Fancy Bear กับเทคนิค Nearest Neighbor Attack การเจาะ Wi-Fi รูปแบบใหม่ที่น่าสะพรึงกลัว
ในโลกของการจารกรรมทางไซเบอร์ การเจาะระบบ Wi-Fi ของเป้าหมายมักทำให้เรานึกถึงภาพแฮกเกอร์ที่นั่งอยู่ในรถพร้อมเสาอากาศขนาดใหญ่จอดอยู่หน้าตึก ซึ่งเป็นวิธีที่ได้ผลแต่มีความเสี่ยงสูง ดังเช่นเหตุการณ์ในปี 2018 ที่สายลับจากหน่วยข่าวกรองทหารรัสเซีย (GRU) ถูกจับกุมคาหนังคาเขาในเนเธอร์แลนด์ ขณะพยายามเจาะระบบขององค์กรห้ามอาวุธเคมี (OPCW)
อย่างไรก็ตาม กลุ่มแฮกเกอร์ระดับรัฐได้พัฒนาวิธีการที่แนบเนียนและปลอดภัยกว่าเดิม โดยไม่ต้องเอาตัวเข้าไปเสี่ยงในพื้นที่จริง ซึ่งทางบริษัทความปลอดภัยไซเบอร์ Volexity ได้เรียกเทคนิคนี้ว่า Nearest Neighbor Attack หรือการโจมตีผ่านเพื่อนบ้านที่ใกล้ที่สุด
กลไกการทำงานของ Nearest Neighbor Attack
แทนที่จะส่งเจ้าหน้าที่ไปจอดรถใกล้เป้าหมาย แฮกเกอร์จะใช้วิธีการ Remote Hacking หรือการควบคุมเครื่องคอมพิวเตอร์จากระยะไกล โดยมองหาเครือข่ายที่เปราะบางในอาคารข้างเคียง เมื่อสามารถยึดเครื่องคอมพิวเตอร์ในตึกข้างๆ ได้แล้ว พวกเขาจะใช้เสาอากาศ Wi-Fi ของเครื่องนั้นเป็นสะพานเชื่อมเพื่อเจาะเข้าสู่เครือข่ายของเป้าหมายที่แท้จริงซึ่งอยู่ฝั่งตรงข้ามถนน
สิ่งที่น่าตกใจยิ่งกว่าคือการทำ Daisy-chaining ซึ่งหมายถึงการเจาะระบบแบบลูกโซ่ โดยแฮกเกอร์อาจเจาะจากเครือข่ายหนึ่งไปยังอีกเครือข่ายหนึ่งต่อเนื่องกันหลายทอด เพื่อให้เข้าถึงเป้าหมายสุดท้ายได้โดยที่ตัวผู้โจมตีอาจนั่งทำงานอยู่ในรัสเซียโดยไม่ต้องเดินทางออกจากประเทศเลยด้วยซ้ำ
ถอดรหัสปฏิบัติการเจาะระบบในวอชิงตัน ดี.ซี.
Steven Adair จาก Volexity เปิดเผยกรณีศึกษาที่เกิดขึ้นในปี 2022 กับลูกค้ารายหนึ่งในวอชิงตัน ดี.ซี. ซึ่งพบว่ามีการบุกรุกระบบอย่างต่อเนื่องและมีการลบร่องรอยอย่างมืออาชีพ ในช่วงแรกทีมวิจัยพยายามค้นหาอุปกรณ์แปลกปลอมภายในอาคาร ทั้งสมาร์ททีวี หรืออุปกรณ์ในห้องเก็บของ แต่กลับไม่พบสิ่งผิดปกติใดๆ
ความลับถูกเปิดเผยเมื่อทีมงานตรวจสอบ Log การจราจรของข้อมูล และพบว่าเครื่องที่ถูกยึดครองมีการระบุชื่อโดเมนขององค์กรที่ตั้งอยู่ฝั่งตรงข้ามถนน เมื่อประสานงานกับเพื่อนบ้านรายนั้น จึงพบว่ามีแล็ปท็อปเครื่องหนึ่งถูกแฮกและถูกสั่งให้เปิด Wi-Fi เพื่อทำหน้าที่เป็นตัวส่งสัญญาณ (Relay) เข้าสู่เครือข่ายของเป้าหมาย โดยใช้ข้อมูลประจำตัว (Credentials) ที่ขโมยมาได้จากอินเทอร์เน็ต
จากการวิเคราะห์เชิงลึก พบว่าแฮกเกอร์อาจเจาะผ่าน VPN ขององค์กรเพื่อนบ้าน หรืออาจใช้การ Daisy-chaining ผ่านเครือข่ายอื่นในตึกเดียวกันก่อนจะมาถึงเครื่องแล็ปท็อปเครื่องนี้ ซึ่งแสดงให้เห็นถึงความพยายามและความอดทนอย่างสูงในการเข้าถึงข้อมูล
ใครคือผู้อยู่เบื้องหลัง?
