Turla กลุ่มแฮกเกอร์รัสเซียใช้ ISP ปลูกสปายแวร์เจาะข้อมูลสถานทูตในมอสโก
ในโลกของการจารกรรมทางไซเบอร์ กลุ่มแฮกเกอร์ Turla (หรือที่รู้จักในชื่อ Snake, Venomous Bear และ Secret Blizzard) มีชื่อเสียงด้านการใช้วิธีการที่ล้ำสมัยและซับซ้อน ไม่ว่าจะเป็นการซ่อนการสื่อสารผ่านดาวเทียมหรือการแฝงตัวไปกับปฏิบัติการของแฮกเกอร์กลุ่มอื่น แต่ล่าสุด Microsoft ได้เปิดเผยว่า เมื่อกลุ่มนี้ปฏิบัติการในบ้านเกิดอย่างรัสเซีย พวกเขาเลือกใช้วิธีที่เรียบง่ายแต่ทรงพลัง นั่นคือการควบคุม Internet Service Provider (ISP) หรือผู้ให้บริการอินเทอร์เน็ต เพื่อติดตั้งสปายแวร์ลงในเครื่องคอมพิวเตอร์ของเป้าหมายโดยตรง
รายงานจากทีมวิจัยความปลอดภัยของ Microsoft ระบุว่า Turla ซึ่งเชื่อว่าเป็นส่วนหนึ่งของหน่วยข่าวกรอง FSB ของเครมลิน ได้ใช้สิทธิ์ในการเข้าถึงโครงสร้างพื้นฐานของ ISP ในรัสเซียเพื่อแทรกแซงการรับส่งข้อมูลทางอินเทอร์เน็ต โดยพุ่งเป้าไปที่เจ้าหน้าที่ในสถานทูตต่างประเทศที่ปฏิบัติงานในกรุงมอสโก วิธีการนี้ทำให้พวกเขาสามารถหลอกให้เหยื่อติดตั้งซอฟต์แวร์อันตราย ซึ่งจะเข้าไปปิดการทำงานของการเข้ารหัสข้อมูล (Encryption) ทำให้ข้อมูลสำคัญ เช่น ชื่อผู้ใช้และรหัสผ่าน ถูกส่งออกไปในรูปแบบข้อความธรรมดาที่ ISP และหน่วยงานรัฐสามารถดักอ่านได้ทั้งหมด
กลไกการโจมตี: จาก Captive Portal สู่ ApolloShadow
เทคนิคที่ Turla ใช้คือการอาศัยช่องโหว่ของกระบวนการที่เบราว์เซอร์ตรวจสอบการเชื่อมต่ออินเทอร์เน็ตผ่าน Captive Portal (หน้าต่างล็อกอินที่มักพบตามสนามบินหรือคาเฟ่ เพื่อให้ผู้ใช้ยืนยันตัวตนก่อนเข้าใช้งานอินเทอร์เน็ต) โดยในระบบ Windows จะมีการส่งคำขอไปยังเว็บไซต์ของ Microsoft เพื่อเช็คสถานะออนไลน์
เมื่อเป้าหมายเชื่อมต่ออินเทอร์เน็ตผ่าน ISP ที่ถูกควบคุม Turla จะทำการเปลี่ยนเส้นทาง (Redirect) ให้เหยื่อเห็นข้อความแจ้งเตือนว่าเกิดข้อผิดพลาด และแนะนำให้ดาวน์โหลดการอัปเดตใบรับรองความปลอดภัย (Cryptographic Certificates) ของเบราว์เซอร์ หากผู้ใช้หลงเชื่อและติดตั้ง สิ่งที่ถูกติดตั้งลงไปจริงๆ คือมัลแวร์ที่ชื่อว่า ApolloShadow ซึ่งถูกปลอมแปลงให้ดูเหมือนเป็นการอัปเดตความปลอดภัยของ Kaspersky
มัลแวร์ ApolloShadow จะทำหน้าที่ถอดการป้องกันการเข้ารหัสของเบราว์เซอร์อย่างเงียบๆ ทำให้ข้อมูลทุกอย่างที่ส่งและรับผ่านเครื่องคอมพิวเตอร์เครื่องนั้นไม่ถูกเข้ารหัส ซึ่ง Sherrod DeGrippo ผู้อำนวยการฝ่ายกลยุทธ์ข่าวกรองด้านภัยคุกคามของ Microsoft อธิบายว่านี่คือวิธีที่สร้างสรรค์และตรวจจับได้ยากกว่าการใช้สปายแวร์เต็มรูปแบบ เพราะมันเป็นการเปลี่ยนการเฝ้าระวังแบบตั้งรับ (Passive Surveillance) ให้กลายเป็นการบุกรุกเชิงรุก (Active Intrusion)
การเชื่อมโยงกับระบบ SORM และความท้าทายในการป้องกัน
แม้รายละเอียดทางเทคนิคบางส่วนจะยังไม่ถูกเปิดเผย แต่ Microsoft คาดว่าปฏิบัติการนี้ใช้ระบบ SORM ซึ่งเป็นระบบดักฟังและเฝ้าระวังการสื่อสารของรัสเซียที่ FSB พัฒนาขึ้นมานานหลายทศวรรษ เพื่อใช้ในการควบคุมโครงสร้างพื้นฐานโทรคมนาคมภายในประเทศ
