APT41 และ RedFly ภัยคุกคามไซเบอร์จีนที่มุ่งเป้าโจมตีโครงข่ายไฟฟ้า
ในโลกของการจารกรรมทางไซเบอร์ ชื่อของ APT41 (กลุ่มแฮกเกอร์ที่มีความเชื่อมโยงกับรัฐบาลจีน) เป็นที่รู้จักในฐานะกลุ่มที่ดำเนินการโจมตีอย่างกล้าหาญและหลากหลาย ตั้งแต่การโจมตีห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain Attack) หรือการฝังมัลแวร์ในแอปพลิเคชันยอดนิยม ไปจนถึงการขโมยเงินช่วยเหลือผู้ประสบภัยแพร่ระบาดจากรัฐบาลสหรัฐฯ เพื่อผลประโยชน์ทางการเงิน
อย่างไรก็ตาม ล่าสุดมีการตรวจพบความเคลื่อนไหวที่น่ากังวลยิ่งกว่า เมื่อกลุ่มย่อยที่ชื่อว่า RedFly ซึ่งมีความเชื่อมโยงกับ APT41 ได้เปลี่ยนเป้าหมายจากการจารกรรมข้อมูลทั่วไป ไปสู่การเจาะระบบ โครงข่ายไฟฟ้า (Power Grids) ซึ่งเป็นโครงสร้างพื้นฐานสำคัญระดับชาติ
การบุกรุกโครงข่ายไฟฟ้าในเอเชีย
ทีมวิจัย Threat Hunter จาก Symantec (บริษัทความปลอดภัยในเครือ Broadcom) เปิดเผยว่า กลุ่ม RedFly ได้ลักลอบเข้าสู่เครือข่ายคอมพิวเตอร์ของหน่วยงานไฟฟ้าแห่งชาติในประเทศหนึ่งในเอเชีย โดยการโจมตีเริ่มต้นขึ้นตั้งแต่เดือนกุมภาพันธ์ของปีนี้ และดำเนินต่อเนื่องยาวนานกว่า 6 เดือน แฮกเกอร์ได้พยายามขยายอำนาจการควบคุมภายในเครือข่าย IT ของหน่วยงานดังกล่าว แม้จะยังไม่มีหลักฐานชัดเจนว่าพวกเขาสามารถเข้าถึงระบบควบคุมการผลิตหรือการส่งจ่ายไฟฟ้าได้โดยสมบูรณ์หรือไม่
Dick O'Brien นักวิเคราะห์อาวุโสจาก Symantec ระบุว่า ประเทศที่ถูกโจมตีเป็นประเทศที่มีความสำคัญทางยุทธศาสตร์ต่อจีน แม้ในเบื้องต้นจะดูเหมือนเป็นการจารกรรมข้อมูล แต่ผู้เชี่ยวชาญจาก Mandiant พบเบาะแสว่ากลุ่มนี้อาจเป็นกลุ่มเดียวกับที่เคยโจมตีระบบไฟฟ้าในอินเดีย ซึ่งสอดคล้องกับคำเตือนก่อนหน้านี้เกี่ยวกับความพยายามของแฮกเกอร์จีนในการวางรากฐานเพื่อสร้างเหตุการณ์ไฟดับ (Blackouts) ในบางรัฐของสหรัฐฯ และในกวม
ยุทธศาสตร์การฝังตัวเพื่อรอคำสั่งโจมตี
เป้าหมายของการโจมตีโครงสร้างพื้นฐานสำคัญไม่ใช่เพียงแค่การขโมยข้อมูล แต่คือการ รักษาขีดความสามารถในการก่อกวน (Disruptive Capability) ซึ่งหมายถึงการแอบฝังตัวอยู่ในระบบอย่างเงียบๆ เพื่อรอเวลาที่เกิดความตึงเครียดทางการเมืองหรือความขัดแย้งทางทหาร แล้วจึง "กดปุ่ม" เพื่อตัดกระแสไฟฟ้าในจุดยุทธศาสตร์ เช่น ฐานทัพทหาร
สถานการณ์นี้คล้ายคลึงกับกรณีของกลุ่ม Volt Typhoon ที่หน่วยงานความมั่นคงของสหรัฐฯ เช่น CISA และ NSA ตรวจพบว่าได้เจาะระบบไฟฟ้าในกวม เพื่อเตรียมพร้อมสำหรับการโจมตีหากเกิดความขัดแย้งเหนือไต้หวัน หรือกรณีในปี 2021 ที่ Recorded Future พบมัลแวร์ในระบบไฟฟ้าและรถไฟของอินเดียในช่วงที่มีข้อพิพาทชายแดนกับจีน
ตารางสรุปกลุ่มแฮกเกอร์และเป้าหมายการโจมตี
