Sandworm แฮกเกอร์รัสเซีย ยกระดับสงครามไซเบอร์โจมตีโครงข่ายไฟฟ้าควบคู่การยิงขีปนาวุธ
ในโลกของสงครามไซเบอร์ ชื่อของ Sandworm หรือหน่วย 74455 ภายใต้หน่วยข่าวกรองทางทหารของรัสเซีย (GRU) เป็นที่รู้จักในฐานะกลุ่มแฮกเกอร์เพียงกลุ่มเดียวที่สามารถสร้างเหตุการณ์ไฟดับเป็นวงกว้างได้สำเร็จ ล่าสุดมีการเปิดเผยข้อมูลที่น่าตกใจว่า กลุ่มนี้ได้สร้างบรรทัดฐานใหม่ที่โหดร้ายยิ่งขึ้น โดยการโจมตีระบบไฟฟ้าในยูเครนให้ดับลงในเวลาเดียวกับที่มีการยิงขีปนาวุธถล่มเมือง ซึ่งเป็นการผสานการโจมตีทางดิจิทัลและทางกายภาพเข้าด้วยกันอย่างไม่เคยปรากฏมาก่อน
บริษัทด้านความปลอดภัยไซเบอร์ Mandiant รายงานว่า ในเดือนตุลาคมปีที่ผ่านมา Sandworm ได้โจมตีระบบไฟฟ้าของยูเครนเป็นครั้งที่สาม ส่งผลให้พลเรือนจำนวนมากต้องเผชิญกับภาวะไฟดับ สิ่งที่ทำให้การโจมตีครั้งนี้แตกต่างจากครั้งก่อนๆ คือการประสานเวลาให้เกิดขึ้นพร้อมกับการโจมตีด้วยขีปนาวุธที่มุ่งเป้าไปยังโครงสร้างพื้นฐานวิกฤตในเมืองเดียวกัน นอกจากนี้ หลังจากเกิดไฟดับได้สองวัน แฮกเกอร์ยังได้ใช้มัลแวร์ประเภท Wiper (ซอฟต์แวร์ที่ออกแบบมาเพื่อลบข้อมูลในฮาร์ดไดรฟ์อย่างถาวร) เพื่อทำลายหลักฐานการบุกรุกในเครือข่ายของหน่วยงานไฟฟ้า
กลยุทธ์การโจมตีที่เปลี่ยนไป: จากมัลแวร์เฉพาะทางสู่การพรางตัว
จากการวิเคราะห์ของ Mandiant พบว่า Sandworm ได้พัฒนารูปแบบการโจมตีให้มีความแนบเนียนและรวดเร็วยิ่งขึ้น โดยเปลี่ยนจากการใช้มัลแวร์ที่เขียนขึ้นมาโดยเฉพาะ มาเป็นการใช้เทคนิคที่เรียกว่า Living off the Land ซึ่งคือการใช้เครื่องมือที่มีอยู่แล้วในระบบปฏิบัติการของเหยื่อเพื่อเคลื่อนที่ภายในเครือข่าย ทำให้ระบบตรวจจับมัลแวร์ทั่วไปตรวจพบได้ยาก
ในการโจมตีครั้งล่าสุดนี้ แฮกเกอร์ได้ใช้สคริปต์อัตโนมัติสั่งการผ่านซอฟต์แวร์ MicroSCADA ซึ่งเป็นระบบควบคุมอุตสาหกรรม (Industrial Control System - ICS) ที่ทำหน้าที่บริหารจัดการการไหลของกระแสไฟฟ้าในสถานีไฟฟ้าย่อย เพื่อทำให้เกิดไฟดับในที่สุด
| ปีที่เกิดเหตุ | เครื่องมือที่ใช้ | ลักษณะการโจมตี | ผลลัพธ์ |
|---|---|---|---|
| 2016 | Crash Override / Industroyer | ใช้มัลแวร์เฉพาะทางสั่งเปิดเซอร์กิตเบรกเกอร์ | ไฟดับในสถานีส่งไฟฟ้าทางเหนือของเคียฟ |
| 2022 | Industroyer2 | ใช้มัลแวร์เวอร์ชันอัปเกรด | พยายามทำให้ไฟดับแต่ไม่สำเร็จ |
| ตุลาคม 2023 | Living off the Land & MicroSCADA | ใช้เครื่องมือในระบบและสคริปต์อัตโนมัติ | ไฟดับพร้อมการโจมตีด้วยขีปนาวุธ |
ความเร็วในการปฏิบัติการก็เพิ่มขึ้นอย่างเห็นได้ชัด ในอดีต Sandworm อาจใช้เวลาแฝงตัวในระบบนานกว่า 6 เดือน แต่ในครั้งล่าสุดนี้ พวกเขาใช้เวลาเพียง 3 เดือนในการเข้าถึงระบบควบคุมอุตสาหกรรม และใช้เวลาอีกเพียง 2 เดือนในการพัฒนาเทคนิคจนสามารถสั่งให้ไฟดับได้ ซึ่งความคล่องตัวนี้เป็นสิ่งสำคัญอย่างยิ่งในสภาวะสงคราม
