Cisco ASA ถูกโจมตีผ่านช่องโหว่ Zero-day ในปฏิบัติการจารกรรม ArcaneDoor
อุปกรณ์รักษาความปลอดภัยเครือข่ายอย่าง Firewall (ไฟร์วอลล์) ถูกออกแบบมาเพื่อเป็นปราการด่านแรกในการป้องกันแฮกเกอร์ แต่ในปัจจุบัน ผู้ไม่หวังดีกลับเปลี่ยนเป้าหมายมาโจมตีอุปกรณ์เหล่านี้แทน เพื่อใช้เป็นช่องทางลับในการเจาะเข้าสู่ระบบภายในที่อุปกรณ์เหล่านั้นมีหน้าที่ปกป้อง ล่าสุด Cisco ได้เปิดเผยถึงปฏิบัติการจารกรรมไซเบอร์ระดับสูงที่ใช้ชื่อว่า ArcaneDoor ซึ่งเปลี่ยนอุปกรณ์รักษาความปลอดภัยให้กลายเป็นจุดยึดหัวหาดในการเข้าถึงเครือข่ายของรัฐบาลหลายแห่งทั่วโลก
เจาะลึกปฏิบัติการ ArcaneDoor และกลุ่มแฮกเกอร์ปริศนา
Cisco ระบุว่าอุปกรณ์ Adaptive Security Appliances (ASA) ซึ่งเป็นอุปกรณ์ที่รวมความสามารถของไฟร์วอลล์และ VPN (เครือข่ายเสมือนส่วนตัว) เข้าด้วยกัน ได้ตกเป็นเป้าหมายของสายลับที่ได้รับการสนับสนุนจากรัฐบาล โดยมีการใช้ช่องโหว่ Zero-day (ช่องโหว่ที่ผู้ผลิตยังไม่ทราบและยังไม่มีแพตช์แก้ไข) จำนวน 2 จุดในการโจมตี
ทางด้าน Talos หน่วยงานความปลอดภัยของ Cisco เรียกกลุ่มผู้โจมตีนี้ว่า UAT4356 ขณะที่นักวิจัยจาก Microsoft ให้ชื่อว่า STORM-1849 แม้จะยังไม่สามารถระบุตัวตนที่ชัดเจนได้จากเหตุการณ์ในอดีต แต่ด้วยความซับซ้อนของเครื่องมือที่สร้างขึ้นมาโดยเฉพาะ (Bespoke Tooling) และเป้าหมายที่เน้นการจารกรรมข้อมูลเป็นหลัก ทำให้เชื่อได้ว่าเป็นการดำเนินการโดยรัฐบาล ซึ่งแหล่งข่าวระบุว่ามีความสอดคล้องกับผลประโยชน์ของรัฐบาลจีน
กลไกการโจมตี: Line Dancer และ Line Runner
ปฏิบัติการนี้เริ่มต้นขึ้นตั้งแต่เดือนพฤศจิกายน 2023 โดยช่วงที่มีการบุกรุกสูงสุดคือระหว่างเดือนธันวาคมถึงต้นเดือนมกราคม แฮกเกอร์ได้ใช้ช่องโหว่สำคัญ 2 ประการ ดังนี้:
- Line Dancer: ช่องโหว่ที่ช่วยให้แฮกเกอร์สามารถรันโค้ดอันตรายในหน่วยความจำของอุปกรณ์ ทำให้สามารถส่งคำสั่งควบคุม ดักฟังการรับส่งข้อมูลในเครือข่าย และขโมยข้อมูลสำคัญได้
- Line Runner: กลไกที่ช่วยให้มัลแวร์สามารถฝังตัวอยู่ในอุปกรณ์ได้อย่างถาวร แม้จะมีการรีบูตเครื่องหรืออัปเดตซอฟต์แวร์ ตัวมัลแวร์ก็ยังคงสามารถเข้าถึงระบบได้
แนวโน้มการโจมตี Edge Devices ในปัจจุบัน
