3CX และภัยคุกคาม Supply Chain Attack แบบลูกโซ่จากแฮกเกอร์เกาหลีเหนือ
วงการความปลอดภัยทางไซเบอร์กำลังเผชิญกับกรณีศึกษาที่น่าตกใจ เมื่อบริษัท 3CX ผู้ให้บริการซอฟต์แวร์ VoIP (Voice over IP หรือระบบโทรศัพท์ผ่านอินเทอร์เน็ต) ตกเป็นเหยื่อของการโจมตีที่ซับซ้อน ซึ่งส่งผลกระทบต่อลูกค้าจำนวนมหาศาล โดยล่าสุด Mandiant บริษัทผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ ได้เปิดเผยกลไกการโจมตีที่เรียกว่า "ปฏิกิริยาลูกโซ่ของห่วงโซ่อุปทาน" (Supply-chain chain reaction) ซึ่งเป็นการใช้การโจมตีแบบหนึ่งเพื่อนำไปสู่การโจมตีอีกครั้งหนึ่ง
จุดเริ่มต้นของหายนะ: จาก Trading Technologies สู่ 3CX
เหตุการณ์นี้เริ่มต้นขึ้นเมื่อแฮกเกอร์กลุ่มหนึ่ง ซึ่งเชื่อกันว่าทำงานให้กับรัฐบาลเกาหลีเหนือในชื่อกลุ่ม Kimsuky (หรือ Emerald Sleet และ Velvet Chollima) ได้ทำการโจมตี Supply Chain Attack หรือการโจมตีห่วงโซ่อุปทาน ซึ่งคือการแอบฝังโค้ดอันตรายลงในซอฟต์แวร์ที่เชื่อถือได้ก่อนจะส่งถึงมือผู้ใช้
เป้าหมายแรกคือแอปพลิเคชันที่ชื่อว่า X_Trader ของบริษัทซอฟต์แวร์การเงิน Trading Technologies โดยแฮกเกอร์ได้แอบใส่ Backdoor (ช่องทางลับที่ใช้เข้าถึงระบบโดยไม่ได้รับอนุญาต) ลงในโปรแกรมนี้ เมื่อพนักงานของ 3CX ติดตั้ง X_Trader ลงในเครื่องคอมพิวเตอร์ แฮกเกอร์จึงสามารถใช้เป็นสะพานเชื่อมเพื่อเจาะเข้าสู่เครือข่ายภายในของ 3CX ได้สำเร็จ
หลังจากเข้าถึงระบบได้ แฮกเกอร์ได้ลุกลามไปยังเซิร์ฟเวอร์ที่ใช้สำหรับพัฒนาซอฟต์แวร์ของ 3CX และทำการแก้ไขตัวติดตั้งโปรแกรม (Installer) ให้มีมัลแวร์แฝงอยู่ ส่งผลให้ลูกค้าของ 3CX ที่ดาวน์โหลดซอฟต์แวร์ไปใช้งาน ซึ่งมีจำนวนมากจากทั้งหมด 600,000 ราย กลายเป็นเหยื่อในระลอกที่สองทันที
เป้าหมายที่แท้จริง: การโจรกรรมสกุลเงินดิจิทัล
แม้การโจมตีจะแผ่ขยายเป็นวงกว้าง แต่เป้าหมายหลักของกลุ่ม Kimsuky ดูเหมือนจะมีความเฉพาะเจาะจงสูง โดยมุ่งเน้นไปที่ การขโมย Cryptocurrency ข้อมูลจาก Kaspersky ระบุว่าแฮกเกอร์ได้คัดกรองเหยื่ออย่างละเอียดและส่งมัลแวร์ขั้นที่สองไปยังบริษัทที่เกี่ยวข้องกับสกุลเงินดิจิทัลในแถบเอเชียตะวันตกด้วยความแม่นยำระดับศัลยกรรม
นอกจากนี้ Mandiant ยังพบว่า Backdoor แบบเดียวกันนี้ถูกนำไปใช้ในแอปพลิเคชันเทรดเหรียญอย่าง CoinGoTrade และ JMT Trading ซึ่งตอกย้ำว่ากลุ่มแฮกเกอร์นี้มุ่งเน้นการสร้างรายได้จากการโจรกรรมทางการเงินเป็นหลัก