ข้อเท็จจริงสำคัญ
- การโจมตีแบบผสมผสาน: เป็นครั้งแรกที่มีการประสานการโจมตีทางไซเบอร์ (ไฟดับ) พร้อมกับการโจมตีทางกายภาพ (ขีปนาวุธ) ในพื้นที่เดียวกัน
- เทคนิคการพรางตัว: เปลี่ยนมาใช้กลยุทธ์ Living off the Land เพื่อหลีกเลี่ยงการตรวจจับของเครื่องมือรักษาความปลอดภัย
- เป้าหมายทางจิตวิทยา: การโจมตีมุ่งเน้นการสร้างความโกลาหลและความรู้สึกสิ้นหวังให้กับพลเรือนมากกว่าผลทางยุทธวิธี
- การทำลายหลักฐาน: มีการใช้มัลแวร์ CaddyWiper เพื่อลบข้อมูลในเครือข่าย IT หลังปฏิบัติการเสร็จสิ้น
บทวิเคราะห์ผลกระทบและแนวป้องกัน
แม้การโจมตีจะประสบความสำเร็จ แต่ทาง SSSCIP (หน่วยงานความมั่นคงไซเบอร์ของยูเครน) และ Mandiant ระบุว่าเหตุการณ์นี้ไม่ได้หมายความว่าระบบป้องกันของยูเครนล้มเหลว ในความเป็นจริง รัสเซียได้พยายามโจมตีโครงสร้างพื้นฐานของยูเครนหลายสิบครั้ง แต่ส่วนใหญ่ถูกสกัดกั้นไว้ได้ การที่เหตุการณ์ไฟดับครั้งนี้เกิดขึ้นเพียงจุดเดียวจึงเป็นข้อพิสูจน์ถึงประสิทธิภาพของทีมป้องกันไซเบอร์ของยูเครน
ในด้านผลกระทบทางจิตวิทยา John Hultquist จาก Mandiant มองว่าการทำให้ไฟดับในขณะที่มีขีปนาวุธตกใส่เมือง อาจไม่ได้สร้างความหวาดกลัวเพิ่มขึ้นมากนัก เนื่องจากชาวยูเครนต้องเผชิญกับการโจมตีอย่างต่อเนื่องมานานกว่าสองปี จนความเด็ดเดี่ยวในการต่อสู้มีมากกว่าความกลัว และในบางกรณี การโจมตีทางไซเบอร์อาจถูกกลบด้วยความรุนแรงของการโจมตีทางกายภาพเสียด้วยซ้ำ
คำถามที่พบบ่อย
Sandworm คือใคร?
Sandworm คือชื่อเรียกในวงการไซเบอร์ของหน่วย 74455 ซึ่งเป็นหน่วยข่าวกรองทางทหารของรัสเซีย (GRU) ที่เชี่ยวชาญด้านการโจมตีโครงสร้างพื้นฐาน
เทคนิค Living off the Land คืออะไร?
คือวิธีการที่แฮกเกอร์ไม่ใช้มัลแวร์ที่สร้างขึ้นเอง แต่เลือกใช้เครื่องมือหรือคำสั่งที่มีอยู่แล้วในระบบของเหยื่อ เพื่อให้การบุกรุกแนบเนียนและตรวจจับได้ยากขึ้น
มัลแวร์ Wiper ทำหน้าที่อะไร?
Wiper คือมัลแวร์ที่ออกแบบมาเพื่อลบข้อมูลในคอมพิวเตอร์อย่างถาวร ในกรณีนี้ถูกนำมาใช้เพื่อทำลายร่องรอยหลักฐานที่แฮกเกอร์ทิ้งไว้ในระบบ
ทำไมรัสเซียถึงโจมตีระบบไฟฟ้าพร้อมกับการยิงขีปนาวุธ?
เชื่อว่าเป็นการสร้างผลกระทบทางจิตวิทยา เพื่อให้พลเรือนรู้สึกถึงความโกลาหล ไร้ทางสู้ และเป็นการบั่นทอนกำลังใจของประชาชนในยูเครน
การโจมตีครั้งนี้สะท้อนว่าระบบป้องกันของยูเครนอ่อนแอหรือไม่?
ไม่เป็นความจริง เนื่องจากผู้เชี่ยวชาญระบุว่ามีการโจมตีเกิดขึ้นจำนวนมาก แต่ส่วนใหญ่ถูกป้องกันไว้ได้ เหตุการณ์นี้เป็นเพียงส่วนน้อยที่เล็ดลอดเข้ามาได้เท่านั้น
