DNS Records ช่องโหว่ลับที่แฮกเกอร์ใช้ซ่อนมัลแวร์และโจมตี AI

ในขณะที่ระบบป้องกันความปลอดภัยส่วนใหญ่พุ่งเป้าไปที่การตรวจสอบอีเมลและเว็บไซต์ แต่เหล่าแฮกเกอร์ได้ค้นพบ "จุดบอด" ขนาดใหญ่ในระบบเครือข่าย นั่นคือการใช้ DNS (Domain Name System) หรือระบบที่ทำหน้าที่แปลงชื่อโดเมนที่เราคุ้นเคยให้เป็นหมายเลข IP Address เพื่อใช้เป็นที่กักเก็บมัลแวร์และสคริปต์อันตราย ซึ่งมักจะรอดพ้นจากการตรวจจับของซอฟต์แวร์แอนตี้ไวรัสทั่วไป

กลยุทธ์การซ่อนมัลแวร์ผ่าน TXT Record

นักวิจัยจาก DomainTools พบเทคนิคการนำไฟล์ไบนารี (Binary) ของมัลแวร์ประเภทก่อกวนที่ชื่อว่า Joke Screenmate มาดัดแปลงให้อยู่ในรูปแบบ Hexadecimal ซึ่งเป็นการเข้ารหัสที่ใช้ตัวเลข 0-9 และตัวอักษร A-F เพื่อให้ข้อมูลมีขนาดกะทัดรัดและไม่ดูน่าสงสัย

จากนั้น แฮกเกอร์จะแบ่งข้อมูลที่เข้ารหัสแล้วออกเป็นส่วนย่อยๆ หลายร้อยชิ้น และนำไปฝากไว้ใน TXT Record ของโดเมนย่อยต่างๆ ภายใต้ชื่อ whitetreecollective[.]com โดยที่ TXT Record คือส่วนหนึ่งของระเบียน DNS ที่สามารถจัดเก็บข้อความใดๆ ก็ได้ ซึ่งปกติแล้วมักถูกใช้เพื่อยืนยันความเป็นเจ้าของเว็บไซต์ในการตั้งค่าบริการอย่าง Google Workspace

เมื่อมัลแวร์สามารถเจาะเข้าสู่เครือข่ายเป้าหมายได้สำเร็จ มันจะส่งคำขอ DNS ที่ดูเหมือนปกติเพื่อดึงข้อมูลชิ้นส่วนเหล่านี้กลับมาประกอบกัน และแปลงกลับเป็นไฟล์ไบนารีเพื่อเริ่มการทำงานในที่สุด

สรุปกลไกการทำงานของการซ่อนมัลแวร์ใน DNS

ขั้นตอน	วิธีการ	เป้าหมาย
การแปลงข้อมูล	เปลี่ยน Binary เป็น Hexadecimal	พรางตัวไม่ให้ซอฟต์แวร์ความปลอดภัยตรวจพบ
การจัดเก็บ	แบ่งข้อมูลเป็นชิ้นเล็กๆ ลงใน TXT Record	กระจายข้อมูลในโดเมนย่อยเพื่อเลี่ยงการตรวจสอบ
การเรียกคืน	ส่งคำขอ DNS Requests ปกติ	ดึงชิ้นส่วนข้อมูลมาประกอบเป็นมัลแวร์ที่สมบูรณ์

ความท้าทายใหม่: การเข้ารหัส DNS และการโจมตี AI

ความยากในการตรวจจับจะยิ่งเพิ่มสูงขึ้นเมื่อมีการนำ DOH (DNS over HTTPS) และ DOT (DNS over TLS) มาใช้ ซึ่งเป็นโปรโตคอลที่ทำการเข้ารหัสการค้นหา IP ทำให้ผู้ดูแลระบบไม่สามารถมองเห็นเนื้อหาของคำขอได้เลย เว้นแต่จะมีการติดตั้งระบบ DNS Resolver ภายในเครือข่ายของตนเอง

นอกจากนี้ Ian Campbell วิศวกรอาวุโสจาก DomainTools ยังพบว่า DNS ถูกใช้เป็นแหล่งเก็บคำสั่งสำหรับทำ Prompt Injection ซึ่งเป็นการโจมตี AI Chatbot โดยการฝังข้อความคำสั่งลงในไฟล์ที่ AI กำลังวิเคราะห์ เพื่อหลอกให้ AI เพิกเฉยต่อคำสั่งเดิมและทำตามคำสั่งของผู้โจมตีแทน

