Black Basta แก๊งแรนซัมแวร์ตัวร้ายกับการล่มสลายที่อาจเป็นเพียงการเริ่มต้นใหม่

ในโลกของอาชญากรรมไซเบอร์ ลำดับอำนาจของกลุ่มแรนซัมแวร์ (Ransomware) หรือมัลแวร์เรียกค่าไถ่มีการเปลี่ยนแปลงอยู่ตลอดเวลา กลุ่มที่ดุดันและบุ่มบ่ามมักจะกวาดรายได้มหาศาลจากเหยื่อที่ขาดการป้องกัน แต่สุดท้ายมักจะจบลงด้วยการถูกกวาดล้าง ซึ่ง Black Basta กลุ่มแฮกเกอร์ที่พูดภาษารัสเซีย คือตัวอย่างล่าสุดของวงจรนี้ที่กำลังเผชิญกับภาวะชะงักงัน

แม้ในช่วงไม่กี่เดือนที่ผ่านมา Black Basta จะดูเหมือนเงียบหายไปจากการถูกปราบปรามโดยเจ้าหน้าที่บังคับใช้กฎหมายและการรั่วไหลของข้อมูลภายใน แต่ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่า นี่ไม่ใช่จุดจบ แต่เป็นเพียงการเปลี่ยนรูปโฉม โดยสมาชิกของกลุ่มมีแนวโน้มที่จะย้ายไปรวมตัวกับแก๊งอาชญากรรมไซเบอร์กลุ่มอื่นเพื่อเริ่มวงจรการโจมตีใหม่อีกครั้ง

เส้นทางการโจมตีและกลยุทธ์ของ Black Basta

นับตั้งแต่ปรากฏตัวในเดือนเมษายน 2022 Black Basta สามารถสร้างรายได้หลายร้อยล้านดอลลาร์จากการโจมตีองค์กรในกลุ่มธุรกิจสุขภาพ โครงสร้างพื้นฐานที่สำคัญ และอุตสาหกรรมที่มีความเสี่ยงสูง โดยใช้กลยุทธ์ที่เรียกว่า Double Extortion (การกรรโชกสองชั้น) ซึ่งประกอบด้วยการขโมยข้อมูลเพื่อขู่ว่าจะนำไปเปิดเผยต่อสาธารณะ ควบคู่ไปกับการเข้ารหัสระบบเพื่อล็อกไม่ให้เจ้าของเข้าถึงข้อมูลได้จนกว่าจะจ่ายค่าไถ่

หน่วยงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) เคยแจ้งเตือนว่ากลุ่มนี้ได้โจมตีองค์กรมากกว่า 500 แห่ง ครอบคลุมพื้นที่ทั้งในอเมริกาเหนือ ยุโรป และออสเตรเลีย โดยหนึ่งในเหตุการณ์ที่รุนแรงที่สุดคือการโจมตีเครือข่ายสุขภาพ Ascension ในเมืองเซนต์หลุยส์ ซึ่งส่งผลกระทบต่อการดูแลผู้ป่วยถึงขั้นต้องเปลี่ยนเส้นทางรถพยาบาล

จุดพลิกผันและการล่มสลายของอาณาจักร

ความรุ่งเรืองของ Black Basta เริ่มสั่นคลอนในปี 2023 เมื่อปฏิบัติการ "Operation Duck Hunt" ของเจ้าหน้าที่สากลสามารถทำลาย Qakbot ซึ่งเป็น Botnet (เครือข่ายคอมพิวเตอร์ที่ถูกควบคุมโดยแฮกเกอร์) ที่กลุ่มนี้ใช้เป็นเครื่องมือหลักในการแพร่กระจายมัลแวร์ แม้กลุ่มจะพยายามปรับตัวด้วยการใช้ Botnet อื่นหรือสร้างขึ้นเอง แต่ก็ไม่ประสบความสำเร็จเท่าที่ควร ส่งผลให้อัตราการเจาะระบบลดลงอย่างเห็นได้ชัด

ฟางเส้นสุดท้ายเกิดขึ้นในเดือนกุมภาพันธ์ที่ผ่านมา เมื่อข้อมูลภายในของกลุ่มจำนวนมหาศาลถูกนำมาเปิดเผยโดยผู้ใช้ที่ใช้นามแฝงว่า "ExploitWhispers" ซึ่งประกอบด้วยข้อความแชทกว่า 200,000 ข้อความจากเซิร์ฟเวอร์ Matrix ข้อมูลที่หลุดออกมาเปิดเผยทั้งความขัดแย้งภายใน รายละเอียดทางเทคนิคของมัลแวร์ และเบาะแสตัวตนของผู้ดูแลระบบหลัก โดยเชื่อว่าสาเหตุของการรั่วไหลเกิดจากการที่ Black Basta ไปโจมตีธนาคารในรัสเซีย ซึ่งเป็นการละเมิดกฎเหล็กของอาชญากรไซเบอร์ที่ห้ามโจมตีองค์กรในประเทศตนเอง

