Sandworm และ BadPilot ภัยคุกคามไซเบอร์จากรัสเซียที่ขยายเป้าหมายสู่ชาติตะวันตก
ในโลกของการสงครามไซเบอร์ ชื่อของ Sandworm (หรือที่ Microsoft เรียกว่า Seashell Blizzard) เป็นที่รู้จักในฐานะหน่วยปฏิบัติการที่ดุร้ายที่สุดของเครมลิน โดยมีเป้าหมายหลักในการสร้างความปั่นป่วนให้กับยูเครนมาตลอดทศวรรษที่ผ่านมา อย่างไรก็ตาม ข้อมูลล่าสุดจาก Microsoft บ่งชี้ว่ากลุ่มแฮกเกอร์นี้ได้ปรับเปลี่ยนกลยุทธ์ โดยเริ่มขยายการโจมตีแบบไม่เลือกหน้าไปยังเครือข่ายทั่วโลก และมุ่งเน้นเป็นพิเศษไปยังกลุ่มประเทศที่ใช้ภาษาอังกฤษในซีกโลกตะวันตก
ทำความรู้จัก BadPilot: หน่วยทะลวงด่านหน้าของ Sandworm
Microsoft ได้เปิดเผยข้อมูลเกี่ยวกับกลุ่มย่อยภายใน Sandworm ที่ชื่อว่า BadPilot ซึ่งทำหน้าที่เป็น "หน่วยปฏิบัติการเข้าถึงขั้นต้น" (Initial Access Operation) หรือเปรียบเสมือนหน่วยกล้าตายที่ทำหน้าที่เจาะระบบเพื่อสร้างทางเข้าในเครือข่ายของเหยื่อ เมื่อ BadPilot สามารถยึดพื้นที่ในระบบได้แล้ว จะส่งต่อสิทธิ์การเข้าถึงนั้นให้กับแฮกเกอร์คนอื่นๆ ในองค์กร Sandworm เพื่อดำเนินการขั้นต่อไป ไม่ว่าจะเป็นการขโมยข้อมูลความลับหรือการปล่อยการโจมตีทางไซเบอร์ที่รุนแรง
จากการวิเคราะห์พบว่า BadPilot ใช้วิธีการ "หว่านแห" โดยพยายามเจาะระบบจำนวนมหาศาลเพื่อดูว่าระบบใดมีช่องโหว่ จากนั้นจึงเลือกเป้าหมายที่น่าสนใจเพื่อดำเนินการเจาะลึก โดยมีวิวัฒนาการของเป้าหมายดังนี้:
- ปี 2022: มุ่งเน้นโจมตีภายในยูเครนเป็นหลัก
- ปี 2023: ขยายขอบเขตการโจมตีไปยังเครือข่ายทั่วโลก
- ปี 2024: เจาะจงเป้าหมายในสหรัฐอเมริกา สหราชอาณาจักร แคนาดา และออสเตรเลีย
Sherrod DeGrippo ผู้อำนวยการฝ่ายกลยุทธ์ข่าวกรองด้านภัยคุกคามของ Microsoft ระบุว่า การเปลี่ยนเป้าหมายมายังประเทศตะวันตกในครั้งนี้ น่าจะมีแรงจูงใจมาจากปัจจัยทางการเมือง โดยเฉพาะการเลือกตั้งระดับโลกที่กำลังเกิดขึ้น ซึ่งส่งผลให้กลุ่มแฮกเกอร์ต้องปรับเปลี่ยนยุทธวิธีเพื่อให้สอดคล้องกับสถานการณ์โลก
เทคนิคการโจมตีและช่องโหว่ที่ถูกนำมาใช้
BadPilot อาศัย ช่องโหว่ที่ยังไม่ได้รับการแก้ไข (Unpatched Vulnerabilities) ในซอฟต์แวร์ที่เชื่อมต่อกับอินเทอร์เน็ต โดยเฉพาะในโปรแกรม Microsoft Exchange, Outlook รวมถึงแอปพลิเคชันอย่าง OpenFire, JetBrains และ Zimbra สำหรับการโจมตีในกลุ่มประเทศตะวันตกช่วงปีที่ผ่านมา พบว่ามีการใช้ช่องโหว่ของเครื่องมือรีโมทอย่าง Connectwise ScreenConnect และ Fortinet FortiClient EMS (ซอฟต์แวร์จัดการความปลอดภัยของ Fortinet บนพีซี)
เมื่อเข้าสู่ระบบได้แล้ว แฮกเกอร์จะติดตั้งซอฟต์แวร์เพื่อให้สามารถเข้าถึงเครื่องเหยื่อได้อย่างต่อเนื่อง (Persistent Access) โดยมักใช้เครื่องมือรีโมทที่ถูกกฎหมาย เช่น Atera Agent หรือ Splashtop Remote Services นอกจากนี้ ในบางกรณีมีการตั้งค่าเครื่องของเหยื่อให้ทำงานเป็น Onion Service บนเครือข่าย Tor (เครือข่ายนิรนามที่ใช้ Proxy เพื่อปกปิดตัวตน) เพื่อใช้เป็นเซิร์ฟเวอร์ในการสื่อสารที่ตรวจจับได้ยาก
