Honeypot ดักแฮกเกอร์: เผยพฤติกรรมอาชญากรไซเบอร์ผ่านกับดัก RDP

ในโลกของความปลอดภัยไซเบอร์ การป้องกันที่ดีที่สุดบางครั้งคือการล่อให้ศัตรูเผยตัวตน ทีมวิจัยจาก GoSecure บริษัทด้านความปลอดภัยไซเบอร์ ได้สร้างระบบจำลองที่เรียกว่า Honeypot (ระบบล่อเป้า) ซึ่งเป็นเครื่องคอมพิวเตอร์เสมือนที่ตั้งอยู่ในสหรัฐอเมริกา โดยจงใจตั้งรหัสผ่านที่คาดเดาได้ง่ายเพื่อดึงดูดให้เหล่าอาชญากรไซเบอร์หลงเชื่อว่านี่คือเป้าหมายที่อ่อนแอ

ตลอดระยะเวลา 3 ปีที่ผ่านมา กับดักนี้ได้กลายเป็น "กล้องวงจรปิด" ชั้นดีที่บันทึกทุกความเคลื่อนไหวของแฮกเกอร์กว่า 2,000 ราย ไม่ว่าจะเป็นการคลิกเมาส์ การพิมพ์คีย์บอร์ด หรือแม้แต่ข้อมูลที่ถูกคัดลอกลงในคลิปบอร์ดของเครื่องผู้โจมตีเอง ทำให้เหล่านักวิจัยสามารถวิเคราะห์พฤติกรรมเชิงลึกของอาชญากรเหล่านี้ได้อย่างที่ไม่เคยมีมาก่อน

เจาะลึกกลไกการล่อเป้าด้วย RDP

เครื่องมือหลักที่ใช้ในปฏิบัติการนี้คือ Remote Desktop Protocol (RDP) ซึ่งเป็นโปรโตคอลที่อนุญาตให้ผู้ใช้ล็อกอินเข้าควบคุมคอมพิวเตอร์จากระยะไกลและเห็นหน้าจอเหมือนนั่งอยู่หน้าเครื่องจริง โดยปกติแล้วฝ่าย IT ขององค์กรจะใช้ RDP ในการดูแลระบบหรือติดตั้งซอฟต์แวร์ แต่หากตั้งค่าไม่รัดกุมหรือใช้รหัสผ่านที่อ่อนแอ RDP จะกลายเป็นประตูบานใหญ่ที่เปิดรับแฮกเกอร์

นักวิจัยได้ใช้เครื่องมือที่พัฒนาขึ้นเองชื่อว่า PyRDP เพื่อดักจับการเชื่อมต่อและบันทึกวิดีโอการทำงานของแฮกเกอร์ โดยแยกเครื่อง Honeypot นี้ออกจากระบบหลักของ GoSecure อย่างเด็ดขาด เพื่อให้มั่นใจว่าข้อมูลสำคัญของบริษัทจะไม่ได้รับความเสี่ยง

One red marble inside of a maze one green marble outside of the maze

การแบ่งประเภทแฮกเกอร์ตามพฤติกรรม

จากการวิเคราะห์วิดีโอกว่า 100 ชั่วโมง Andréanne Bergeron และ Olivier Bilodeau ได้แบ่งกลุ่มผู้โจมตีออกเป็น 5 ประเภท โดยใช้ชื่อเรียกตามตัวละครในเกม Dungeons and Dragons เพื่อให้เห็นภาพลักษณ์ของพฤติกรรมที่แตกต่างกัน ดังนี้:

  • Rangers (พราน): เน้นการสำรวจระบบ (Reconnaissance) เช่น การลบโปรแกรมแอนตี้ไวรัสของ Windows และค้นหาโฟลเดอร์ต่างๆ เพื่อประเมินความพร้อมของระบบก่อนส่งต่อให้ผู้อื่น
  • Barbarians (คนเถื่อน): ใช้เครื่องมือโจมตีอย่างดุดัน เช่น Masscan และ NLBrute เพื่อสุ่มรหัสผ่าน (Brute-force) เข้าสู่คอมพิวเตอร์เครื่องอื่นๆ ในเครือข่าย
  • Wizards (พ่อมด): ใช้เครื่อง RDP ที่ยึดได้เป็น "ทางผ่าน" (Portal) เพื่อพรางตัวและโจมตี RDP เครื่องอื่นๆ ต่อไปเป็นทอดๆ
  • Thieves (หัวขโมย): มุ่งเน้นการสร้างรายได้โดยตรง เช่น การติดตั้งซอฟต์แวร์ขุดเหรียญคริปโต (Crypto miners) หรือใช้เว็บไซต์สร้างรายได้จากทราฟฟิก
  • Bards (กวี): กลุ่มที่ไร้ทิศทางที่สุด บางคนอาจซื้อสิทธิ์การเข้าถึงมาเพื่อลองผิดลองถูก เช่น ค้นหาวิดีโอไม่เหมาะสม หรือพยายามเข้าถึง Google Ads

