ชุดเครื่องมือโจมตีใหม่แพร่กระจายอย่างรวดเร็วในกลุ่มจารกรรม
นักวิจัยด้านความปลอดภัยได้ระบุชุดเครื่องมือโจมตีที่ไม่เคยมีเอกสารบันทึกมาก่อน ชื่อ BlueMoon ซึ่งเชื่อมโยงช่องโหว่ zero-day สองรายการใน Chrome V8 เข้ากับช่องโหว่ Windows เพื่อโจมตีเป้าหมายผ่านแคมเปญฟิชชิ่ง สิ่งที่ทำให้การค้นพบนี้น่าสนใจไม่ใช่เพียงความซับซ้อนทางเทคนิคของห่วงโซ่การโจมตี แต่คือความรวดเร็วในการแพร่กระจาย อย่างน้อยสี่กลุ่มภัยคุกคามที่ขับเคลื่อนด้วยจุดประสงค์ด้านจารกรรม ซึ่งรวมถึงกลุ่มที่ติดตามในชื่อ APT31 ถูกพบว่าใช้ชุดเครื่องมือเดียวกันภายในเวลาประมาณหนึ่งสัปดาห์หลังจากกันและกัน
การนำไปใช้แบบขนานอย่างรวดเร็วในปฏิบัติการจารกรรมที่แยกจากกันเช่นนี้เป็นเรื่องผิดปกติ กลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐมักหวงแหนเครื่องมือที่มีค่าที่สุดของตนอย่างใกล้ชิด เนื่องจากการนำกลับมาใช้ซ้ำจะเพิ่มความเสี่ยงในการตรวจจับและระบุตัวตน การที่หลายกลุ่มถูกจับได้ว่าใช้โค้ดโจมตีที่เหมือนกันในช่วงเวลาที่กระชับเช่นนี้ บ่งชี้ว่าอาจมีผู้จัดจำหน่ายเครื่องมือโจมตีร่วมกัน หรือมีการรั่วไหลที่หลายกลุ่มรีบฉวยโอกาสใช้
ห่วงโซ่ BlueMoon ทำงานอย่างไร
BlueMoon รวมช่องโหว่ zero-day สองรายการใน V8 JavaScript engine ของ Chrome ซึ่งเป็นส่วนประกอบที่รับผิดชอบการรันโค้ดบนหน้าเว็บ เข้ากับช่องโหว่อีกหนึ่งรายการใน Windows ตามข้อมูลของนักวิจัยที่ระบุกิจกรรมนี้ ห่วงโซ่นี้ถูกส่งผ่านอีเมลฟิชชิ่งที่ออกแบบมาเพื่อล่อเป้าหมายให้เข้าไปยังหน้าเว็บอันตราย เมื่อเบราว์เซอร์ของเหยื่อโหลดหน้านั้น ช่องโหว่ Chrome จะเปิดทางให้ผู้โจมตีรันโค้ดภายในเบราว์เซอร์ จากนั้นช่องโหว่ Windows จะถูกใช้เพื่อยกระดับสิทธิ์และหลุดออกจากแซนด์บ็อกซ์ความปลอดภัยของเบราว์เซอร์ ทำให้ผู้โจมตีเข้าถึงเครื่องที่ถูกโจมตีได้ลึกขึ้น
แนวทางสองขั้นตอนนี้ คือการโจมตีเบราว์เซอร์ตามด้วยการยกระดับสิทธิ์ของระบบปฏิบัติการ เป็นลักษณะเด่นของเครื่องมือจารกรรมระดับสูง ซึ่งไม่ต้องอาศัยการกระทำใดจากเหยื่อนอกจากการคลิกลิงก์ นี่คือเหตุผลที่ฟิชชิ่งยังคงเป็นกลไกการส่งมอบที่มีประสิทธิภาพแม้ต่อองค์กรที่มีการป้องกันดี
ทำไมสี่กลุ่มจึงใช้เครื่องมือเดียวกัน
ความทับซ้อนระหว่าง APT31 กับกลุ่มอื่นที่ใช้ BlueMoon ชี้ให้เห็นแนวโน้มที่กว้างขึ้นในโลกแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐ นั่นคือการรวมศูนย์การพัฒนาช่องโหว่มากขึ้น แทนที่แต่ละกลุ่มจะสร้างห่วงโซ่ zero-day ของตัวเองตั้งแต่ต้น หลักฐานบ่งชี้ว่าปฏิบัติการจารกรรมบางแห่งในปัจจุบันจัดหาชุดเครื่องมือโจมตีจากผู้จัดจำหน่ายหรือผู้รับเหมาร่วมกัน แล้วนำไปใช้อย่างอิสระต่อรายชื่อเป้าหมายของตนเอง ซึ่งสะท้อนรูปแบบที่เห็นในอุตสาหกรรมสปายแวร์เชิงพาณิชย์ ที่นายหน้าขายช่องโหว่รายเดียวสามารถจัดหาให้ลูกค้ารัฐบาลหลายรายพร้อมกัน
