SolarWinds กับมหากาพย์การโจมตีทางไซเบอร์ที่สั่นคลอนความมั่นคงระดับโลก
ในโลกของความมั่นคงปลอดภัยทางไซเบอร์ มีเหตุการณ์หนึ่งที่ถูกจารึกว่าเป็นหนึ่งในการโจมตีที่แยบยลและอันตรายที่สุดเท่าที่เคยมีมา นั่นคือกรณีของ SolarWinds ซึ่งไม่ใช่การเจาะระบบแบบธรรมดา แต่เป็นการโจมตีแบบ Supply Chain Attack หรือการฝังมัลแวร์ลงในซอฟต์แวร์ที่บริษัทต่างๆ ไว้วางใจใช้งาน ทำให้ผู้โจมตีสามารถเข้าถึงเครือข่ายขององค์กรระดับโลกและหน่วยงานรัฐบาลสหรัฐฯ ได้อย่างง่ายดาย
จุดเริ่มต้นของความโกลาหลนี้ถูกตรวจพบโดยบริษัทด้านความปลอดภัยอย่าง Volexity และ Mandiant เมื่อพวกเขาพบความผิดปกติในระบบของลูกค้า ซึ่งมีกลุ่มแฮกเกอร์ที่เรียกกันว่า "Dark Halo" แอบแฝงตัวอยู่ โดยใช้ Backdoor (ประตูหลัง ซึ่งเป็นรหัสลับที่ผู้โจมตีสร้างไว้เพื่อใช้เข้าสู่ระบบได้ตลอดเวลาโดยไม่ต้องผ่านการตรวจสอบปกติ) ที่ถูกฝังไว้ล่วงหน้าถึง 3 ปี
เมื่อ "ผู้ล่า" กลายเป็น "ผู้ถูกล่า"
ความน่าสะพรึงกลัวของเหตุการณ์นี้ถึงจุดสูงสุดเมื่อ Mandiant บริษัทผู้เชี่ยวชาญด้านการล่าภัยคุกคามทางไซเบอร์ระดับโลก กลับพบว่าระบบของตนเองถูกเจาะเช่นกัน Kevin Mandia ซีอีโอของบริษัทพบว่าผู้บุกรุกได้ขโมยเครื่องมือที่ใช้ตรวจหาช่องโหว่และเข้าถึงข้อมูลลูกค้าที่เป็นหน่วยงานรัฐบาล
จากการวิเคราะห์อย่างละเอียด ทีมงานพบว่าต้นตอมาจากซอฟต์แวร์ Orion ของบริษัท SolarWinds โดยแฮกเกอร์ได้ฝังไฟล์ .dll (Dynamic-Link Library) ซึ่งเป็นส่วนประกอบของโค้ดที่โปรแกรมอื่นเรียกใช้ โดยในไฟล์ที่มีโค้ดกว่า 46,000 บรรทัด มีคำสั่งที่ผิดปกติเพียงคำสั่งเดียวที่ทำหน้าที่เป็นประตูเปิดทางให้ผู้โจมตี
เบื้องหลังการโจมตี: ความอดทนและชั้นเชิงของ SVR
การสืบสวนพบว่าผู้อยู่เบื้องหลังคือ SVR หน่วยข่าวกรองพลเรือนของรัสเซีย ซึ่งขึ้นชื่อเรื่องความเงียบเชียบและแนบเนียน ต่างจากกลุ่ม GRU ที่มักโจมตีแบบรุนแรงและเปิดเผย SVR ใช้เวลาเตรียมการนานนับปี โดยเริ่มจากการเข้าถึงบัญชี VPN ของพนักงาน SolarWinds ตั้งแต่ต้นปี 2019 เพื่อศึกษาซอร์สโค้ดและโครงสร้างระบบ
สิ่งที่น่าทึ่งคือ แฮกเกอร์มีความเชี่ยวชาญในระบบของ SolarWinds สูงมาก จนสามารถสร้างไฟล์ .dll ปลอมที่เขียนโค้ดได้สะอาดและมีประสิทธิภาพยิ่งกว่าต้นฉบับ ทำให้ระบบตรวจจับไม่พบความผิดปกติเป็นเวลานาน
| หัวข้อ | รายละเอียด |
|---|---|
| ซอฟต์แวร์ที่ถูกใช้เป็นช่องทาง | SolarWinds Orion |
| ชื่อมัลแวร์/Backdoor | Sunburst |
| ผู้ก่อเหตุที่คาดการณ์ | SVR (หน่วยข่าวกรองรัสเซีย) |
| จำนวนลูกค้าที่ได้รับผลกระทบ | สูงสุดประมาณ 18,000 ราย |
| จุดเริ่มต้นการบุกรุก | มกราคม 2019 (ผ่านบัญชี VPN พนักงาน) |
ข้อเท็จจริงสำคัญ
- การโจมตีแบบซ่อนเร้น: ผู้โจมตีใช้เวลาเตรียมการและศึกษาซอร์สโค้ดนานกว่าหนึ่งปีก่อนเริ่มดำเนินการจริง
- ช่องโหว่จากความประมาท: มีรายงานว่ารหัสผ่านภายในของ SolarWinds เคยถูกโพสต์ลงใน GitHub สาธารณะในปี 2018
- หลักฐานชิ้นสำคัญ: การตรวจพบเกิดจาก "Memory Dump" (ภาพจำลองสถานะของหน่วยความจำ) ของ Virtual Machine ที่ไม่ได้ถูกลบออก ทำให้ทีมสืบสวนย้อนรอยการโจมตีได้
- ผลกระทบวงกว้าง: หน่วยงานระดับสูงของสหรัฐฯ เช่น กระทรวงการคลัง และกระทรวงพาณิชย์ ตกเป็นเหยื่อในการโจมตีครั้งนี้
คำถามที่พบบ่อย
การโจมตีแบบ Supply Chain Attack คืออะไร?
คือการที่แฮกเกอร์ไม่ได้โจมตีเป้าหมายโดยตรง แต่โจมตีผ่าน "ผู้ให้บริการ" หรือซอฟต์แวร์ที่เป้าหมายใช้งาน เมื่อซอฟต์แวร์นั้นมีการอัปเดต มัลแวร์จะถูกส่งต่อไปยังผู้ใช้งานทุกคนโดยอัตโนมัติ
ทำไมการตรวจจับเหตุการณ์นี้ถึงทำได้ยาก?
เพราะมัลแวร์ถูกฝังอยู่ในไฟล์อัปเดตที่ถูกต้องตามกฎหมายและมีการลงนามดิจิทัลอย่างถูกต้อง อีกทั้งโค้ดที่แฮกเกอร์เขียนมีความแนบเนียนจนแยกไม่ออกจากโค้ดปกติของโปรแกรม
SVR แตกต่างจากกลุ่มแฮกเกอร์ทั่วไปอย่างไร?
SVR เน้นการจารกรรมข้อมูลแบบเงียบเชียบ (Espionage) โดยมีเป้าหมายเพื่อฝังตัวอยู่ในระบบให้ได้นานที่สุดเพื่อเก็บข้อมูล มากกว่าการทำลายระบบหรือเรียกค่าไถ่
รัฐบาลสหรัฐฯ มีการตอบสนองต่อเหตุการณ์นี้อย่างไร?
มีการออกคำสั่งฝ่ายบริหารเพื่อยกระดับความปลอดภัยทางไซเบอร์ และจัดตั้งคณะกรรมการตรวจสอบความปลอดภัยทางไซเบอร์ (Cyber Safety Review Board) เพื่อประเมินความเสียหายและป้องกันเหตุซ้ำรอย
