18,000 ราย แต่ขโมยข้อมูลจากเพียงไม่กี่สิบราย
- CCleaner: กลุ่มแฮกเกอร์ Barium (หรือ WickedPanda) จากจีน เจาะระบบคอมพิวเตอร์กว่า 700,000 เครื่อง แต่เลือกโจมตีเพียงบริษัทเทคโนโลยีบางแห่งเท่านั้น
| หัวข้อ | รายละเอียด |
|---|---|
| ซอฟต์แวร์ที่ถูกโจมตี | 3CX (VoIP Application) |
| จำนวนผู้ใช้งานที่ได้รับผลกระทบ | ประมาณ 600,000 องค์กรทั่วโลก |
| ผู้ต้องสงสัย | แฮกเกอร์ที่สนับสนุนโดยรัฐบาลเกาหลีเหนือ |
| มัลแวร์ที่ใช้ | Gopuram (Backdoor) และมีความเชื่อมโยงกับ AppleJeus |
| เป้าหมายหลัก | บริษัท Cryptocurrency ในเอเชียตะวันตก |
ข้อเท็จจริงสำคัญ
- การโจมตี 3CX ใช้ตัวติดตั้งซอฟต์แวร์เป็นช่องทางในการแพร่กระจายมัลแวร์
- แฮกเกอร์ใช้วิธีคัดกรองเหยื่อเพื่อลดโอกาสในการถูกตรวจพบ
- มัลแวร์ Gopuram ถูกใช้เป็นเครื่องมือสุดท้ายในการเข้าควบคุมระบบเป้าหมาย
- การตรวจพบครั้งนี้เกิดขึ้นค่อนข้างเร็ว (ภายในหนึ่งเดือน) เมื่อเทียบกับการโจมตีห่วงโซ่อุปทานครั้งอื่น
- ยังไม่มีหลักฐานยืนยันว่ามีการขโมยคริปโตเคอร์เรนซีออกไปได้สำเร็จ
คำถามที่พบบ่อย
Software Supply-Chain Attack คืออะไร?
คือการโจมตีที่แฮกเกอร์ไม่ได้เจาะระบบของเป้าหมายโดยตรง แต่ใช้วิธีแทรกโค้ดอันตรายลงในซอฟต์แวร์หรือบริการที่เป้าหมายไว้วางใจและใช้งานอยู่ ทำให้มัลแวร์สามารถแพร่กระจายไปยังผู้ใช้จำนวนมากผ่านการอัปเดตหรือการติดตั้งซอฟต์แวร์ตามปกติ
ทำไมแฮกเกอร์ถึงเลือกโจมตีบริษัทคริปโต?
เนื่องจากบริษัทเหล่านี้ถือครองสินทรัพย์ดิจิทัลที่มีมูลค่าสูงและสามารถโอนย้ายได้รวดเร็ว ซึ่งสอดคล้องกับเป้าหมายของแฮกเกอร์เกาหลีเหนือที่ต้องการระดมเงินทุนเข้าสู่รัฐบาล
มัลแวร์ Gopuram ทำหน้าที่อะไรในเหตุการณ์นี้?
Gopuram ทำหน้าที่เป็น Backdoor หรือประตูหลังที่ช่วยให้แฮกเกอร์สามารถเข้าถึงและควบคุมเครื่องคอมพิวเตอร์ของเหยื่อได้จากระยะไกล เพื่อดำเนินการขโมยข้อมูลหรือทำกิจกรรมอันตรายอื่นๆ
การโจมตีครั้งนี้ถือว่าประสบความสำเร็จหรือไม่?
ในแง่ของการเจาะระบบถือว่าทำได้ แต่ในแง่ของความแนบเนียนถือว่าล้มเหลว เนื่องจากถูกตรวจพบโดยบริษัทความปลอดภัยอย่าง CrowdStrike และ SentinelOne ในเวลาอันรวดเร็ว และยังไม่มีหลักฐานว่ามีการขโมยทรัพย์สินได้สำเร็จ
องค์กรทั่วไปที่ใช้ 3CX ควรทำอย่างไร?
แม้เป้าหมายหลักจะเป็นบริษัทคริปโต แต่ผู้ใช้งาน 3CX ทุกรายควรตรวจสอบระบบและสแกนหาความผิดปกติ เนื่องจากแฮกเกอร์อาจมีการเปลี่ยนเป้าหมายหรือใช้เครือข่ายที่เข้าถึงได้เพื่อวัตถุประสงค์อื่นในอนาคต
