Lumma Malware ถูกกวาดล้างครั้งใหญ่โดยความร่วมมือของหน่วยงานความมั่นคงระดับโลก
ปฏิบัติการร่วมระหว่างหน่วยงานบังคับใช้กฎหมายระดับสากลและบริษัทเทคโนโลยีชั้นนำ ประสบความสำเร็จในการทลายเครือข่ายของ Lumma หรือที่รู้จักในชื่อ LummaC2 ซึ่งเป็นมัลแวร์ประเภท Infostealer (มัลแวร์ที่ออกแบบมาเพื่อขโมยข้อมูลส่วนบุคคล) ที่ทรงอิทธิพลที่สุดตัวหนึ่งของโลก โดยมัลแวร์ตัวนี้ถูกนำไปใช้โดยกลุ่มอาชญากรไซเบอร์จำนวนมากเพื่อโจรกรรมข้อมูลสำคัญ เช่น รหัสผ่าน, ข้อมูลบัตรเครดิต, บัญชีธนาคาร และกระเป๋าเงินคริปโตเคอร์เรนซี
ข้อมูลจากเจ้าหน้าที่ระบุว่า Lumma ถูกพัฒนาขึ้นในประเทศรัสเซีย และกลายเป็นเครื่องมือหลักที่อาชญากรใช้ในการดูดเงินจากบัญชีธนาคาร รบกวนการทำงานของระบบบริการต่างๆ รวมถึงการโจมตีเพื่อเรียกค่าไถ่ข้อมูลจากสถาบันการศึกษา
ยุทธการทลายโครงสร้างพื้นฐานระดับโลก
ความสำเร็จในครั้งนี้เกิดจากการประสานงานอย่างใกล้ชิด โดยหน่วยงาน Digital Crimes Unit (DCU) ของ Microsoft ได้รับคำสั่งศาลในสหรัฐอเมริกาให้เข้ายึดและปิดโดเมนที่เกี่ยวข้องกับโครงสร้างพื้นฐานของ Lumma ประมาณ 2,300 โดเมน ขณะเดียวกัน กระทรวงยุติธรรมสหรัฐฯ ได้เข้ายึดระบบ Command-and-Control (C2) ซึ่งเป็นเซิร์ฟเวอร์ที่ใช้สั่งการมัลแวร์ พร้อมทั้งทลายตลาดมืดที่จำหน่ายซอฟต์แวร์อันตรายนี้
นอกจากนี้ ยังได้รับความร่วมมือจากศูนย์ปราบปรามอาชญากรรมไซเบอร์ของญี่ปุ่น และศูนย์อาชญากรรมไซเบอร์แห่งยุโรป (Europol) ในการกวาดล้างโครงสร้างพื้นฐานในระดับภูมิภาค เพื่อให้มั่นใจว่าผู้พัฒนาจะไม่สามารถสร้างระบบคู่ขนานหรือย้ายผู้ให้บริการเพื่อกลับมาดำเนินงานได้อีก
กลไกการทำงานและการแพร่ระบาดของ Lumma
เหตุผลที่ Lumma แพร่กระจายได้อย่างรวดเร็ว เนื่องจากเป็นเครื่องมือที่ใช้งานง่าย ตรวจจับได้ยาก และสามารถปรับแต่งให้หลบเลี่ยงระบบป้องกันความปลอดภัยได้ โดยกลุ่มแฮกเกอร์ชื่อดังอย่าง Scattered Spider ก็นิยมใช้เครื่องมือนี้ในการโจมตี
วิธีการหลักที่คนร้ายใช้คือ Phishing (การหลอกลวงผ่านอีเมลหรือข้อความ) โดยการปลอมตัวเป็นบริษัทหรือบริการที่น่าเชื่อถือ เช่น Microsoft เพื่อหลอกให้เหยื่อติดตั้งมัลแวร์ นอกจากนี้ยังมีการแฝงตัวมากับเว็บไซต์สร้างวิดีโอ AI ปลอม, เว็บไซต์สร้าง Deepfake และหน้ายืนยันตัวตน (Captcha) ปลอม
สถิติที่น่าตกใจระบุว่า ระหว่างวันที่ 16 มีนาคม ถึง 16 พฤษภาคม ของปีนี้ มีคอมพิวเตอร์ระบบ Windows มากกว่า 394,000 เครื่องที่ติดเชื้อ Lumma และมีการพูดถึงมัลแวร์ตัวนี้ในฟอรัมอาชญากรรมไซเบอร์มากกว่า 21,000 รายการในช่วงต้นปี 2024
วิวัฒนาการจากเครื่องมือขโมยข้อมูลสู่ประตูสู่การโจมตีขั้นสูง
ในปัจจุบัน Infostealer ไม่ได้ทำหน้าที่เพียงแค่ขโมยข้อมูลแล้วจบไป แต่ถูกใช้เป็น "ด่านแรก" ในการเจาะระบบ โดยการเก็บรวบรวม Token การเข้าถึงและรหัสผ่าน เพื่อนำไปใช้ในการโจมตีที่รุนแรงขึ้น เช่น การจารกรรมข้อมูล หรือการติดตั้ง Ransomware (มัลแวร์เรียกค่าไถ่) ในองค์กรขนาดใหญ่