สิ่งที่น่ากังวลที่สุดคือ เทคนิคนี้ไม่ได้ใช้ช่องโหว่ของซอฟต์แวร์ (Zero-day vulnerability) แต่เป็นการควบคุมที่ระดับโครงสร้างพื้นฐานเครือข่าย ทำให้ไม่สามารถแก้ไขได้ด้วยการอัปเดตแพตช์ซอฟต์แวร์ทั่วไป
| หัวข้อ | รายละเอียด |
|---|---|
| กลุ่มผู้โจมตี | Turla (Snake / Secret Blizzard) สังกัด FSB รัสเซีย |
| เป้าหมาย | เจ้าหน้าที่สถานทูตต่างประเทศในกรุงมอสโก |
| เครื่องมือที่ใช้ | มัลแวร์ ApolloShadow (ปลอมเป็นอัปเดต Kaspersky) |
| วิธีการหลัก | ควบคุม ISP เพื่อ Redirect ผู้ใช้และปิดการเข้ารหัสข้อมูล |
| ระบบสนับสนุน | ระบบ SORM ของรัฐบาลรัสเซีย |
ข้อเท็จจริงสำคัญ
- การโจมตีระดับโครงสร้าง: Turla ใช้การควบคุม ISP เพื่อติดตั้งมัลแวร์ แทนการเจาะระบบผ่านซอฟต์แวร์
- เป้าหมายเฉพาะเจาะจง: มุ่งเน้นไปที่บุคคลสำคัญในสถานทูตและคณะทูตในรัสเซีย
- การปิดการเข้ารหัส: มัลแวร์ ApolloShadow ทำให้ข้อมูลที่เคยปลอดภัยกลายเป็นข้อความธรรมดา (Plaintext)
- ไม่มีแพตช์แก้ไข: เนื่องจากไม่ใช่การใช้ช่องโหว่ซอฟต์แวร์ การอัปเดตโปรแกรมจึงไม่สามารถป้องกันได้
คำแนะนำในการป้องกันตัว
สำหรับผู้ที่ต้องเดินทางหรือทำงานในประเทศที่มีโครงสร้างพื้นฐานการสื่อสารที่ไม่น่าเชื่อถือ Microsoft แนะนำแนวทางป้องกันดังนี้:
- ใช้ VPN (Virtual Private Network): เพื่อสร้างอุโมงค์เข้ารหัสข้อมูล ป้องกันไม่ให้ ISP สามารถมองเห็นหรือแก้ไขทราฟฟิกอินเทอร์เน็ตได้
- ใช้การเชื่อมต่อดาวเทียม: เพื่อหลีกเลี่ยงการใช้งานผ่าน ISP ในท้องถิ่นที่อาจถูกควบคุมโดยรัฐบาล
- เปิดใช้งาน MFA (Multifactor Authentication): การยืนยันตัวตนหลายขั้นตอนจะช่วยจำกัดการเข้าถึงของแฮกเกอร์ แม้ว่าพวกเขาจะได้รหัสผ่านไปก็ตาม
คำถามที่พบบ่อย
กลุ่ม Turla คือใครและมีความเชี่ยวชาญด้านใด?
Turla เป็นกลุ่มแฮกเกอร์ระดับรัฐของรัสเซียที่เชื่อว่าทำงานให้ FSB มีความเชี่ยวชาญสูงในการสร้างเครื่องมือจารกรรมที่ซับซ้อน เช่น การใช้เวิร์มผ่าน USB เพื่อเจาะระบบที่ไม่ได้เชื่อมต่ออินเทอร์เน็ต (Air-gapped systems) และการใช้โครงสร้างพื้นฐานเครือข่ายเพื่อฝังมัลแวร์
มัลแวร์ ApolloShadow ทำงานอย่างไร?
ApolloShadow จะหลอกให้ผู้ใช้ติดตั้งโดยปลอมเป็นตัวอัปเดตความปลอดภัย เมื่อติดตั้งแล้วมันจะเข้าไปปิดการทำงานของการเข้ารหัสในเบราว์เซอร์ ทำให้ข้อมูลทุกอย่างที่ผู้ใช้ส่งออกไปไม่ถูกเข้ารหัส และสามารถถูกดักอ่านได้โดยง่ายจากผู้ควบคุมเครือข่าย
ทำไมการอัปเดตซอฟต์แวร์ถึงป้องกันการโจมตีนี้ไม่ได้?
เพราะการโจมตีนี้ไม่ได้อาศัยช่องโหว่ (Bug) ของโปรแกรม แต่เป็นการควบคุมเส้นทางการเดินทางของข้อมูลที่ระดับ ISP ซึ่งเป็นโครงสร้างพื้นฐานของอินเทอร์เน็ต ดังนั้นการอัปเดตซอฟต์แวร์ในเครื่องจึงไม่สามารถหยุดการ Redirect ข้อมูลจากภายนอกได้
ใครคือกลุ่มเสี่ยงที่ควรระวังเทคนิคนี้?
บุคคลที่ทำงานในหน่วยงานรัฐบาล นักการทูต หรือผู้ที่ต้องเดินทางไปทำงานในประเทศที่มีระบบการเฝ้าระวังของรัฐอย่างเข้มงวด และต้องใช้งานอินเทอร์เน็ตผ่านผู้ให้บริการในท้องถิ่นที่อาจถูกแทรกแซงโดยหน่วยงานข่าวกรอง
