LockBit แก๊งแรนซัมแวร์ระดับโลกที่บริหารอาชญากรรมเหมือนบริษัทธุรกิจ
ในโลกของอาชญากรรมไซเบอร์ปัจจุบัน การโจมตีด้วย Ransomware หรือ มัลแวร์เรียกค่าไถ่ (ซอฟต์แวร์ที่ล็อกข้อมูลเพื่อให้เจ้าของจ่ายเงินแลกกับการปลดล็อก) กลายเป็นเรื่องที่เกิดขึ้นแทบทุกเดือน แต่มีกลุ่มหนึ่งที่โดดเด่นขึ้นมาตั้งแต่ปลายปี 2019 ด้วยวิธีการทำงานที่แตกต่าง นั่นคือกลุ่ม LockBit ซึ่งไม่ได้ใช้เพียงความรุนแรง แต่ใช้ "ความเป็นมืออาชีพ" และ "การบริหารจัดการแบบธุรกิจ" ในการขยายอาณาจักรการโจมตีไปทั่วโลก
โมเดลธุรกิจแบบ Ransomware-as-a-Service (RaaS)
หัวใจสำคัญที่ทำให้ LockBit ประสบความสำเร็จอย่างรวดเร็วคือการใช้โมเดล Ransomware-as-a-Service (RaaS) ซึ่งเป็นการแบ่งหน้าที่กันอย่างชัดเจน โดยทีมหลักจะทำหน้าที่พัฒนาตัวมัลแวร์และดูแลระบบเว็บไซต์ จากนั้นจะให้สิทธิ์ "พันธมิตร" (Affiliates) นำโค้ดนี้ไปใช้โจมตีเป้าหมาย
สิ่งที่ทำให้ LockBit แตกต่างจากกลุ่มอื่นคือโครงสร้างการเงิน โดยปกติกลุ่ม RaaS จะแบ่งเปอร์เซ็นต์กำไรให้ทีมพัฒนา แต่ LockBit กลับให้พันธมิตรเก็บเงินค่าไถ่จากเหยื่อได้โดยตรง แล้วจึงจ่ายค่าธรรมเนียมการใช้งานกลับมาให้ทีมหลักแทน วิธีนี้ช่วยดึงดูดอาชญากรหน้าใหม่ให้เข้ามาร่วมทีมได้ง่ายขึ้น เพราะมีความเสี่ยงต่ำและผลตอบแทนสูง
วิวัฒนาการของมัลแวร์และการโจมตี
LockBit ไม่เคยหยุดพัฒนาซอฟต์แวร์ของตนเอง โดยมีการออกเวอร์ชันหลักๆ คือ LockBit 2.0 (LockBit Red) ในปี 2021 และ LockBit 3.0 (LockBit Black) ในปี 2022 ซึ่งเวอร์ชันหลังนี้ได้เปิดรับพันธมิตรในวงกว้างขึ้น ทำให้การติดตามจำนวนผู้ร่วมขบวนการทำได้ยากขึ้น
จุดเด่นของมัลแวร์ตัวนี้คือ ความง่ายในการใช้งาน (Point-and-click) และความสามารถในการเจาะระบบที่หลากหลาย ไม่ว่าจะเป็น Windows, Linux หรือ Virtual Host นอกจากนี้ยังมีการใช้ช่องโหว่ Zero-day (ช่องโหว่ของซอฟต์แวร์ที่ผู้พัฒนายังไม่ทราบและยังไม่มีแพตช์แก้ไข) เช่น การโจมตีเซิร์ฟเวอร์ Microsoft Exchange เพื่อเข้าถึงข้อมูล
| หัวข้อ | รายละเอียด |
|---|---|
| รูปแบบการดำเนินงาน | Ransomware-as-a-Service (RaaS) |
| เวอร์ชันของมัลแวร์ | LockBit 2.0 (Red) และ LockBit 3.0 (Black) |
| เป้าหมายหลัก | องค์กรทั่วโลก, ระบบอุตสาหกรรม, โครงสร้างพื้นฐาน |
| มูลค่าความเสียหาย | เรียกค่าไถ่รวมกว่า 100 ล้านดอลลาร์สหรัฐ |
| จุดเด่นทางเทคนิค | ใช้งานง่าย, รองรับหลาย OS, ใช้ช่องโหว่ Zero-day |
ผลกระทบต่อองค์กรระดับโลก
ความโหดเหี้ยมของ LockBit เห็นได้ชัดจากการโจมตีหน่วยงานสำคัญ เช่น Royal Mail ของสหราชอาณาจักร ซึ่งทำให้การขนส่งพัสดุระหว่างประเทศหยุดชะงักนานกว่าหนึ่งสัปดาห์ หรือการโจมตีโรงพยาบาลเด็ก SickKids ในแคนาดาที่ส่งผลกระทบต่อระบบโทรศัพท์และการตรวจทางห้องปฏิบัติการ