สรุปข้อมูลสำคัญของกลุ่ม Black Basta

หัวข้อ	รายละเอียด
ช่วงเวลาที่เริ่มปฏิบัติการ	เมษายน 2022
กลยุทธ์หลัก	Double Extortion (ขโมยข้อมูล + เข้ารหัสระบบ)
เป้าหมายหลัก	สาธารณสุข, โครงสร้างพื้นฐานสำคัญ, องค์กรขนาดใหญ่
ปัจจัยที่ทำให้เสื่อมถอย	การล่มสลายของ Qakbot และการรั่วไหลของข้อมูลภายใน
ความเชื่อมโยง	สมาชิกบางส่วนมาจากกลุ่ม Conti

ความอันตรายที่ยังคงอยู่: การย้ายถิ่นฐานของแฮกเกอร์

สิ่งที่ทำให้ Black Basta น่ากลัวไม่ใช่แค่จำนวนการโจมตี แต่คือ ทักษะทางเทคนิค และประสบการณ์ที่สั่งสมมา สมาชิกหลายคนเคยทำงานในกลุ่ม Conti ซึ่งเป็นแก๊งชื่อดังในอดีต ทำให้พวกเขามีความสามารถในการสร้างเครื่องมือเฉพาะทาง เช่น โปรแกรมเจาะระบบเราเตอร์อัตโนมัติผ่านการเดารหัสผ่าน ซึ่งเป็นสิ่งที่กลุ่มแรนซัมแวร์ทั่วไปมักไม่มีศักยภาพเพียงพอที่จะพัฒนาขึ้นเอง

ปัจจุบัน แม้ชื่อของ Black Basta จะเลือนหายไป แต่ "ทรัพยากรมนุษย์" ที่มีความสามารถเหล่านี้ไม่ได้หายไปด้วย ผู้เชี่ยวชาญระบุว่าสมาชิกได้กระจายตัวไปเข้าร่วมกับกลุ่มอื่น ๆ เช่น BlackSuit, INC, Lynx, Cactus และ Nokoyawa ซึ่งเป็นการเติมเต็มทักษะระดับสูงให้กับแก๊งเหล่านี้ และพร้อมที่จะสร้างความเสียหายครั้งใหม่ในอนาคต

ข้อเท็จจริงสำคัญ

• Double Extortion: คือการข่มขู่สองทาง ทั้งการล็อกข้อมูลและการขู่ปล่อยข้อมูลลับ
• ความเชื่อมโยงกับ Conti: Black Basta เติบโตอย่างรวดเร็วเพราะมีสมาชิกที่เชี่ยวชาญจากกลุ่ม Conti เดิม
• จุดอ่อนที่ถูกโจมตี: การใช้รหัสผ่านที่เดาง่ายในอุปกรณ์เครือข่ายเป็นช่องทางหลักที่กลุ่มนี้ใช้เจาะระบบ
• สาเหตุการล่มสลาย: การถูกปราบปรามทางกฎหมายและการทำผิดกฎไม่โจมตีองค์กรในรัสเซีย

คำถามที่พบบ่อย

Black Basta คืออะไร?

คือกลุ่มอาชญากรไซเบอร์ที่เชี่ยวชาญด้านแรนซัมแวร์ โดยเน้นโจมตีองค์กรขนาดใหญ่ในอุตสาหกรรมสำคัญเพื่อเรียกค่าไถ่ด้วยวิธีการขโมยข้อมูลและล็อกระบบ

ทำไมกลุ่ม Black Basta ถึงล่มสลาย?

เกิดจากสองปัจจัยหลัก คือการที่เครือข่าย Botnet (Qakbot) ที่ใช้โจมตีถูกทำลายโดยเจ้าหน้าที่ และการรั่วไหลของข้อมูลภายในกลุ่มที่เปิดเผยความลับและตัวตนของสมาชิก

Double Extortion ทำงานอย่างไร?

เป็นวิธีการที่แฮกเกอร์จะขโมยข้อมูลสำคัญออกไปก่อน จากนั้นจึงเข้ารหัสไฟล์ในเครื่องเหยื่อ หากเหยื่อไม่จ่ายค่าไถ่เพื่อปลดล็อกไฟล์ แฮกเกอร์จะขู่ว่าจะนำข้อมูลที่ขโมยไปเปิดเผยสู่สาธารณะ

สมาชิกของ Black Basta หายไปไหนหลังจากกลุ่มล่มสลาย?

สมาชิกส่วนใหญ่ไม่ได้เลิกทำอาชญากรรม แต่ได้ย้ายไปร่วมงานกับกลุ่มแรนซัมแวร์อื่น ๆ เช่น BlackSuit หรือ Nokoyawa เพื่อใช้ทักษะทางเทคนิคในการโจมตีต่อไป

เราจะป้องกันการโจมตีในลักษณะนี้ได้อย่างไร?

จากกรณีของ Black Basta การตั้งรหัสผ่านที่คาดเดายากสำหรับอุปกรณ์เครือข่าย (เช่น เราเตอร์) และการมีระบบสำรองข้อมูลที่ปลอดภัยเป็นสิ่งสำคัญอย่างยิ่งในการลดความเสี่ยง