CarderBee การโจมตี Supply Chain รูปแบบใหม่ที่ใช้ลายเซ็นดิจิทัลของ Microsoft พรางตัว
ในโลกของความปลอดภัยทางไซเบอร์ การโจมตีแบบ Software Supply Chain Attack หรือการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ ถือเป็นภัยคุกคามที่น่าสะพรึงกลัว เพราะแฮกเกอร์จะทำการฝังมัลแวร์ลงในแอปพลิเคชันที่ถูกต้องตามกฎหมาย เพื่อส่งต่อไวรัสไปยังผู้ใช้งานจำนวนมหาศาลในคราวเดียว ล่าสุดทีมวิจัย Threat Hunter จาก Symantec (บริษัทในเครือ Broadcom) ได้ตรวจพบกลุ่มแฮกเกอร์หน้าใหม่ที่ชื่อว่า CarderBee ซึ่งมีวิธีการทำงานที่ซับซ้อนและน่าจับตามองเป็นพิเศษ
กลุ่ม CarderBee ได้ทำการเจาะระบบการอัปเดตซอฟต์แวร์ของ Cobra DocGuard ซึ่งเป็นโปรแกรมด้านความปลอดภัยจากประเทศจีนที่ใช้สำหรับเข้ารหัสและปกป้องไฟล์ข้อมูล โดยแฮกเกอร์ได้ฉีดมัลแวร์เข้าไปในตัวอัปเดตเพื่อมุ่งเป้าโจมตีคอมพิวเตอร์ประมาณ 100 เครื่องในภูมิภาคเอเชีย โดยส่วนใหญ่อยู่ในฮ่องกง
กลยุทธ์การพรางตัวขั้นสูงด้วยลายเซ็นของ Microsoft
สิ่งที่ทำให้การโจมตีครั้งนี้โดดเด่นกว่าครั้งอื่นคือ ความสามารถในการทำให้มัลแวร์ดูเหมือนซอฟต์แวร์ที่เชื่อถือได้ โดย CarderBee ได้นำโค้ดอันตรายที่เรียกว่า Korplug (หรือ PlugX) ซึ่งเป็น Backdoor หรือประตูหลังที่แฮกเกอร์ชาวจีนนิยมใช้ ไปผ่านกระบวนการลงลายเซ็นดิจิทัล (Digital Signature) ของ Microsoft
โดยปกติแล้ว ลายเซ็นนี้จะใช้ในโปรแกรม Windows Hardware Compatibility Publisher เพื่อยืนยันว่าโค้ดนั้นปลอดภัยและได้รับความไว้วางใจ การที่มัลแวร์มีลายเซ็นของ Microsoft ทำให้ระบบตรวจจับมัลแวร์ส่วนใหญ่ข้ามการตรวจสอบไป เพราะเชื่อว่าเป็นซอฟต์แวร์ที่ผ่านการรับรองแล้ว ซึ่งผู้เชี่ยวชาญระบุว่าแฮกเกอร์อาจใช้วิธีสร้างบัญชีนักพัฒนาปลอมหรือขโมยบัญชีจากนักพัฒนาที่ลงทะเบียนไว้กับ Microsoft เพื่อให้ได้ลายเซ็นนี้มา
การวิเคราะห์เป้าหมายและความเชื่อมโยงกับกลุ่ม APT
แม้ว่า Cobra DocGuard จะมีผู้ใช้งานราว 2,000 ราย แต่ CarderBee กลับเลือกติดตั้งมัลแวร์เพียง 100 เครื่องเท่านั้น สิ่งนี้สะท้อนให้เห็นว่าแฮกเกอร์มีการคัดกรองเหยื่ออย่างเฉพาะเจาะจง ไม่ใช่การหว่านล้อมโจมตีแบบสุ่ม โดยมัลแวร์ที่ติดตั้งสามารถสั่งการระยะไกลและบันทึกการกดแป้นพิมพ์ (Keystrokes) ของเหยื่อได้
ในแง่ของความเชื่อมโยง Symantec พบว่าพฤติกรรมบางอย่างคล้ายกับกลุ่ม APT (Advanced Persistent Threat) หรือกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาล ซึ่งมักมีการโจมตีที่ต่อเนื่องและซับซ้อน โดยก่อนหน้านี้บริษัท ESET เคยพบว่า Cobra DocGuard ถูกใช้เป็นช่องทางโจมตีบริษัทการพนันในฮ่องกงโดยกลุ่ม LuckyMouse (หรือ APT27/Budworm) และมีความเกี่ยวข้องกับกลุ่ม APT41 (Barium) ที่เชี่ยวชาญการโจมตี Supply Chain เช่นกัน อย่างไรก็ตาม Symantec ยังไม่สรุปว่า CarderBee คือกลุ่มเดิมหรือไม่ เนื่องจากอาจเป็นกลุ่มใหม่ที่เลียนแบบวิธีการเดิมที่เคยได้ผล
