แรนซัมแวร์ Cuba เจาะระบบผ่านใบรับรองดิจิทัลของ Microsoft และบริษัทเทคโนโลยีชั้นนำ
ภัยคุกคามทางไซเบอร์รูปแบบใหม่กำลังสร้างความกังวลให้กับองค์กรทั่วโลก เมื่อกลุ่มแฮกเกอร์ที่เรียกตัวเองว่า Cuba ซึ่งผู้เชี่ยวชาญเชื่อว่ามีฐานปฏิบัติการอยู่ในรัสเซีย ได้ใช้วิธีการที่แยบยลในการหลบเลี่ยงระบบตรวจจับความปลอดภัย โดยการนำมัลแวร์ที่ได้รับ "การรับรอง" จาก Microsoft มาใช้ในการโจมตีธุรกิจและสถาบันต่างๆ ทั้งในสหรัฐอเมริกาและต่างประเทศ
กลยุทธ์หลักของกลุ่ม Cuba คือการใช้ Drivers (ซอฟต์แวร์ที่ช่วยให้ระบบปฏิบัติการสื่อสารกับฮาร์ดแวร์ได้) ที่มีการลงลายมือชื่อทางดิจิทัล (Cryptographically signed) เพื่อให้ระบบเชื่อว่าเป็นซอฟต์แวร์ที่ปลอดภัยและเชื่อถือได้ เมื่อแฮกเกอร์สามารถเจาะเข้าสู่ระบบเป้าหมายได้แล้ว พวกเขาจะใช้ไดรเวอร์เหล่านี้ในการปิดการทำงานของเครื่องมือสแกนความปลอดภัยและเปลี่ยนแปลงการตั้งค่าระบบ เพื่อเปิดทางให้การติดตั้งแรนซัมแวร์เป็นไปได้อย่างราบรื่นโดยไม่ถูกตรวจพบ
เบื้องหลังการปลอมแปลงความเชื่อถือ
จากการตรวจสอบของบริษัทความปลอดภัยอย่าง Sophos พบว่ากลุ่ม Cuba ไม่ได้ใช้เพียงใบรับรองของ Microsoft เท่านั้น แต่ยังมีการใช้ Kernel Driver (ไดรเวอร์ระดับลึกที่เข้าถึงส่วนสำคัญที่สุดของระบบปฏิบัติการ) ที่ลงลายมือชื่อด้วยใบรับรองของ NVIDIA ซึ่งถูกกลุ่มแฮกเกอร์ Lapsus$ ขโมยมาในช่วงต้นปี นอกจากนี้ Mandiant ยังตรวจพบการใช้ใบรับรองที่ถูกเจาะระบบจากบริษัทเทคโนโลยีของจีนอย่าง Zhuhai Liancheng Technology Co. อีกด้วย
ทางด้าน Microsoft ได้ออกประกาศเตือนว่า มีบัญชีผู้พัฒนาใน Microsoft Partner Center บางรายถูกนำไปใช้ในทางที่ผิด เพื่อส่งไดรเวอร์ที่เป็นอันตรายเข้ามาขอรับการรับรองผ่านโปรแกรม Windows Hardware Developer Program ทำให้มัลแวร์เหล่านั้นได้รับตราประทับความปลอดภัยจาก Microsoft และถูกนำไปใช้ในการบุกรุกระบบในขั้นตอนสุดท้าย
การตอบโต้และมาตรการแก้ไข
หลังจากได้รับแจ้งเหตุจาก Sophos, Mandiant และ SentinelOne เมื่อวันที่ 19 ตุลาคม Microsoft ได้ดำเนินการขั้นเด็ดขาดด้วยการระงับบัญชีผู้พัฒนาที่เกี่ยวข้องทั้งหมด พร้อมทั้งเพิกถอนใบรับรองดิจิทัลที่ถูกนำไปใช้ในทางที่ผิด และออกอัปเดตความปลอดภัยสำหรับ Windows เพื่อป้องกันเหตุการณ์ในลักษณะนี้ โดย Microsoft ยืนยันว่าเหตุการณ์นี้เป็นการนำบัญชีพาร์ทเนอร์ไปใช้ในทางที่ผิด ไม่ใช่การถูกเจาะระบบภายในของ Microsoft เอง