เหตุการณ์ ArcaneDoor สะท้อนให้เห็นถึงแนวโน้มที่น่ากังวลในการโจมตี Edge Devices หรืออุปกรณ์ที่ติดตั้งอยู่บริเวณขอบของเครือข่าย เช่น เซิร์ฟเวอร์อีเมล, ไฟร์วอลล์ และ VPN ซึ่งอุปกรณ์เหล่านี้มักถูกมองข้ามในการตรวจสอบความปลอดภัย ทำให้แฮกเกอร์ใช้เป็นจุดพัก (Staging Point) เพื่อขยายการโจมตีเข้าสู่ส่วนลึกขององค์กร
ข้อมูลจาก Mandiant บริษัทความปลอดภัยในเครือ Google ระบุว่ากลุ่มจารกรรมจากจีนและรัสเซีย (เช่น กลุ่ม Sandworm ของ GRU) ต่างหันมาใช้กลยุทธ์นี้ เนื่องจากอุปกรณ์ Edge หลายชนิดไม่มีระบบตรวจสอบ (Monitoring) ที่มีประสิทธิภาพ ทำให้การตรวจพบการบุกรุกทำได้ยากยิ่ง โดยเฉพาะในกลุ่มโครงสร้างพื้นฐานสำคัญ เช่น ผู้ให้บริการโทรคมนาคมและภาคพลังงาน
| หัวข้อ | รายละเอียด |
|---|---|
| อุปกรณ์ที่ได้รับผลกระทบ | Cisco Adaptive Security Appliances (ASA) |
| ชื่อปฏิบัติการ | ArcaneDoor |
| กลุ่มผู้โจมตี | UAT4356 / STORM-1849 (คาดว่าสนับสนุนโดยรัฐบาล) |
| ช่องโหว่ที่ใช้ | Line Dancer (รันโค้ด) และ Line Runner (ฝังตัวถาวร) |
| เป้าหมายหลัก | เครือข่ายรัฐบาลทั่วโลก |
ข้อเท็จจริงสำคัญ
- การโจมตีเริ่มตั้งแต่ พฤศจิกายน 2023 และพุ่งสูงในช่วงปลายปีถึงต้นปี 2024
- แฮกเกอร์ใช้ช่องโหว่ Zero-day 2 จุด เพื่อควบคุมอุปกรณ์และจารกรรมข้อมูล
- การรีบูตเครื่องแบบปกติไม่สามารถกำจัด Line Runner ได้ แต่การ ถอดปลั๊กไฟ (Hard Reboot) สามารถหยุดการติดตั้งซ้ำของมัลแวร์ได้ตามคำแนะนำของ NCSC สหราชอาณาจักร
- Cisco ได้ออกซอฟต์แวร์อัปเดตเพื่อปิดช่องโหว่ดังกล่าวแล้ว และแนะนำให้ผู้ใช้รีบดำเนินการทันที
คำถามที่พบบ่อย
อุปกรณ์ Cisco ASA คืออะไร?
คืออุปกรณ์รักษาความปลอดภัยเครือข่ายที่รวมฟังก์ชันของ Firewall และ VPN เข้าด้วยกัน เพื่อควบคุมการเข้าออกของข้อมูลและสร้างการเชื่อมต่อที่ปลอดภัย
ช่องโหว่ Zero-day ในกรณีนี้อันตรายอย่างไร?
อันตรายเพราะเป็นช่องโหว่ที่ผู้ผลิตยังไม่ทราบ ทำให้ไม่มีวิธีป้องกันล่วงหน้า แฮกเกอร์จึงสามารถใช้เข้าถึงระบบได้โดยที่ระบบตรวจจับทั่วไปไม่พบ
หากสงสัยว่าถูกโจมตีควรทำอย่างไร?
ควรติดตั้งซอฟต์แวร์อัปเดตล่าสุดจาก Cisco ทันที และพิจารณาการทำ Hard Reboot โดยการถอดปลั๊กไฟตามคำแนะนำของหน่วยงานความปลอดภัยเพื่อขัดขวางการทำงานของ Line Runner
ทำไมแฮกเกอร์ถึงเลือกโจมตี Edge Devices?
เพราะอุปกรณ์เหล่านี้เป็นจุดเชื่อมต่อระหว่างเครือข่ายภายนอกและภายใน และมักขาดเครื่องมือในการตรวจสอบการบุกรุกที่ละเอียด ทำให้แฮกเกอร์สามารถฝังตัวและเคลื่อนไหวในเครือข่ายได้โดยไม่ถูกตรวจพบ
