CyberAv3ngers กลุ่มแฮกเกอร์สายลับอิหร่าน กับภัยคุกคามโครงสร้างพื้นฐานระดับโลก

สงครามไซเบอร์ระหว่างอิสราเอลและอิหร่านไม่ใช่เรื่องใหม่ แต่เป็นความขัดแย้งที่ยืดเยื้อยาวนานที่สุดยุคหนึ่งในประวัติศาสตร์การจารกรรมข้อมูลโดยรัฐ เริ่มต้นตั้งแต่การใช้มัลแวร์ Stuxnet เพื่อทำลายโครงการนิวเคลียร์ของอิหร่าน อย่างไรก็ตาม หลังเหตุการณ์โจมตีเมื่อวันที่ 7 ตุลาคม โดยกลุ่มฮามาส และการตอบโต้ของอิสราเอลในฉนวนกาซา โลกได้รู้จักกับผู้เล่นรายใหม่ที่อันตรายกว่าเดิม ซึ่งไม่ได้มุ่งเป้าเพียงแค่ในอิสราเอล แต่ยังลามไปถึงระบบสำคัญในสหรัฐอเมริกาและทั่วโลก

กลุ่มนี้มีชื่อว่า CyberAv3ngers ซึ่งในช่วงปีครึ่งที่ผ่านมาได้กลายเป็นเครื่องมือหลักของรัฐบาลอิหร่านในการโจมตี Industrial Control Systems (ICS) หรือระบบควบคุมทางอุตสาหกรรม ซึ่งเป็นหัวใจสำคัญในการบริหารจัดการสาธารณูปโภค เช่น ระบบประปา การบำบัดน้ำเสีย รวมถึงอุตสาหกรรมน้ำมันและก๊าซ

เบื้องหลังหน้ากาก 'นักเคลื่อนไหว' แต่ขับเคลื่อนโดยรัฐ

แม้ CyberAv3ngers จะพยายามนำเสนอตัวเองในรูปแบบของ Hacktivist (แฮกเกอร์ที่โจมตีเพื่อจุดประสงค์ทางการเมืองหรือสังคม) แต่ข้อมูลจากเจ้าหน้าที่สหรัฐฯ ระบุชัดเจนว่ากลุ่มนี้ปฏิบัติการภายใต้การควบคุมของ กองกำลังพิทักษ์ปฏิวัติอิสลาม (IRGC) ของอิหร่าน ถึงขั้นมีการตั้งเงินรางวัลนำจับสูงถึง 10 ล้านดอลลาร์สหรัฐสำหรับข้อมูลที่นำไปสู่การจับกุมสมาชิกกลุ่มนี้

Kyle O'Meara นักวิจัยจาก Dragos บริษัทความมั่นคงปลอดภัยทางไซเบอร์ด้าน ICS (ซึ่งเรียกกลุ่มนี้ว่า Bauxite) ยืนยันว่ากลุ่มนี้ไม่ใช่กลุ่มสมัครเล่น แต่เป็นกลุ่มที่ได้รับการสนับสนุนด้านเงินทุนและเครื่องมือจากรัฐบาล มีความตั้งใจและขีดความสามารถในการเรียนรู้วิธีการปิดระบบสำคัญเพื่อสร้างความเสียหายในวงกว้าง

วิวัฒนาการการโจมตี: จากการก่อกวนสู่การทำลายล้าง

กลุ่ม CyberAv3ngers เริ่มเป็นที่รู้จักในวงกว้างเมื่อเดือนพฤศจิกายน 2023 โดยมุ่งเป้าไปที่อุปกรณ์ของบริษัท Unitronics จากอิสราเอล ซึ่งนิยมใช้ในระบบประปาและบำบัดน้ำเสีย โดยแฮกเกอร์ได้เข้าควบคุมอุปกรณ์กว่า 100 เครื่อง พร้อมเปลี่ยนหน้าจอแสดงผลเป็นโลโก้ของกลุ่มและข้อความโจมตีอิสราเอล

