Sophos เผยเบื้องหลังสงครามไซเบอร์ 5 ปี กับเครือข่ายแฮกเกอร์จีนในเฉิงตู
ในโลกของความปลอดภัยทางไซเบอร์ มีความจริงที่น่ากังวลว่าอุปกรณ์ที่ถูกออกแบบมาเพื่อป้องกันการโจมตี เช่น Firewall (ระบบกำแพงไฟที่คัดกรองทราฟฟิกเครือข่าย) หรือ VPN (เครือข่ายเสมือนส่วนตัว) มักกลายเป็นประตูบานแรกที่แฮกเกอร์ใช้เจาะเข้าสู่ระบบเป้าหมายเสียเอง
ล่าสุด Sophos บริษัทรักษาความปลอดภัยทางไซเบอร์ชั้นนำจากสหราชอาณาจักร ได้เปิดเผยรายงานการต่อสู้ที่ยาวนานกว่า 5 ปี กับกลุ่มแฮกเกอร์ที่มีความเชื่อมโยงกัน ซึ่งพยายามเจาะระบบ Firewall ของบริษัท โดย Sophos ไม่เพียงแต่ป้องกัน แต่ยังใช้วิธีติดตามและเฝ้าสังเกตพฤติกรรมของแฮกเกอร์ จนสามารถระบุต้นตอได้ว่าการโจมตีเหล่านี้มาจากเครือข่ายนักวิจัยด้านช่องโหว่ในเมืองเฉิงตู ประเทศจีน
ยุทธการ "แฮกกลับ" เพื่อหยุดยั้งการโจมตี
สงครามครั้งนี้เริ่มต้นขึ้นในปี 2018 เมื่อ Sophos พบมัลแวร์ในคอมพิวเตอร์ที่ใช้ควบคุมหน้าจอแสดงผลในสำนักงานสาขาที่อินเดีย ซึ่งนำไปสู่การค้นพบ Rootkit (มัลแวร์ระดับลึกที่สามารถซ่อนตัวจากระบบปฏิบัติการ) ที่ชื่อว่า CloudSnooper ซึ่งเชื่อว่าถูกใช้เพื่อเก็บข้อมูลผลิตภัณฑ์ของ Sophos เพื่อนำไปสร้างการโจมตีลูกค้าในเวลาต่อมา
ต่อมาในปี 2020 แฮกเกอร์ได้เริ่มแคมเปญโจมตีครั้งใหญ่ โดยใช้ช่องโหว่ Zero-day (ช่องโหว่ที่ผู้ผลิตยังไม่ทราบและยังไม่มีแพตช์แก้ไข) เพื่อติดตั้งโทรจัน Asnarök ใน Firewall นับหมื่นเครื่องทั่วโลก เพื่อสร้าง Operational Relay Boxes (ORBs) หรือเครือข่าย Botnet สำหรับใช้เป็นจุดส่งต่อการโจมตีไปยังเป้าหมายอื่น
ทีม X-Ops ของ Sophos ได้ตอบโต้ด้วยวิธีที่ดุดัน โดยการฝัง "Implant" หรือโค้ดติดตามลงในอุปกรณ์ที่แฮกเกอร์ในเฉิงตูใช้ทดสอบการเจาะระบบ ทำให้ Sophos สามารถเห็นขั้นตอนการทำงานของแฮกเกอร์แบบเรียลไทม์ และสามารถออกแพตช์ป้องกันได้ล่วงหน้าก่อนที่การโจมตีระลอกที่สามจะแพร่กระจาย
เป้าหมายและการเชื่อมโยงกับรัฐบาลจีน
จากการวิเคราะห์พบว่า การโจมตีได้เปลี่ยนรูปแบบจากการสุ่มโจมตีเป็นการระบุเป้าหมายที่ชัดเจนและมีความสำคัญระดับสูง โดยกลุ่มเป้าหมายหลักอยู่ในเอเชียตะวันออกเฉียงใต้และเอเชียใต้ รวมถึงบางส่วนในยุโรป ตะวันออกกลาง และสหรัฐอเมริกา ซึ่งประกอบด้วย:
- หน่วยงานด้านพลังงานนิวเคลียร์และผู้กำกับดูแล
- เป้าหมายทางทหาร รวมถึงโรงพยาบาลทหาร
- หน่วยงานโทรคมนาคม รัฐบาล และหน่วยข่าวกรอง
- สนามบินหลักของเมืองหลวงในบางประเทศ
Sophos เชื่อมโยงกิจกรรมเหล่านี้กับกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลจีน เช่น APT41, APT31 และ Volt Typhoon (กลุ่มที่มุ่งเป้าทำลายโครงสร้างพื้นฐานสำคัญในสหรัฐฯ) โดยมีศูนย์กลางการพัฒนาเทคนิคการเจาะระบบอยู่ที่ Sichuan Silence Information Technology และ University of Electronic Science and Technology of China ในเมืองเฉิงตู
