Turla กลุ่มแฮกเกอร์รัสเซียกับการโจมตีแบบ Piggyback ผ่าน USB ที่แนบเนียนกว่าเดิม
ย้อนกลับไปในปี 2008 โลกได้รู้จักกับ Turla กลุ่มจารกรรมทางไซเบอร์ชาวรัสเซียที่สร้างชื่อเสียจากการใช้มัลแวร์ agent.btz บุกรุกระบบของกระทรวงกลาโหมสหรัฐฯ ผ่านแฟลชไดรฟ์ที่ติดเชื้อ ซึ่งสร้างความเสียหายอย่างหนักจนนำไปสู่การยกเครื่องระบบรักษาความปลอดภัยครั้งใหญ่ในชื่อ Operation Buckshot Yankee
เวลาผ่านไป 15 ปี Turla ยังคงไม่หยุดพัฒนา โดยล่าสุดบริษัทด้านความปลอดภัยทางไซเบอร์ Mandiant ได้เปิดเผยกลยุทธ์ใหม่ที่แยบยลกว่าเดิม แทนที่จะสร้างเครื่องมือโจมตีเองทั้งหมด พวกเขากลับใช้วิธี "เกาะติด" (Piggybacking) ไปกับร่องรอยการโจมตีของอาชญากรไซเบอร์รายอื่น เพื่อพรางตัวและเลือกเป้าหมายในการจารกรรมได้อย่างแม่นยำ
กลยุทธ์การจารกรรมแบบ "ปูเสฉวน"
วิธีการใหม่ของ Turla คือการเข้ายึดครอง Command-and-Control (C2) หรือเซิร์ฟเวอร์ที่ใช้สั่งการมัลแวร์ของแฮกเกอร์กลุ่มอื่นที่หมดอายุการใช้งานไปแล้ว โดย Mandiant พบว่า Turla ได้จดทะเบียนโดเมนที่เคยเป็นของมัลแวร์เก่าแก่ที่มีอายุเกือบทศวรรษ ซึ่งแพร่กระจายผ่าน USB
เมื่อยึดเซิร์ฟเวอร์เหล่านี้ได้ Turla จะทำตัวเหมือนปูเสฉวนที่ย้ายเข้าไปอยู่ในเปลือกหอยของคนอื่น ทำให้พวกเขาสามารถคัดกรองรายชื่อเหยื่อที่ถูกมัลแวร์เดิมโจมตีไว้แล้ว และเลือกเจาะจงเป้าหมายที่มีมูลค่าสูงสำหรับการจารกรรมข้อมูลทางราชการ โดยที่ไม่มีใครสงสัยเพราะร่องรอยที่ปรากฏเป็นของอาชญากรไซเบอร์ทั่วไป ไม่ใช่ร่องรอยของหน่วยข่าวกรองรัสเซีย
ถอดรหัสการโจมตีในยูเครน
หลักฐานสำคัญถูกค้นพบในเดือนกันยายนปีที่แล้ว ณ ประเทศยูเครน ซึ่งเป็นเป้าหมายหลักของหน่วยข่าวกรองเครมลิน ทีมตอบโต้เหตุการณ์ของ Mandiant พบคอมพิวเตอร์หลายเครื่องติดมัลแวร์ Andromeda ซึ่งเป็น Banking Trojan (มัลแวร์ขโมยข้อมูลทางการเงิน) ที่แพร่กระจายผ่านไฟล์ปลอมบน USB ที่ดูเหมือนโฟลเดอร์ปกติ
อย่างไรก็ตาม สิ่งที่น่าตกใจคือในเครื่องที่ติด Andromeda กลับมีการดาวน์โหลดมัลแวร์อีกสองตัวตามมา ได้แก่ Kopiluwak ซึ่งเป็นเครื่องมือสอดแนม และ Quietcanary ซึ่งเป็น Backdoor (ช่องทางลับที่แฮกเกอร์ใช้เข้าควบคุมระบบ) สำหรับบีบอัดและขโมยข้อมูลออกไป ซึ่งทั้งสองตัวนี้เป็นเครื่องมือเฉพาะทางที่ Turla ใช้เท่านั้น
วิวัฒนาการความแนบเนียนของ Turla
John Hultquist จาก Mandiant ระบุว่าวิธีนี้ช่วยให้ Turla ทำงานได้โดยไม่ถูกตรวจจับ เพราะไม่ต้องส่งสแปมหรือโจมตีแบบหว่านแหเอง แต่ปล่อยให้แฮกเกอร์รายอื่นทำหน้าที่ "เปิดประตู" ให้ จากนั้นจึงเลือกเดินเข้าบ้านหลังที่ต้องการอย่างเงียบเชียบ