การโจมตีรูปแบบอื่นผ่านซอฟต์แวร์เถื่อน
นอกเหนือจาก BadPilot แล้ว บริษัท EclecticIQ ยังพบแคมเปญแยกต่างหากของ Sandworm ที่ใช้เครื่องมือละเมิดลิขสิทธิ์ Windows (Piracy Tool) ที่ติดมัลแวร์ ซึ่งแพร่กระจายผ่าน Bittorrent เพื่อเจาะเข้าสู่เครือข่ายรัฐบาลยูเครน โดยมีการติดตั้งเครื่องมือรีโมทที่ชื่อว่า Dark Crystal RAT เพื่อใช้ในการจารกรรมทางไซเบอร์
ข้อเท็จจริงสำคัญ
- สังกัด: Sandworm ถูกระบุว่าเป็นหน่วยหนึ่งของ GRU ซึ่งเป็นหน่วยข่าวกรองทางทหารของรัสเซีย
- เป้าหมายหลัก: พลังงาน, น้ำมันและก๊าซ, โทรคมนาคม, การขนส่งทางเรือ, การผลิตอาวุธ และรัฐบาลระหว่างประเทศ
- ประวัติความรุนแรง: เคยทำให้เกิดไฟฟ้าดับในยูเครนถึง 3 ครั้ง และปล่อยมัลแวร์ NotPetya ที่สร้างความเสียหายทั่วโลกกว่า 1 หมื่นล้านดอลลาร์
- สถานะปัจจุบันในตะวันตก: ปัจจุบันยังพบเพียงการจารกรรมข้อมูล (Espionage) แต่มีความเสี่ยงที่จะพัฒนาเป็นการโจมตีที่ทำลายล้างในอนาคต
| หัวข้อ | รายละเอียด |
|---|---|
| บทบาทหน้าที่ | เจาะระบบขั้นต้น (Initial Access) เพื่อส่งต่อให้ทีมอื่น |
| วิธีการเข้าถึง | ใช้ช่องโหว่ซอฟต์แวร์ที่ไม่ได้อัปเดต และเครื่องมือรีโมท |
| เป้าหมายปี 2024 | สหรัฐฯ, สหราชอาณาจักร, แคนาดา, ออสเตรเลีย |
| วัตถุประสงค์หลัก | จารกรรมข้อมูลและเตรียมความพร้อมสำหรับการโจมตี |
คำถามที่พบบ่อย
BadPilot แตกต่างจาก Sandworm อย่างไร?
BadPilot เป็นเพียงกลุ่มย่อยหรือทีมปฏิบัติการภายใน Sandworm โดยทำหน้าที่เฉพาะด้านคือการหาทางเจาะเข้าสู่เครือข่ายของเหยื่อเป็นด่านแรก ก่อนจะส่งต่อให้สมาชิกคนอื่นใน Sandworm เข้าไปดำเนินการโจมตีหรือขโมยข้อมูล
ทำไมกลุ่มแฮกเกอร์ถึงหันมาโจมตีประเทศตะวันตกในตอนนี้?
ผู้เชี่ยวชาญจาก Microsoft วิเคราะห์ว่าปัจจัยด้านการเมืองโลกและการเลือกตั้งในหลายประเทศ เป็นแรงขับเคลื่อนสำคัญที่ทำให้กลุ่มแฮกเกอร์เปลี่ยนเป้าหมายเพื่อผลประโยชน์ทางยุทธศาสตร์และการจารกรรม
มัลแวร์ NotPetya คืออะไรและเกี่ยวข้องอย่างไร?
NotPetya เป็นมัลแวร์ทำลายล้างที่สร้างโดย Sandworm ซึ่งแพร่กระจายไปทั่วโลกและสร้างความเสียหายทางเศรษฐกิจมหาศาล สิ่งนี้แสดงให้เห็นว่า Sandworm ไม่ได้ทำเพียงแค่การสอดแนม แต่มีความสามารถในการทำลายระบบโครงสร้างพื้นฐานอย่างรุนแรง
เราจะป้องกันการโจมตีในลักษณะนี้ได้อย่างไร?
จากพฤติกรรมของ BadPilot วิธีการป้องกันที่สำคัญที่สุดคือการหมั่นอัปเดตซอฟต์แวร์ (Patching) ให้เป็นเวอร์ชันล่าสุดเสมอ เพื่อปิดช่องโหว่ในโปรแกรมอย่าง Microsoft Exchange, Outlook และเครื่องมือรีโมทต่างๆ ที่แฮกเกอร์มักใช้เป็นทางเข้า
