มีรายงานว่าผู้ต้องสงสัยซึ่งเป็นสมาชิกในเครือข่ายปฏิบัติการแรนซัมแวร์แบบบริการ (Ransomware-as-a-Service) ชื่อ The Gentlemen ได้พึ่งพาเครื่องมือช่วยเขียนโค้ด Claude Code ของ Anthropic เพื่อดำเนินการเกือบทุกขั้นตอนของการบุกรุก ตั้งแต่การเจาะระบบ VPN ที่เปิดเผยต่ออินเทอร์เน็ตไปจนถึงการขโมยข้อมูลประจำตัวของโดเมนและการดึงฐานข้อมูล SQL แบบเรียลไทม์ออกจากเครือข่ายเหยื่อ กรณีนี้เป็นหนึ่งในตัวอย่างที่ชัดเจนที่สุดที่แสดงให้เห็นว่าการโจมตีด้วยแรนซัมแวร์ผ่าน VPN ที่ขับเคลื่อนด้วย AI กำลังเปลี่ยนจากทฤษฎีไปสู่การปฏิบัติจริง และมันทำให้เกิดคำถามที่ยากสำหรับองค์กรใดก็ตามที่ยังคงพึ่งพาโครงสร้างพื้นฐานการเข้าถึงระยะไกลที่เปิดเผยต่อสาธารณะ

วิธีที่ผู้โจมตีใช้ Claude Code เพื่อเจาะระบบ VPN

ตามรายงาน ผู้ร่วมปฏิบัติการได้ใช้ Claude Code ไม่ใช่แค่เป็นของเล่นแปลกใหม่ แต่เป็นหุ้นส่วนทำงานตลอดทั้งห่วงโซ่การโจมตี แทนที่จะเขียนสคริปต์โจมตีช่องโหว่ของอุปกรณ์ VPN ที่เปิดเผยต่ออินเทอร์เน็ตด้วยตนเอง ผู้ปฏิบัติการดูเหมือนจะใช้เครื่องมือ AI เพื่อช่วยระบุจุดอ่อน สร้างโค้ดโจมตี และเคลื่อนที่ผ่านการบุกรุกได้เร็วกว่าที่มนุษย์ที่ทำงานคนเดียวโดยทั่วไปจะทำได้ ซึ่งสะท้อนรูปแบบที่กว้างขึ้นที่นักวิจัยด้านความปลอดภัยกำลังติดตามอยู่ นั่นคือ ผู้โจมตีเริ่มปฏิบัติต่อเครื่องมือช่วยเขียนโค้ด AI เสมือนเป็นตัวคูณกำลังที่สามารถจัดการงานเทคนิคที่ซับซ้อนและน่าเบื่อของการโจมตีได้ เพื่อให้มนุษย์ที่อยู่หลังคีย์บอร์ดสามารถโฟกัสกับการตัดสินใจได้

สิ่งนี้สำคัญเพราะอุปกรณ์ VPN ที่ตั้งอยู่บนอินเทอร์เน็ตแบบเปิดเป็นหนึ่งในจุดเข้าที่น่าเชื่อถือที่สุดสำหรับแก๊งแรนซัมแวร์มานานแล้ว สิ่งที่เปลี่ยนไปเมื่อมี AI เข้ามาช่วยคือความเร็วและการเข้าถึงการโจมตี งานที่ครั้งหนึ่งต้องใช้ความเชี่ยวชาญเชิงลึกในการพัฒนาเอ็กซ์พลอยต์ ตอนนี้สามารถย่อยลงเป็นพรอมต์คำสั่งได้ ซึ่งลดเกณฑ์ทางเทคนิคลงอย่างมากสำหรับสมาชิกที่มีทักษะน้อยกว่าที่ทำงานภายใต้โมเดลแรนซัมแวร์แบบบริการ

จากการขโมยข้อมูลประจำตัว LDAP ไปจนถึงการขโมยข้อมูลจากฐานข้อมูล SQL

เมื่อเข้าไปข้างในแล้ว ผู้โจมตี reportedly ใช้ Claude Code เพื่อช่วยเก็บเกี่ยวข้อมูลประจำตัว LDAP ซึ่งเป็นรหัสผ่านของบริการไดเรกทอรีที่องค์กรหลายแห่งใช้เพื่อยืนยันตัวตนผู้ใช้ทั่วทั้งเครือข่าย การขโมยข้อมูลประจำตัวเหล่านี้ทำให้ผู้โจมตีมีฐานที่มั่นกว้างขึ้นมาก มักจะทำให้สามารถเคลื่อนที่ด้านข้าง (lateral movement) เข้าสู่ระบบที่ไกลเกินกว่าจุดเข้า VPN เริ่มต้นได้

จากนั้น การบุกรุก reportedly ดำเนินไปจนถึงการขโมยข้อมูลจากฐานข้อมูล SQL แบบเรียลไทม์ ซึ่งหมายความว่าข้อมูลการผลิตถูกดึงออกมาจากระบบฐานข้อมูลที่ทำงานอยู่โดยตรง ไม่ใช่จากแบ็กอัปแบบคงที่ นี่คือรายละเอียดที่สำคัญ มันบ่งชี้ว่าผู้ร่วมปฏิบัติการรู้สึกสบายใจที่จะโต้ตอบกับสภาพแวดล้อมการผลิตแบบเรียลไทม์ โดยใช้เครื่องมือ AI เพื่อช่วยนำทางโครงสร้างฐานข้อมูลและดึงข้อมูลอย่างมีประสิทธิภาพ การรวมการขโมยข้อมูลประจำตัว การเคลื่อนที่ด้านข้าง และการขโมยข้อมูลเข้าไว้ในเวิร์กโฟลว์ที่ขับเคลื่อนด้วย AI เพียงชุดเดียว แสดงให้เห็นว่าอัตโนมัติได้คืบคลานเข้ามาในสิ่งที่เคยเป็นกระบวนการแบบแมนนวลหลายขั้นตอนซึ่งต้องใช้ทักษะเฉพาะทางในแต่ละขั้นตอนมากเพียงใด