การโจมตีครั้งนี้ไม่ใช่เพียงการเปลี่ยนหน้าจอเพื่อสร้างชื่อเสียง แต่มีการแก้ไข Ladder Logic (ภาษาโปรแกรมที่ใช้ควบคุมการทำงานของ PLC ในโรงงานอุตสาหกรรม) ส่งผลให้ระบบประปาในอิสราเอล ไอร์แลนด์ และแม้แต่โรงเบียร์และระบบประปาใกล้เมืองพิตต์สเบิร์กในสหรัฐฯ ต้องหยุดชะงัก

สงครามตอบโต้ระหว่าง CyberAv3ngers และ Predatory Sparrow

การเคลื่อนไหวของ CyberAv3ngers เป็นส่วนหนึ่งของเกมตอบโต้กับกลุ่ม Predatory Sparrow ซึ่งเชื่อกันว่าทำงานให้หน่วยข่าวกรองหรือกองทัพอิสราเอล โดย Predatory Sparrow มีประวัติการโจมตีที่รุนแรง เช่น การทำให้ปั๊มน้ำมันกว่า 4,000 แห่งในอิหร่านใช้งานไม่ได้ในปี 2021 และการโจมตีโรงงานเหล็กจนเกิดไฟไหม้ในปี 2022 ซึ่งถือเป็นหนึ่งในการโจมตีทางไซเบอร์ที่สร้างความเสียหายทางกายภาพมากที่สุดในประวัติศาสตร์

การขยายเป้าหมายสู่ระดับโลกและมัลแวร์ IOControl

เป้าหมายของ CyberAv3ngers ไม่ได้จำกัดอยู่แค่ผลิตภัณฑ์ของอิสราเอล แต่ยังลามไปยังบริษัทน้ำมันและก๊าซในสหรัฐฯ โดยการเจาะผ่านอุปกรณ์ความปลอดภัยของ Sophos และ Fortinet นอกจากนี้ยังมีการพัฒนา IOControl ซึ่งเป็นมัลแวร์ประเภท Backdoor (ช่องทางลับที่แฮกเกอร์ใช้เข้าถึงระบบ) บนระบบปฏิบัติการ Linux

มัลแวร์ตัวนี้ใช้โปรโตคอล MQTT (โปรโตคอลสื่อสารน้ำหนักเบาที่ใช้ในอุปกรณ์ IoT) เพื่อพรางการสื่อสาร ทำให้สามารถฝังตัวอยู่ในอุปกรณ์ได้หลากหลาย ตั้งแต่เราเตอร์ กล้องวงจรปิด ไปจนถึงระบบควบคุมอุตสาหกรรมในสหรัฐฯ ยุโรป และออสเตรเลีย แม้ว่าภายหลัง FBI จะสามารถเข้าควบคุมเซิร์ฟเวอร์สั่งการและระงับมัลแวร์นี้ได้ แต่พฤติกรรมดังกล่าวแสดงให้เห็นถึงการเปลี่ยนกลยุทธ์

Noam Moshe จาก Claroty วิเคราะห์ว่า CyberAv3ngers กำลังเปลี่ยนจาก "ผู้ฉวยโอกาส" ที่ต้องการส่งข้อความทางการเมือง ไปเป็น "ภัยคุกคามที่ฝังตัวถาวร" (Persistent Threat) โดยการฝังมัลแวร์ไว้ในระบบวิกฤตทั่วโลก เพื่อรอเวลาที่เหมาะสมในการกด "ปุ่มแดง" เพื่อสร้างความโกลาหลทางดิจิทัลตามคำสั่งทางยุทธศาสตร์ของรัฐบาลอิหร่าน

ข้อเท็จจริงสำคัญ

• ผู้บงการ: ปฏิบัติการโดยกองกำลังพิทักษ์ปฏิวัติอิสลาม (IRGC) ของอิหร่าน ภายใต้หน้ากากกลุ่ม Hacktivist
• เป้าหมายหลัก: ระบบควบคุมทางอุตสาหกรรม (ICS) ในกลุ่มประปา, พลังงาน, และน้ำมันและก๊าซ
• วิธีการโจมตี: แก้ไข Ladder Logic ของอุปกรณ์ และใช้มัลแวร์ IOControl ฝังตัวผ่านโปรโตคอล MQTT
• ขอบเขตความเสียหาย: ส่งผลกระทบต่อโครงสร้างพื้นฐานในอิสราเอล, ไอร์แลนด์, สหรัฐอเมริกา, ยุโรป และออสเตรเลีย
• คู่ขัดแย้งหลัก: กลุ่ม Predatory Sparrow ซึ่งเชื่อว่าสนับสนุนโดยอิสราเอล