| ลำดับเหตุการณ์ | เป้าหมาย/ซอฟต์แวร์ | ผลลัพธ์ | ช่วงเวลา (โดยประมาณ) |
|---|---|---|---|
| ขั้นที่ 1 | X_Trader (Trading Technologies) | ฝัง Backdoor เพื่อเจาะเข้าเครื่องพนักงาน 3CX | ก่อน พฤศจิกายน 2021 |
| ขั้นที่ 2 | ระบบพัฒนาซอฟต์แวร์ 3CX | แก้ไขตัวติดตั้งโปรแกรมให้มีมัลแวร์ | ต้นปี 2023 |
| ขั้นที่ 3 | ลูกค้าของ 3CX | แพร่กระจายมัลแวร์สู่ผู้ใช้จำนวนมาก | ปี 2023 |
| ขั้นที่ 4 | บริษัท Crypto / ผู้ใช้รายย่อย | โจรกรรมสกุลเงินดิจิทัล | ปี 2023 |
ข้อเท็จจริงสำคัญ
- รูปแบบการโจมตี: เป็นครั้งแรกที่มีหลักฐานชัดเจนว่า Supply Chain Attack ครั้งหนึ่ง นำไปสู่การโจมตี Supply Chain Attack อีกครั้งหนึ่ง
- ผู้ก่อเหตุ: กลุ่มแฮกเกอร์ Kimsuky ซึ่งมีความเชื่อมโยงกับรัฐบาลเกาหลีเหนือ
- ช่องโหว่: เกิดจากการใช้ซอฟต์แวร์ X_Trader ที่เลิกสนับสนุน (End of Support) ไปตั้งแต่ปี 2020 แต่ยังเปิดให้ดาวน์โหลดจนถึงปี 2022
- แรงจูงใจ: มุ่งเน้นการสร้างรายได้ (Monetization) โดยเฉพาะการขโมยสินทรัพย์ดิจิทัล
คำถามที่พบบ่อย
Supply Chain Attack คืออะไร?
คือการโจมตีทางไซเบอร์ที่แฮกเกอร์ไม่ได้โจมตีเป้าหมายโดยตรง แต่ใช้วิธีเจาะระบบของผู้ผลิตซอฟต์แวร์หรือผู้ให้บริการที่เป้าหมายเชื่อถือ เพื่อฝังมัลแวร์ลงในผลิตภัณฑ์ เมื่อผู้ใช้ทำการอัปเดตหรือติดตั้งซอฟต์แวร์นั้น มัลแวร์ก็จะเข้าสู่ระบบของเหยื่อโดยอัตโนมัติ
ทำไมพนักงาน 3CX ถึงติดตั้ง X_Trader ทั้งที่ซอฟต์แวร์เลิกสนับสนุนแล้ว?
ทาง Trading Technologies ระบุว่า X_Trader เป็นเครื่องมือสำหรับมืออาชีพด้านการเทรด ซึ่งไม่มีเหตุผลที่ควรถูกติดตั้งในเครื่องของพนักงาน 3CX และบริษัทได้แจ้งเตือนผู้ใช้ล่วงหน้า 18 เดือนก่อนจะหยุดสนับสนุนในปี 2020
การโจมตีครั้งนี้ส่งผลกระทบต่อผู้ใช้ทั่วไปอย่างไร?
ผู้ใช้ 3CX ที่ดาวน์โหลดตัวติดตั้งที่ถูกดัดแปลงอาจถูกฝังมัลแวร์ในเครื่อง อย่างไรก็ตาม แฮกเกอร์จะเลือกโจมตีขั้นรุนแรงเฉพาะเป้าหมายที่มีมูลค่าสูง เช่น บริษัทที่ทำธุรกรรม Cryptocurrency เท่านั้น
เหตุการณ์นี้เป็นกรณีแรกที่เกิดขึ้นหรือไม่?
Mandiant ระบุว่าเป็นครั้งแรกที่มีหลักฐานเชิงประจักษ์ชัดเจน แต่ผู้เชี่ยวชาญคาดการณ์ว่าอาจเคยเกิดขึ้นมาแล้วในกรณีอื่นๆ เช่น การโจมตีของกลุ่ม Winnti จากจีน หรือ SolarWinds จากรัสเซีย ซึ่งอาจมีการทำ Reconnaissance (การสำรวจระบบ) เพื่อเตรียมโจมตีลูกโซ่ในลักษณะเดียวกัน