| หน่วยงาน/บริษัทที่ถูกแอบอ้าง | สิ่งที่ถูกนำไปใช้ | วัตถุประสงค์ของการโจมตี |
|---|---|---|
| Microsoft | ใบรับรองจาก Partner Center | ปิดกั้นเครื่องมือความปลอดภัยและติดตั้งแรนซัมแวร์ |
| NVIDIA | Kernel Driver (ใบรับรองที่รั่วไหล) | เข้าถึงสิทธิ์ระดับสูงในระบบปฏิบัติการ |
| Zhuhai Liancheng Technology | ใบรับรองดิจิทัลของบริษัท | สร้างความน่าเชื่อถือให้มัลแวร์หลบเลี่ยงการตรวจจับ |
| Samsung / LG | Platform Certificates (Android) | ลงนามแอปพลิเคชันอันตราย (Manuscrypt) |
ข้อเท็จจริงสำคัญ
- กลุ่ม Cuba ถูกระบุว่ามีความเชื่อมโยงกับรัสเซียและมุ่งเป้าโจมตีองค์กรในสหรัฐฯ และทั่วโลก
- Code Signing คือกระบวนการยืนยันว่าซอฟต์แวร์มาจากแหล่งที่เชื่อถือได้ แต่ปัจจุบันถูกแฮกเกอร์นำมาใช้เป็นเครื่องมือพรางตัว
- พบไดรเวอร์อันตรายทั้งหมด 10 รูปแบบ ซึ่งเป็นเวอร์ชันที่พัฒนาต่อยอดมาตั้งแต่เดือนกรกฎาคม
- มีการใช้บริการ Code Signing จากตลาดมืด ซึ่งเป็นธุรกิจที่ทำกำไรสูงในโลกอาชญากรรมไซเบอร์
- แฮกเกอร์เกาหลีเหนือถูกระบุว่าใช้เทคนิคคล้ายกันผ่านมัลแวร์ Manuscrypt เพื่อโจมตีแพลตฟอร์มคริปโตเคอร์เรนซี
คำถามที่พบบ่อย
การลงลายมือชื่อดิจิทัล (Code Signing) คืออะไร และทำไมถึงอันตรายเมื่อถูกแฮก?
คือกลไกการตรวจสอบว่าซอฟต์แวร์ได้รับการรับรองจากหน่วยงานที่เชื่อถือได้ (Certificate Authority) เพื่อให้ผู้ใช้มั่นใจว่าโปรแกรมไม่ได้ถูกแก้ไข เมื่อแฮกเกอร์ขโมยใบรับรองนี้ได้ มัลแวร์จะดูเหมือนซอฟต์แวร์ถูกกฎหมาย ทำให้ระบบป้องกันความปลอดภัยยอมให้ทำงานโดยไม่แจ้งเตือน
กลุ่ม Cuba ใช้วิธีใดในการหลบเลี่ยงการตรวจจับของแอนตี้ไวรัส?
กลุ่มนี้ใช้ไดรเวอร์ที่ได้รับใบรับรองจาก Microsoft และบริษัทชั้นนำ เพื่อเข้าไปปิดการทำงานของระบบ Endpoint Detection and Response (EDR) หรือเครื่องมือสแกนความปลอดภัย ทำให้สามารถรันแรนซัมแวร์ได้โดยไม่ถูกขัดขวาง
Microsoft ได้ดำเนินการอย่างไรเพื่อแก้ไขปัญหานี้?
Microsoft ได้ระงับบัญชีผู้พัฒนาที่ทุจริต เพิกถอนใบรับรองดิจิทัลที่ถูกนำไปใช้ในทางที่ผิด และออกแพตช์อัปเดตความปลอดภัยให้กับผู้ใช้ Windows เพื่อป้องกันการโจมตีผ่านไดรเวอร์เหล่านี้
นอกจากกลุ่ม Cuba มีกลุ่มอื่นที่ใช้เทคนิคนี้อีกหรือไม่?
มีรายงานว่าแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือได้ใช้ใบรับรองของ Android จากผู้ผลิตอย่าง Samsung และ LG เพื่อลงนามในมัลแวร์ Manuscrypt สำหรับโจมตีตลาดแลกเปลี่ยนคริปโตเคอร์เรนซี