หลักฐานทั้งหมดชี้ไปที่กลุ่ม Fancy Bear (หรือที่รู้จักในชื่อ APT28, Unit 26165 หรือ Forest Blizzard) ซึ่งเป็นหน่วยปฏิบัติการภายใต้ GRU ของรัสเซีย โดยพบว่าเทคนิคการยกระดับสิทธิ์ผู้ดูแลระบบผ่านช่องโหว่ Windows Print Spooler ที่ใช้ในเคสนี้ ตรงกับรูปแบบการโจมตีของ APT28 แบบหนึ่งต่อหนึ่ง
เป้าหมายของการโจมตีในครั้งนี้คาดว่าเป็นการจารกรรมข้อมูลเกี่ยวกับประเทศยูเครน เนื่องจากช่วงเวลาที่เกิดเหตุสอดคล้องกับช่วงก่อนและหลังการรุกรานยูเครนเต็มรูปแบบในเดือนกุมภาพันธ์ 2022
| หัวข้อ | รายละเอียด |
|---|---|
| กลุ่มผู้โจมตี | Fancy Bear (APT28 / GRU รัสเซีย) |
| เทคนิคหลัก | Nearest Neighbor Attack & Daisy-chaining |
| วิธีการ | ยึดเครื่องในตึกข้างเคียง $ ightarrow$ ใช้ Wi-Fi เป็นสะพาน $ ightarrow$ เจาะเป้าหมาย |
| เป้าหมาย | ข้อมูลข่าวกรองเกี่ยวกับยูเครน |
| จุดเด่น | ไม่ต้องเข้าใกล้พื้นที่เป้าหมายทางกายภาพ ลดความเสี่ยงถูกจับกุม |
ข้อเท็จจริงสำคัญ
- Nearest Neighbor Attack คือการใช้เครื่องคอมพิวเตอร์ในบริเวณใกล้เคียงเป็นทางผ่านเพื่อเจาะ Wi-Fi เป้าหมาย
- Daisy-chaining คือการเจาะระบบต่อกันเป็นทอดๆ เพื่อขยายระยะการโจมตี
- APT28 พัฒนาวิธีนี้เพื่อเลี่ยงความผิดพลาดแบบปี 2018 ที่สายลับถูกจับในเนเธอร์แลนด์
- การโจมตีนี้ใช้ Credentials ที่หลุดในเน็ต และอาศัยช่องโหว่ของระบบปฏิบัติการเพื่อยึดเครื่อง
คำถามที่พบบ่อย
Nearest Neighbor Attack ต่างจากการแฮก Wi-Fi ทั่วไปอย่างไร?
การแฮกทั่วไปแฮกเกอร์ต้องอยู่ในระยะส่งสัญญาณของ Wi-Fi เป้าหมาย แต่เทคนิคนี้แฮกเกอร์จะควบคุมเครื่องอื่นที่อยู่ในระยะนั้นแทน ทำให้ตัวผู้โจมตีสามารถอยู่ที่ไหนก็ได้ในโลก
ทำไมกลุ่ม APT28 ถึงเปลี่ยนมาใช้วิธีนี้?
เพื่อเพิ่มความปลอดภัยในการปฏิบัติงาน (Operational Security) หลังจากที่เคยมีสมาชิกถูกจับกุมขณะปฏิบัติการภาคสนาม ทำให้การโจมตีระยะไกลผ่านเครื่องตัวแทนมีความเสี่ยงน้อยกว่า
องค์กรสามารถป้องกันการโจมตีรูปแบบนี้ได้อย่างไร?
ผู้เชี่ยวชาญแนะนำให้จำกัดระยะการส่งสัญญาณ Wi-Fi ให้ครอบคลุมเฉพาะพื้นที่จำเป็น, เปลี่ยนชื่อเครือข่าย (SSID) ไม่ให้ระบุตัวตนชัดเจน และใช้ระบบการยืนยันตัวตนที่เข้มงวด เช่น Multi-factor Authentication (MFA)
การทำ Daisy-chaining ในทางไซเบอร์คืออะไร?
คือกระบวนการที่ผู้โจมตีเจาะเข้าสู่เครือข่าย A แล้วใช้เครื่องในเครือข่าย A เป็นฐานเพื่อเจาะเข้าสู่เครือข่าย B และใช้ B เจาะเข้าสู่ C ต่อไปเรื่อยๆ จนถึงเป้าหมายสุดท้าย