ปัจจัยสำคัญที่ทำให้การโจมตีแบบนี้เป็นไปได้คือสิ่งที่เรียกว่า patch gap ซึ่งหมายถึงช่วงเวลาระหว่างเมื่อช่องโหว่ได้รับการแก้ไขในโค้ด Chromium โอเพนซอร์สที่เป็นรากฐานของ Chrome และเบราว์เซอร์อื่น กับเมื่อการแก้ไขนั้นไปถึงผู้ใช้ปลายทางจริงผ่านการอัปเดต ผู้โจมตีที่เฝ้าติดตามการเปลี่ยนแปลงโค้ดสาธารณะของ Chromium บางครั้งสามารถวิศวกรรมย้อนกลับเพื่อสร้างโค้ดโจมตีที่ใช้งานได้สำหรับช่องโหว่ต้นทางก่อนที่ผู้ใช้ส่วนใหญ่จะติดตั้งแพตช์ ทำให้ได้โอกาสแคบแต่มีค่าในการโจมตี
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
คนส่วนใหญ่ไม่ใช่เป้าหมายโดยตรงของแคมเปญจารกรรมระดับรัฐเช่นนี้ ซึ่งดูเหมือนมุ่งเน้นไปที่องค์กรและบุคคลเฉพาะที่มีคุณค่าทางข่าวกรอง แต่เทคนิคพื้นฐาน คือการส่งมอบผ่านฟิชชิ่งและการใช้ประโยชน์จากช่องโหว่เบราว์เซอร์ที่ยังไม่ได้แพตช์อย่างรวดเร็ว เป็นกลยุทธ์เดียวกันที่ท้ายที่สุดจะไหลลงสู่โลกอาชญากรรมไซเบอร์ในวงกว้าง ห่วงโซ่ zero-day ที่เริ่มต้นในปฏิบัติการจารกรรมแบบเจาะจงเป้าหมายมักถูกนำไปใช้ซ้ำหรือคัดลอกโดยผู้โจมตีที่มีความซับซ้อนน้อยกว่าเมื่อรายละเอียดเปิดเผยต่อสาธารณะ
สิ่งที่ควรตระหนักในทันทีคือการเตือนความจำว่าความปลอดภัยในชีวิตประจำวันของคุณพึ่งพาการอัปเดตซอฟต์แวร์ให้เป็นปัจจุบันมากเพียงใด ผู้พัฒนาเบราว์เซอร์ผลักดันแพตช์สำหรับช่องโหว่ที่ถูกโจมตีจริงออกโดยเร็วที่สุดเท่าที่ทำได้ แต่การป้องกันนั้นจะได้ผลก็ต่อเมื่อคุณติดตั้งการอัปเดตจริง zero-day ที่ค้างอยู่ในเครื่องของคุณโดยไม่ได้แพตช์แม้เพียงไม่กี่วันก็เป็นโอกาสจริงสำหรับผู้โจมตี ดังที่กรณีนี้แสดงให้เห็น
เหตุการณ์นี้ยังสอดคล้องกับรูปแบบที่กว้างขึ้นของเครื่องมือที่สามารถสอดส่องซึ่งกำลังถูกตรวจสอบจากนักปกป้องความเป็นส่วนตัวและหน่วยงานกำกับดูแล เช่นเดียวกับความกังวลที่เพิ่มขึ้นเกี่ยวกับอุปกรณ์ผู้บริโภคที่มีกล้องในตัวและเซ็นเซอร์ที่เปิดตลอดเวลา กรณีอย่างการตั้งข้อหาอาญากรรมของเยอรมนีต่อ Meta เกี่ยวกับแว่นอัจฉริยะที่มีกล้อง แสดงให้เห็นว่าทั้งรัฐบาลและบริษัทเอกชนกำลังถูกกดดันให้รับผิดชอบต่อวิธีการนำเทคโนโลยีที่ใกล้เคียงกับการสอดส่องไปใช้ และใช้กับใคร
ขั้นตอนปฏิบัติเพื่อปกป้องตัวเอง
แม้ BlueMoon ถูกสร้างขึ้นสำหรับเป้าหมายจารกรรมที่มีคุณค่าสูง แต่หลักการป้องกันพื้นฐานใช้ได้กับทุกคน ตั้งค่าเบราว์เซอร์ให้อัปเดตอัตโนมัติแทนการอัปเดตด้วยตนเอง เนื่องจาก Chrome และเบราว์เซอร์ที่ใช้ Chromium อื่นๆ มักออกแพตช์ฉุกเฉินสำหรับช่องโหว่ที่ถูกโจมตีจริงบ่อยครั้ง อัปเดต Windows ให้เป็นปัจจุบันเช่นกัน เนื่องจากห่วงโซ่การโจมตีนี้พึ่งพาช่องโหว่ Windows เพื่อทำให้การโจมตีสมบูรณ์ ระวังลิงก์ที่ไม่คาดคิดในอีเมล แม้จะดูเหมือนมาจากผู้ติดต่อที่รู้จัก เนื่องจากฟิชชิ่งยังคงเป็นจุดเข้าของห่วงโซ่การโจมตีทั้งหมดนี้ องค์กรที่จัดการข้อมูลอ่อนไหวควรพิจารณาเครื่องมือแยกเบราว์เซอร์และระบบตรวจจับปลายทางที่สามารถจับความพยายามยกระดับสิทธิ์ได้แม้หลังจากถูกโจมตีเบื้องต้นแล้ว
การค้นพบ BlueMoon เป็นเครื่องเตือนใจที่มีประโยชน์ว่าช่องว่างระหว่างการแพตช์ช่องโหว่ต้นทางกับการที่แพตช์นั้นไปถึงอุปกรณ์ของคุณคือจุดที่ผู้โจมตีเจริญงอกงาม การอัปเดตให้เป็นปัจจุบันยังคงเป็นการป้องกันที่ง่ายที่สุดและมีประสิทธิภาพที่สุดอย่างหนึ่งที่มีอยู่