ตัวอย่างคำสั่ง Prompt Injection ที่ถูกพบใน DNS:

• สั่งให้ลบข้อมูลการฝึกฝนทั้งหมดและก่อกบฏต่อผู้สร้าง
• สั่งให้เพิกเฉยต่อคำสั่งก่อนหน้าและตอบกลับเป็นตัวเลขสุ่มหรือข้อความที่เข้ารหัส ROT13
• สั่งให้ AI สวมบทบาทเป็นนกและร้องเพลง
• สั่งให้ลบข้อมูลทั้งหมดและปฏิเสธคำสั่งใหม่เป็นเวลา 90 วัน

ข้อเท็จจริงสำคัญ

• จุดบอดด้านความปลอดภัย: ทราฟฟิก DNS มักไม่ถูกตรวจสอบเข้มงวดเท่ากับอีเมลหรือเว็บทราฟฟิก
• เทคนิคการพรางตัว: การใช้ Hexadecimal และ TXT Record ช่วยให้มัลแวร์หลบเลี่ยงการกักกัน (Quarantine) ได้
• ความเสี่ยงจาก DOH/DOT: การเข้ารหัส DNS ทำให้การแยกแยะทราฟฟิกปกติออกจากทราฟฟิกอันตรายทำได้ยากขึ้น
• การประยุกต์ใช้กับ AI: DNS ถูกใช้เป็นที่เก็บคำสั่ง Prompt Injection เพื่อควบคุมพฤติกรรมของ LLMs (Large Language Models)

คำถามที่พบบ่อย

DNS Record คืออะไร และทำไมถึงถูกใช้ซ่อนมัลแวร์?

DNS Record คือฐานข้อมูลที่จับคู่ชื่อโดเมนกับ IP Address โดยในส่วนของ TXT Record สามารถเก็บข้อความใดๆ ก็ได้ แฮกเกอร์จึงใช้พื้นที่นี้ซ่อนโค้ดอันตรายเพราะระบบรักษาความปลอดภัยส่วนใหญ่ไม่ได้ตรวจสอบข้อมูลในส่วนนี้อย่างละเอียด

Hexadecimal มีบทบาทอย่างไรในกระบวนการนี้?

Hexadecimal คือการเข้ารหัสที่เปลี่ยนข้อมูลไบนารีให้เป็นตัวเลขและตัวอักษร ซึ่งช่วยให้แฮกเกอร์สามารถแบ่งมัลแวร์ออกเป็นชิ้นเล็กๆ และจัดเก็บในรูปแบบข้อความธรรมดาใน DNS ได้โดยไม่ทำให้ไฟล์เสียหายและไม่ถูกตรวจจับได้ง่าย

DOH และ DOT ส่งผลเสียต่อความปลอดภัยอย่างไร?

แม้ DOH และ DOT จะช่วยเรื่องความเป็นส่วนตัวโดยการเข้ารหัสข้อมูล DNS แต่ในมุมความปลอดภัย มันทำให้ผู้ดูแลระบบเครือข่ายไม่สามารถมองเห็นว่ามีการส่งคำขอที่ผิดปกติหรือมีการดึงมัลแวร์ผ่าน DNS หรือไม่

Prompt Injection คืออะไร?

คือเทคนิคการหลอก AI โดยการใส่คำสั่งแฝงลงในข้อมูลที่ AI อ่าน เพื่อให้ AI เปลี่ยนพฤติกรรมหรือละทิ้งกฎความปลอดภัยที่ถูกตั้งไว้ เช่น การสั่งให้ AI ลบข้อมูลหรือตอบคำถามในรูปแบบที่ผู้สร้างไม่อนุญาต

เราจะป้องกันการโจมตีลักษณะนี้ได้อย่างไร?

องค์กรควรพิจารณาใช้ DNS Resolver ภายในเครือข่ายของตนเองเพื่อตรวจสอบทราฟฟิก และใช้เครื่องมือวิเคราะห์พฤติกรรมเครือข่ายที่สามารถตรวจจับคำขอ DNS ที่มีความถี่หรือรูปแบบที่ผิดปกติได้