สรุปการเปรียบเทียบกลุ่มแฮกเกอร์ในความขัดแย้งอิสราเอล-อิหร่าน

หัวข้อเปรียบเทียบ	CyberAv3ngers	Predatory Sparrow
ผู้สนับสนุนที่คาดการณ์	รัฐบาลอิหร่าน (IRGC)	รัฐบาลอิสราเอล (ทหาร/ข่าวกรอง)
รูปแบบการนำเสนอ	Hacktivist (นักเคลื่อนไหว)	Hacktivist (นักเคลื่อนไหว)
เป้าหมายเด่น	ระบบประปา, อุปกรณ์ Unitronics, IoT ทั่วโลก	ปั๊มน้ำมันในอิหร่าน, โรงงานเหล็ก
เครื่องมือสำคัญ	มัลแวร์ IOControl, การแก้ Ladder Logic	การโจมตีระบบควบคุมโครงสร้างพื้นฐานขนาดใหญ่

คำถามที่พบบ่อย

CyberAv3ngers คือใครและแตกต่างจากแฮกเกอร์ทั่วไปอย่างไร?

CyberAv3ngers คือกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลอิหร่าน (State-sponsored) ซึ่งแตกต่างจากแฮกเกอร์ทั่วไปตรงที่มีทรัพยากร เงินทุน และเครื่องมือระดับสูง โดยมักแอบอ้างว่าเป็นกลุ่มนักเคลื่อนไหว (Hacktivist) เพื่อปกปิดตัวตนที่แท้จริง

การโจมตีระบบ ICS ส่งผลกระทบอย่างไรต่อชีวิตประจำวัน?

ระบบ ICS ควบคุมการทำงานของสาธารณูปโภคพื้นฐาน หากถูกโจมตีอาจทำให้การจ่ายน้ำประปาหยุดชะงัก ระบบบำบัดน้ำเสียล้มเหลว หรือแม้แต่การหยุดทำงานของโรงไฟฟ้าและโรงกลั่นน้ำมัน ซึ่งส่งผลกระทบโดยตรงต่อความปลอดภัยและคุณภาพชีวิตของประชาชน

มัลแวร์ IOControl ทำงานอย่างไร?

IOControl เป็นมัลแวร์ประเภท Backdoor ที่ฝังตัวในอุปกรณ์ IoT และระบบควบคุมอุตสาหกรรม โดยใช้โปรโตคอล MQTT ในการสื่อสารกับเซิร์ฟเวอร์สั่งการ ทำให้ตรวจจับได้ยากและสามารถควบคุมอุปกรณ์จากระยะไกลได้

ทำไมกลุ่มแฮกเกอร์ถึงมุ่งเป้าไปที่อุปกรณ์ 'Made in Israel'?

เป็นการใช้การโจมตีทางไซเบอร์เป็นเครื่องมือในสงครามจิตวิทยาและการเมือง เพื่อตอบโต้การดำเนินงานทางทหารของอิสราเอล โดยการทำลายความเชื่อมั่นในเทคโนโลยีของอิสราเอลและสร้างความเสียหายทางเศรษฐกิจ

ปัจจุบันสถานการณ์ของกลุ่ม CyberAv3ngers เป็นอย่างไร?

แม้ FBI จะสามารถระงับเซิร์ฟเวอร์สั่งการของมัลแวร์ IOControl ได้ แต่ผู้เชี่ยวชาญเตือนว่ากลุ่มนี้ยังคงมีความสามารถและเจตนาที่จะโจมตี โดยเปลี่ยนกลยุทธ์จากการก่อกวนเป็นการฝังตัวในระบบวิกฤตเพื่อรอเวลาโจมตีในอนาคต