| กลุ่มแฮกเกอร์ | เป้าหมายหลัก | วัตถุประสงค์/วิธีการ | ผลลัพธ์/สถานะ |
|---|---|---|---|
| RedFly (APT41) | โครงข่ายไฟฟ้าในเอเชีย/อินเดีย | ใช้ ShadowPad และ C2 Server (Websencl.com) | ฝังตัวระยะยาวเพื่อจารกรรมและเตรียมก่อกวน |
| Volt Typhoon | ระบบไฟฟ้าในสหรัฐฯ และกวม | วางรากฐานเพื่อตัดไฟฐานทัพทหาร | เตรียมพร้อมสำหรับความขัดแย้งทางทหาร |
| Sandworm (รัสเซีย) | โครงข่ายไฟฟ้าในยูเครน | สร้างเหตุการณ์ไฟดับทางยุทธวิธี | ประสบความสำเร็จในการทำให้ไฟดับ 2 ครั้ง |
| Berserk Bear (รัสเซีย) | โครงข่ายไฟฟ้าในสหรัฐฯ | เจาะระบบเพื่อรักษาการเข้าถึง | ยังไม่มีการสร้างความเสียหายในวงกว้าง |
ข้อเท็จจริงสำคัญ
- APT41 หรือที่รู้จักในชื่อ Wicked Panda หรือ Barium มีความเชื่อมโยงกับบริษัท Chengdu 404 ซึ่งเป็นผู้รับเหมาของกระทรวงความมั่นคงแห่งรัฐของจีน
- ShadowPad คือมัลแวร์ที่ RedFly ใช้ ซึ่งเคยถูกใช้ในการโจมตีห่วงโซ่อุปทานของบริษัท NetSarang ในปี 2017
- Command-and-Control (C2) Server คือเซิร์ฟเวอร์ที่แฮกเกอร์ใช้สั่งการมัลแวร์ โดย RedFly ใช้โดเมน
Websencl.comในการโจมตีทั้งในอินเดียและประเทศเป้าหมายล่าสุด - จีนกำลังเปลี่ยนแนวทางจากการจารกรรมข้อมูล (Espionage) ไปสู่การมุ่งเป้าที่โครงสร้างพื้นฐานสำคัญ (Critical Infrastructure) มากขึ้น
คำถามที่พบบ่อย
RedFly แตกต่างจาก APT41 อย่างไร?
RedFly ถูกระบุว่าเป็นกลุ่มย่อยหรือสาขาที่แยกออกมาจาก APT41 โดยมุ่งเน้นเป้าหมายไปที่โครงสร้างพื้นฐานด้านพลังงานและไฟฟ้าโดยเฉพาะ ในขณะที่ APT41 มีขอบเขตการทำงานที่กว้างกว่า ทั้งการจารกรรมรัฐและอาชญากรรมไซเบอร์เพื่อเงิน
ทำไมแฮกเกอร์ต้องเจาะระบบไฟฟ้าหากยังไม่ต้องการทำให้ไฟดับในทันที?
เพื่อเป็นการสร้าง "ทางลัด" หรือการเข้าถึงระบบไว้ล่วงหน้า เมื่อเกิดสถานการณ์วิกฤตหรือความขัดแย้งทางภูมิรัฐศาสตร์ แฮกเกอร์จะสามารถสั่งการให้ระบบหยุดทำงานได้ทันทีโดยไม่ต้องเสียเวลาเจาะระบบใหม่
มัลแวร์ ShadowPad คืออะไรและอันตรายอย่างไร?
ShadowPad เป็นเครื่องมือควบคุมระยะไกลที่ทรงพลัง ซึ่งแฮกเกอร์ใช้เพื่อฝังตัวในระบบเป้าหมายและสั่งการให้ทำงานต่างๆ ได้อย่างแนบเนียน มักถูกใช้ในการโจมตีแบบห่วงโซ่อุปทานเพื่อกระจายตัวไปยังเครื่องคอมพิวเตอร์จำนวนมาก
การโจมตีครั้งนี้ส่งผลกระทบต่อผู้ใช้งานทั่วไปหรือไม่?
ในปัจจุบัน การโจมตีมุ่งเน้นไปที่ระดับโครงสร้างพื้นฐานของรัฐและหน่วยงานไฟฟ้า ซึ่งส่งผลกระทบต่อความมั่นคงระดับชาติมากกว่าผู้ใช้รายบุคคล อย่างไรก็ตาม หากแฮกเกอร์ตัดสินใจ "กดปุ่ม" ก่อกวน อาจนำไปสู่เหตุการณ์ไฟดับเป็นวงกว้างที่กระทบต่อประชาชนทั่วไปได้