นอกจากนี้ LockBit ยังมุ่งเป้าไปที่ระบบควบคุมทางอุตสาหกรรม โดยข้อมูลจาก Dragos ระบุว่าในช่วงไตรมาส 2 และ 3 ของปี 2022 มัลแวร์ของ LockBit ถูกใช้ในการโจมตีองค์กรอุตสาหกรรมถึง 33% และโครงสร้างพื้นฐานถึง 35%
ข้อเท็จจริงสำคัญ
- การบริหารแบบบริษัท: ให้ความสำคัญกับ User Experience ของผู้ใช้มัลแวร์ และมีการรับฟัง Feedback เพื่อปรับปรุงซอฟต์แวร์
- กลยุทธ์กดดันเหยื่อ: มีตัวเลือกการจ่ายเงินที่หลากหลาย เช่น จ่ายเพื่อลบข้อมูล หรือจ่ายเพื่อขยายเวลาเส้นตาย
- การตลาดที่แปลกประหลาด: เคยจัดประกวดเขียนเรียงความ และจ่ายเงิน 1,000 ดอลลาร์ให้คนที่ยอมสักโลโก้กลุ่มบนร่างกาย
- การล่ารางวัล: มีโครงการ Bug Bounty จ่ายเงินให้ผู้ที่ค้นพบจุดบกพร่องในระบบของกลุ่มเอง
จุดเริ่มต้นของจุดจบ?
แม้จะดูแข็งแกร่ง แต่ LockBit กำลังเผชิญกับแรงกดดันมหาศาล ทั้งจากการที่นักพัฒนาภายในกลุ่มนำโค้ดเวอร์ชัน 3.0 มาปล่อยรั่วไหล และการประสานงานของหน่วยงานบังคับใช้กฎหมาย เช่น FBI และตำรวจญี่ปุ่นที่สามารถถอดรหัสข้อมูลได้บางส่วน
การเปลี่ยนกลยุทธ์จากการซุ่มโจมตีมาเป็นการโจมตีเป้าหมายที่โดดเด่น (High-profile) ทำให้กลุ่มนี้ตกเป็นเป้าสายตาของรัฐบาลทั่วโลก ซึ่งอาจนำไปสู่การล่มสลายเช่นเดียวกับกลุ่มแรนซัมแวร์อื่นๆ ในอดีตอย่าง Conti หรือ REvil
คำถามที่พบบ่อย
LockBit แตกต่างจากกลุ่มแรนซัมแวร์อื่นอย่างไร?
LockBit เน้นการบริหารจัดการแบบธุรกิจ มีการพัฒนาซอฟต์แวร์ให้ใช้งานง่ายสำหรับอาชญากรทั่วไป และมีระบบการจัดการพันธมิตรที่ชัดเจนและมีประสิทธิภาพมากกว่ากลุ่มอื่น
Ransomware-as-a-Service (RaaS) คืออะไร?
คือโมเดลที่ทีมพัฒนาสร้างมัลแวร์ขึ้นมา แล้วให้ผู้อื่น (พันธมิตร) เช่าหรือนำไปใช้โจมตี โดยมีการแบ่งผลประโยชน์กันระหว่างผู้พัฒนาและผู้ลงมือโจมตี
กลุ่ม LockBit มีฐานปฏิบัติการอยู่ที่ไหน?
แม้ผู้นำกลุ่มจะอ้างว่าอยู่ในเนเธอร์แลนด์ จีน หรือสหรัฐอเมริกา แต่ผู้เชี่ยวชาญด้านความปลอดภัยเชื่อว่าสมาชิกส่วนใหญ่พูดภาษารัสเซียและมีฐานปฏิบัติการอยู่ในรัสเซีย
เหยื่อควรทำอย่างไรเมื่อถูกโจมตีโดย LockBit?
ควรติดต่อผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์และหน่วยงานบังคับใช้กฎหมายทันที หลีกเลี่ยงการจ่ายเงินค่าไถ่หากไม่จำเป็น เนื่องจากไม่มีการรับประกันว่าจะได้รับข้อมูลคืน และเป็นการสนับสนุนอาชญากร
Zero-day vulnerability ที่ LockBit ใช้คืออะไร?
คือช่องโหว่ของระบบที่ยังไม่ถูกค้นพบโดยผู้ผลิตซอฟต์แวร์ ทำให้ไม่มีวิธีป้องกันหรือแพตช์แก้ไขในขณะนั้น ซึ่ง LockBit นำมาใช้เพื่อเจาะเข้าสู่ระบบของเหยื่อได้อย่างรวดเร็ว