| หัวข้อ | รายละเอียด |
|---|---|
| กลุ่มผู้โจมตี | CarderBee |
| ซอฟต์แวร์ที่ถูกใช้เป็นช่องทาง | Cobra DocGuard (โดย EsafeNet/Nsfocus) |
| มัลแวร์ที่ใช้ | Korplug / PlugX (Backdoor) |
| เทคนิคการพรางตัว | ใช้ลายเซ็นดิจิทัลจาก Microsoft |
| พื้นที่เป้าหมายหลัก | ฮ่องกง และภูมิภาคเอเชีย |
| จำนวนเหยื่อที่ตรวจพบ | ประมาณ 100 เครื่อง |
ข้อเท็จจริงสำคัญ
- CarderBee เป็นกลุ่มแฮกเกอร์ที่ใช้การโจมตีแบบ Supply Chain ผ่านซอฟต์แวร์ Cobra DocGuard
- มีการใช้ Korplug/PlugX ซึ่งเป็นมัลแวร์ประเภท Backdoor เพื่อควบคุมเครื่องเหยื่อ
- ความน่ากลัวอยู่ที่การหลอกให้ Microsoft ลงลายเซ็นดิจิทัลให้มัลแวร์ ทำให้ตรวจจับได้ยากขึ้น
- เป้าหมายถูกเลือกอย่างเฉพาะเจาะจง ไม่ใช่การโจมตีแบบสุ่ม
- มีความเชื่อมโยงทางเทคนิคกับกลุ่ม APT จากจีน แต่ยังไม่สามารถระบุตัวตนที่แน่ชัดได้
คำถามที่พบบ่อย
Software Supply Chain Attack คืออะไร?
คือการโจมตีที่แฮกเกอร์ไม่ได้เจาะเข้าเครื่องเหยื่อโดยตรง แต่ใช้วิธีเจาะระบบของผู้พัฒนาซอฟต์แวร์เพื่อฝังโค้ดอันตรายลงในตัวโปรแกรมหรือตัวอัปเดต เมื่อผู้ใช้ดาวน์โหลดหรืออัปเดตซอฟต์แวร์ที่เชื่อถือได้ มัลแวร์ก็จะถูกติดตั้งลงในเครื่องโดยอัตโนมัติ
ทำไมลายเซ็นดิจิทัลของ Microsoft ถึงทำให้มัลแวร์อันตรายขึ้น?
เพราะลายเซ็นดิจิทัลเป็นเครื่องหมายยืนยันว่าซอฟต์แวร์นั้นมาจากแหล่งที่เชื่อถือได้ นักล่าภัยคุกคาม (Threat Hunters) และโปรแกรมแอนตี้ไวรัสหลายตัวมักจะยกเว้นการตรวจสอบไฟล์ที่มีลายเซ็นของ Microsoft ทำให้มัลแวร์สามารถทำงานในระบบได้โดยไม่ถูกสงสัย
กลุ่ม APT คือใคร?
APT ย่อมาจาก Advanced Persistent Threat หมายถึงกลุ่มแฮกเกอร์ที่มีทักษะสูง มีทรัพยากรจำนวนมาก และมักได้รับการสนับสนุนจากรัฐบาล เพื่อเป้าหมายในการจารกรรมข้อมูลทางราชการ การทหาร หรือโครงสร้างพื้นฐานของประเทศอื่นในระยะยาว
Cobra DocGuard คือโปรแกรมอะไร?
เป็นซอฟต์แวร์ด้านความปลอดภัยที่พัฒนาโดยบริษัทในจีน (จำหน่ายโดย EsafeNet ภายใต้ Nsfocus) มีหน้าที่หลักในการเข้ารหัสและปกป้องไฟล์ข้อมูลตามสิทธิ์ของผู้ใช้งานภายในองค์กร
เราจะป้องกันการโจมตีลักษณะนี้ได้อย่างไร?
แม้การโจมตี Supply Chain จะป้องกันได้ยากเพราะเกิดจากแหล่งที่เชื่อถือได้ แต่การใช้หลักการ Zero Trust (ไม่ไว้วางใจสิ่งใดเลย), การตรวจสอบพฤติกรรมที่ผิดปกติของระบบ (Behavioral Analysis) และการอัปเดตระบบรักษาความปลอดภัยให้ทันสมัยอยู่เสมอจะช่วยลดความเสี่ยงได้