ข้อเท็จจริงสำคัญ

  • จำนวนการโจมตี: มีความพยายามล็อกอินสูงถึง 21 ล้านครั้ง โดยประสบความสำเร็จกว่า 2,600 ครั้งผ่านวิธี Brute-force
  • ความเร็วในการถูกตรวจพบ: จากการทดสอบของ Mark Stockley พบว่า RDP ที่เปิดออนไลน์อาจถูกโจมตีภายในเวลาเพียง 1 นาที 24 วินาที
  • จุดอ่อนของแฮกเกอร์: อาชญากรหลายรายเผลอใช้ข้อมูลส่วนตัว เช่น ชื่อจริงในรหัสผ่าน หรือล็อกอินเข้า Telegram และอีเมลส่วนตัวในเครื่องที่ถูกดักจับ
  • วิธีการทำงาน: แฮกเกอร์ส่วนใหญ่ยังคงใช้วิธีการคลิกสำรวจด้วยมือ (Manual) มากกว่าการใช้ระบบอัตโนมัติ
สรุปสถิติและข้อมูลจากการวิเคราะห์ Honeypot ของ GoSecure
หัวข้อ รายละเอียด/จำนวน
ระยะเวลาการเก็บข้อมูล 3 ปี
ความพยายามล็อกอินทั้งหมด 21 ล้านครั้ง
การล็อกอินที่สำเร็จ มากกว่า 2,600 ครั้ง
จำนวนวิดีโอที่นำมาวิเคราะห์ได้ 339 คลิป
จำนวนไฟล์ที่แฮกเกอร์อัปโหลด 470 ไฟล์

บทสรุปและแนวทางการป้องกัน

งานวิจัยนี้ชี้ให้เห็นว่า RDP ที่ขาดการป้องกันเป็นเป้าหมายที่หอมหวานสำหรับอาชญากรไซเบอร์ โดยเฉพาะกลุ่ม Ransomware ที่ใช้ RDP เป็นจุดเริ่มต้นในการเข้ายึดครองเครือข่ายองค์กร การสร้าง Honeypot ไม่เพียงแต่ช่วยให้เราเข้าใจพฤติกรรมของศัตรู แต่ยังเป็นเครื่องมือสำคัญในการโน้มน้าวให้ผู้บริหารตระหนักถึงความจำเป็นในการลงทุนด้านความปลอดภัยไซเบอร์

คำถามที่พบบ่อย

Honeypot คืออะไรและทำงานอย่างไร?

Honeypot คือระบบคอมพิวเตอร์ที่ถูกสร้างขึ้นมาให้ดูเหมือนมีช่องโหว่เพื่อล่อให้แฮกเกอร์เข้ามาโจมตี โดยที่นักวิจัยจะเฝ้าสังเกตพฤติกรรมและเก็บข้อมูลการโจมตีโดยไม่ให้แฮกเกอร์รู้ตัว เพื่อนำข้อมูลมาใช้พัฒนาระบบป้องกันในอนาคต

ทำไม RDP ถึงเป็นเป้าหมายหลักของแฮกเกอร์?

เพราะ RDP ช่วยให้แฮกเกอร์สามารถควบคุมเครื่องคอมพิวเตอร์ได้เสมือนนั่งอยู่หน้าจอจริง หากแฮกเกอร์ได้สิทธิ์ระดับผู้ดูแลระบบ (Administrator) จะสามารถติดตั้งมัลแวร์หรือ Ransomware และกระจายการโจมตีไปยังเครื่องอื่นๆ ในเครือข่ายได้โดยง่าย

การโจมตีแบบ Brute-force คืออะไร?

คือวิธีการเดารหัสผ่านโดยการใช้ซอฟต์แวร์สุ่มรหัสผ่านนับล้านรูปแบบอย่างรวดเร็ว จนกว่าจะเจอชุดรหัสที่ถูกต้อง ซึ่งจะได้ผลดีมากกับระบบที่ตั้งรหัสผ่านง่ายหรือไม่มีระบบป้องกันการล็อกอินผิดพลาดหลายครั้ง

เราสามารถป้องกันการโจมตีผ่าน RDP ได้อย่างไร?

ควรหลีกเลี่ยงการเปิด RDP สู่สาธารณะโดยตรง ใช้รหัสผ่านที่ซับซ้อน เปลี่ยนพอร์ตมาตรฐาน และที่สำคัญที่สุดคือการใช้การยืนยันตัวตนหลายปัจจัย (Multi-Factor Authentication หรือ MFA) เพื่อเพิ่มความปลอดภัยอีกชั้น

ข้อมูลที่ได้จาก Honeypot นำไปใช้ประโยชน์ได้อย่างไร?

ข้อมูลเหล่านี้ช่วยให้เห็นเครื่องมือที่แฮกเกอร์ใช้ (Tooling) และเทคนิคการโจมตีล่าสุด นอกจากนี้ ข้อมูลส่วนตัวที่แฮกเกอร์เผลอทิ้งไว้ เช่น เบอร์โทรศัพท์จาก Telegram สามารถส่งต่อให้หน่วยงานบังคับใช้กฎหมายเพื่อระบุตัวตนผู้กระทำผิดได้