ประวัติของ Turla เต็มไปด้วยความล้ำสมัย เช่น ในปี 2015 เคยมีการใช้การเชื่อมต่ออินเทอร์เน็ตผ่านดาวเทียมเพื่อพรางตำแหน่งเซิร์ฟเวอร์ C2 และในปี 2019 เคยเข้ายึดเซิร์ฟเวอร์ของแฮกเกอร์ชาวอิหร่านเพื่อสร้างความสับสนให้กับเจ้าหน้าที่สืบสวน
| หัวข้อ | รายละเอียด |
|---|---|
| เป้าหมายหลัก | หน่วยงานรัฐบาลและองค์กรความมั่นคงทั่วโลก |
| เทคนิคเด่น | การยึดโดเมนที่หมดอายุ (Expired Domains) เพื่อใช้เป็น C2 |
| ช่องทางการบุกรุก | USB Drive และการ Piggyback บนมัลแวร์ตัวอื่น |
| เครื่องมือที่ใช้ | agent.btz, Kopiluwak, Quietcanary |
| ความเชื่อมโยง | เชื่อว่าทำงานภายใต้หน่วยข่าวกรอง FSB ของรัสเซีย |
ข้อเท็จจริงสำคัญ
- Turla มีความเชื่อมโยงกับหน่วยข่าวกรอง FSB ของรัสเซียและมีประวัติการโจมตีมาตั้งแต่ยุค 90 (Moonlight Maze)
- ใช้เทคนิค Piggybacking โดยการจดทะเบียนโดเมน C2 ของมัลแวร์ Andromeda ที่หมดอายุเพื่อเข้าถึงเหยื่อ
- การโจมตีเริ่มต้นจากการใช้ USB Drive ที่มีไฟล์มัลแวร์ปลอมแปลงเป็นโฟลเดอร์
- ใช้มัลแวร์ Kopiluwak และ Quietcanary ในการสอดแนมและขโมยข้อมูลเป้าหมาย
- เป้าหมายการโจมตีไม่ได้จำกัดแค่ในยูเครน แต่มีขอบเขตการเก็บข้อมูลข่าวกรองทั่วโลก
คำถามที่พบบ่อย
การโจมตีแบบ Piggybacking คืออะไร?
คือการที่แฮกเกอร์กลุ่มหนึ่งใช้ประโยชน์จากช่องทางหรือการติดเชื้อที่แฮกเกอร์อีกกลุ่มสร้างไว้แล้ว เพื่อแอบเข้าถึงระบบของเหยื่อโดยไม่ต้องเริ่มโจมตีด้วยตัวเอง ทำให้ตรวจจับได้ยากขึ้น
ทำไม Turla ถึงเลือกใช้ USB ในการโจมตีแม้เวลาจะผ่านไปนานแล้ว?
เพราะ USB ยังคงเป็นช่องทางที่ได้ผล โดยเฉพาะในองค์กรที่มีการรักษาความปลอดภัยเครือข่ายเข้มงวด แต่พนักงานอาจเผลอนำอุปกรณ์ภายนอกมาเสียบใช้งาน ซึ่งเป็นการข้ามผ่านระบบป้องกันไฟร์วอลล์ได้โดยตรง
มัลแวร์ Andromeda คืออะไรและเกี่ยวข้องอย่างไร?
Andromeda เป็นมัลแวร์ประเภท Banking Trojan ที่เน้นขโมยข้อมูลทางการเงิน ซึ่ง Turla ไม่ได้สร้างขึ้นเอง แต่ใช้วิธีเข้ายึดโดเมนควบคุมของ Andromeda เพื่อใช้เป็นทางผ่านในการส่งมัลแวร์จารกรรมของตนเองเข้าไปยังเครื่องเหยื่อ
เราจะป้องกันการโจมตีลักษณะนี้ได้อย่างไร?
วิธีที่สำคัญที่สุดคือการหลีกเลี่ยงการเสียบ USB ที่ไม่ทราบที่มา หรืออุปกรณ์ที่ไม่ได้ผ่านการตรวจสอบความปลอดภัย รวมถึงการอัปเดตซอฟต์แวร์ป้องกันไวรัสและเฝ้าระวังการเชื่อมต่อที่ผิดปกติไปยังโดเมนที่น่าสงสัย