นอกจากนี้ ผู้พัฒนา Lumma ที่ใช้นามแฝงว่า "Shamel" จากรัสเซีย ยังได้พยายามนำ AI เข้ามาบูรณาการในระบบตั้งแต่ปี 2023 เพื่อช่วยคัดกรองข้อมูลมหาศาลที่ขโมยมาได้ โดยให้ AI แยกแยะบัญชีที่มีค่าออกจากบัญชีบอทโดยอัตโนมัติ เพื่อเพิ่มประสิทธิภาพในการนำข้อมูลไปขายต่อในตลาดมืด
| หัวข้อ | รายละเอียด |
|---|---|
| ประเภทมัลแวร์ | Infostealer (ขโมยข้อมูล) |
| แหล่งกำเนิด | รัสเซีย (ผู้พัฒนาใช้นามแฝงว่า Shamel) |
| เป้าหมายหลัก | รหัสผ่าน, ข้อมูลธนาคาร, Wallet คริปโตเคอร์เรนซี |
| ช่องทางแพร่ระบาด | Phishing, เว็บ AI ปลอม, Captcha ปลอม, ซอฟต์แวร์เถื่อน |
| จำนวนผู้ติดเชื้อ | กว่า 394,000 เครื่อง (ในช่วง มี.ค. - พ.ค. ปีนี้) |
ข้อเท็จจริงสำคัญ
- การกวาดล้าง: มีการปิดโดเมนกว่า 2,300 แห่ง และยึดเซิร์ฟเวอร์สั่งการ (C2) โดยความร่วมมือของ Microsoft, FBI, CISA และหน่วยงานสากล
- ความอันตราย: ถูกใช้เป็นจุดเริ่มต้นในการโจมตีบริษัทระดับพันล้านและสถาบันการศึกษา เช่น กรณีการเจาะข้อมูล PowerSchool ที่มีข้อมูลรั่วไหลกว่า 70 ล้านรายการ
- การปรับตัว: มีการใช้ AI เพื่อคัดกรองข้อมูลที่ขโมยมาได้ให้มีความแม่นยำและมีมูลค่าสูงขึ้น
- แนวโน้ม: แม้จะมีการทลายเครือข่ายบ่อยครั้ง (เช่น กรณี RedLine และ MetaStealer) แต่ Infostealer ยังคงเป็นเครื่องมือยอดนิยมและมีแนวโน้มจะคงอยู่ต่อไป
คำถามที่พบบ่อย
Lumma Malware คืออะไรและทำงานอย่างไร?
Lumma คือมัลแวร์ประเภท Infostealer ที่เน้นขโมยข้อมูลส่วนตัวจากเครื่องคอมพิวเตอร์ โดยจะแฝงตัวเข้ามาผ่านการหลอกลวง (Phishing) หรือซอฟต์แวร์ปลอม เมื่อเข้าสู่เครื่องได้จะทำการดูดรหัสผ่านและข้อมูลทางการเงินส่งกลับไปยังผู้ควบคุม
ฉันจะรู้ได้อย่างไรว่าตกเป็นเหยื่อของมัลแวร์ตัวนี้?
มักเกิดจากการเผลอดาวน์โหลดโปรแกรมจากแหล่งที่ไม่น่าเชื่อถือ หรือกรอกข้อมูลในหน้าเว็บปลอม หากพบว่าบัญชีออนไลน์ถูกเข้าถึงโดยไม่ได้รับอนุญาต หรือมีการทำธุรกรรมการเงินที่ผิดปกติ ควรเร่งตรวจสอบและเปลี่ยนรหัสผ่านทันที
ทำไมการทลายเครือข่ายถึงทำได้ยาก?
เพราะอาชญากรสามารถเปลี่ยนชื่อโดเมนหรือย้ายเซิร์ฟเวอร์ไปใช้ผู้ให้บริการรายใหม่ได้อย่างรวดเร็ว จึงต้องอาศัยความร่วมมือจากหลายบริษัทเทคโนโลยี เช่น Cloudflare และ Microsoft เพื่อปิดกั้นในหลายระดับพร้อมกัน
AI เข้ามาเกี่ยวข้องกับมัลแวร์นี้ได้อย่างไร?
ผู้พัฒนาใช้ AI ในการจัดการข้อมูลดิบจำนวนมหาศาลที่ขโมยมาได้ เพื่อแยกแยะว่าบัญชีใดเป็นบัญชีจริงที่มีมูลค่า และบัญชีใดเป็นเพียงบอท ทำให้การนำข้อมูลไปขายต่อหรือใช้โจมตีทำได้รวดเร็วขึ้น
การปิดโดเมน 2,300 แห่งหมายความว่ามัลแวร์นี้หายไปแล้วใช่หรือไม่?
เป็นการตัดวงจรการสั่งการและแพร่กระจายครั้งใหญ่ แต่ไม่ได้หมายความว่ามัลแวร์จะหายไปถาวร เนื่องจากอาชญากรไซเบอร์มักพัฒนาเวอร์ชันใหม่ๆ หรือสร้างโครงสร้างพื้นฐานใหม่ขึ้นมาทดแทนเสมอ