นวัตกรรมมัลแวร์ที่น่าสะพรึงกลัว: Bootkit
หนึ่งในการค้นพบที่สำคัญที่สุดคือการพบ Bootkit ซึ่งเป็นมัลแวร์ที่ออกแบบมาเพื่อฝังตัวในโค้ดระดับต่ำที่ใช้ในการบูตเครื่อง (Boot-up code) ก่อนที่ระบบปฏิบัติการจะเริ่มทำงาน ทำให้มันสามารถซ่อนตัวได้อย่างสมบูรณ์และตรวจจับได้ยากยิ่ง ซึ่ง Sophos ระบุว่านี่เป็นครั้งแรกที่พบการใช้ Bootkit กับอุปกรณ์ Firewall ในลักษณะนี้
| ปีที่เกิดเหตุ | เหตุการณ์สำคัญ | ผลลัพธ์/การค้นพบ |
|---|---|---|
| 2018 | พบการบุกรุกที่สำนักงานในอินเดีย | ตรวจพบ Rootkit "CloudSnooper" |
| 2020 | การโจมตี Firewall นับหมื่นเครื่อง | พบโทรจัน "Asnarök" และการใช้ Zero-day |
| 2020 (กลางปี) | ยุทธการแฮกกลับ (Counter-hack) | ฝัง Implant ในเครื่องทดสอบของแฮกเกอร์ที่เฉิงตู |
| 2021-2022 | การโจมตีแบบระบุเป้าหมายระดับสูง | เจาะระบบหน่วยงานรัฐและทหารในเอเชียและตะวันตก |
| ปัจจุบัน | การโจมตีอุปกรณ์ที่หมดอายุการใช้งาน | เน้นเจาะอุปกรณ์ End-of-Life ที่ไม่มีการอัปเดต |
ข้อเท็จจริงสำคัญ
- ต้นตอการโจมตี: เครือข่ายนักวิจัยในเมืองเฉิงตู ประเทศจีน ที่ส่งต่อเทคนิคการเจาะระบบให้รัฐบาล
- พฤติกรรมย้อนแย้ง: นักวิจัยบางรายส่งรายงานช่องโหว่ให้ Sophos ผ่านโปรแกรม Bug Bounty เพื่อรับเงินรางวัล ในขณะที่ส่งช่องโหว่เดียวกันให้รัฐบาลจีนใช้โจมตี
- ความเสี่ยงปัจจุบัน: แฮกเกอร์เปลี่ยนเป้าหมายมาโจมตีอุปกรณ์ End-of-Life (EOL) หรืออุปกรณ์ที่เก่าจนไม่ได้รับการสนับสนุนแพตช์แล้ว
- ความโปร่งใส: Sophos เลือกเปิดเผยเรื่องนี้เพื่อทำลายวัฒนธรรมการปิดบังความผิดพลาดของบริษัทความปลอดภัยไซเบอร์
คำถามที่พบบ่อย
ทำไมอุปกรณ์ความปลอดภัยอย่าง Firewall ถึงถูกแฮกได้?
เนื่องจากอุปกรณ์เหล่านี้เป็นด่านหน้าของเครือข่าย หากแฮกเกอร์สามารถหาช่องโหว่ Zero-day หรือใช้ช่องโหว่ในอุปกรณ์ที่ไม่ได้อัปเดตได้ พวกเขาจะสามารถเข้าถึงเครือข่ายภายในทั้งหมดได้โดยง่าย
Bootkit แตกต่างจากมัลแวร์ทั่วไปอย่างไร?
มัลแวร์ทั่วไปจะทำงานบนระบบปฏิบัติการ แต่ Bootkit จะฝังตัวอยู่ในส่วนที่ใช้เริ่มระบบ (Boot sequence) ทำให้มันทำงานก่อนที่ซอฟต์แวร์แอนตี้ไวรัสหรือระบบป้องกันจะเริ่มทำงาน จึงตรวจจับได้ยากมาก
อุปกรณ์ End-of-Life (EOL) อันตรายอย่างไร?
อุปกรณ์ EOL คืออุปกรณ์ที่ผู้ผลิตเลิกสนับสนุนและไม่ออกแพตช์แก้ไขช่องโหว่ให้อีกต่อไป ทำให้กลายเป็น "ประตูที่เปิดทิ้งไว้" ให้แฮกเกอร์เข้าโจมตีได้ตลอดเวลาโดยไม่มีทางป้องกันทางซอฟต์แวร์
กลุ่ม Volt Typhoon คือใครและมีเป้าหมายอะไร?
เป็นกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลจีน ซึ่งมีพฤติกรรมก้าวร้าว โดยมุ่งเน้นการเจาะระบบโครงสร้างพื้นฐานที่สำคัญ เช่น โครงข่ายไฟฟ้าในสหรัฐอเมริกา เพื่อสร้างความสามารถในการก่อกวนหรือทำลายในอนาคต