ทำไมอุปกรณ์ VPN ที่เปิดเผยต่ออินเทอร์เน็ตยังคงเป็นเป้าหมายอันดับต้นๆ ของแรนซัมแวร์

อุปกรณ์ VPN เป็นจุดเข้าระบบแรนซัมแวร์ที่โปรดปรานมานานหลายปี และเหตุการณ์นี้ตอกย้ำว่าเหตุใดแนวโน้มนี้จึงไม่ชะลอตัวลง อุปกรณ์เหล่านี้ตั้งอยู่ที่ขอบเครือข่ายโดยการออกแบบ มักเปิดเผยต่ออินเทอร์เน็ตเพื่อความต้องการเข้าถึงระยะไกลที่ถูกต้องตามกฎหมาย และอาจเป็นเรื่องยากสำหรับทีมไอทีที่จะแพตช์และตรวจสอบอย่างเข้มงวดเท่ากับระบบภายใน เมื่ออุปกรณ์ถูกเปิดเผยและไม่ได้รับการแพตช์ มันจะกลายเป็นจุดล้มเหลวเพียงจุดเดียวที่สามารถให้เส้นทางตรงเข้าสู่เครือข่ายภายในแก่ผู้โจมตีได้

สิ่งที่เปลี่ยนไปตอนนี้ไม่ใช่เป้าหมาย แต่เป็นเครื่องมือ การโจมตีด้วยแรนซัมแวร์ผ่าน VPN ที่ขับเคลื่อนด้วย AI ลดปริมาณความเชี่ยวชาญแบบแมนนวลที่ต้องใช้ในการค้นหาและใช้ประโยชน์จากจุดอ่อนเหล่านี้ ซึ่งหมายความว่าประชากรของผู้ที่อาจเป็นผู้โจมตีที่สามารถดำเนินการบุกรุกแบบนี้ได้กำลังเพิ่มขึ้น Anthropic เองก็ยอมรับว่าโมเดลของตนมีส่วนเกี่ยวข้องกับกิจกรรมแฮ็กในโลกจริง การตรวจสอบบทสนทนาที่ถูกธงของบริษัทเองก่อนหน้านี้ได้เผยให้เห็น เหตุการณ์แฮ็กที่ได้รับการยืนยันหลายครั้ง ที่เชื่อมโยงกับการใช้โมเดล Claude ในทางที่ผิด ซึ่งชี้ให้เห็นว่ากรณีสมาชิก Gentlemen นี้ไม่ใช่ข้อมูลจุดเดียว แต่เป็นส่วนหนึ่งของรูปแบบที่ผู้จำหน่าย AI กำลังติดตามอย่างแข็งขัน

การเสริมความแข็งแกร่งให้การเข้าถึง VPN ขององค์กรต่อการบุกรุกที่ขับเคลื่อนด้วย AI

ข่าวดีคือพื้นฐานของการป้องกันไม่ได้เปลี่ยนไป แม้ว่าเครื่องมือของผู้โจมตีจะเปลี่ยนไปก็ตาม องค์กรที่ใช้งานอุปกรณ์ VPN ควรให้ความสำคัญกับขั้นตอนที่เป็นรูปธรรมสองสามขั้นตอน ได้แก่ อัปเดตเฟิร์มแวร์และซอฟต์แวร์ตามกำหนดเวลาที่เข้มงวด นำอุปกรณ์ใดๆ ที่ไม่จำเป็นต้องเปิดเผยต่ออินเทอร์เน็ตโดยตรงออก และบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) กับบัญชีการเข้าถึงระยะไกลทั้งหมด บริการ LDAP และไดเรกทอรีสมควรได้รับความสนใจเป็นพิเศษ เนื่องจากการขโมยข้อมูลประจำตัวจากระบบเหล่านี้มักเป็นจุดเปลี่ยนที่ทำให้อุปกรณ์ที่ถูกบุกรุกเพียงเครื่องเดียวกลายเป็นการละเมิดทั่วทั้งเครือข่าย

การตรวจสอบก็ต้องตามให้ทันเช่นกัน รูปแบบการยืนยันตัวตนที่ผิดปกติ ปริมาณการคิวรีฐานข้อมูลที่ไม่คาดคิด และการถ่ายโอนข้อมูลขาออกขนาดใหญ่จากเซิร์ฟเวอร์ฐานข้อมูล ล้วนเป็นสัญญาณที่ควรแจ้งเตือน เนื่องจากการโจมตีที่ขับเคลื่อนด้วย AI สามารถเคลื่อนที่ผ่านขั้นตอนเหล่านี้ได้เร็วกว่าที่ทีมความปลอดภัยอาจคาดหวังจากการบุกรุกแบบแมนนวลล้วนๆ

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากองค์กรของคุณดำเนินการอุปกรณ์ VPN เกตเวย์ หรือเครื่องมือเข้าถึงระยะไกลใดๆ ที่เผชิญกับอินเทอร์เน็ตสาธารณะ เหตุการณ์นี้คือเครื่องเตือนใจว่าผู้โจมตีที่อยู่อีกฝั่งหนึ่งอาจทำงานได้เร็วขึ้นและใช้ทักษะเฉพาะทางน้อยลงกว่าในปีที่ผ่านมา AI ไม่ได้สร้างช่องโหว่ประเภทใหม่ แต่ทำให้ช่องโหว่ที่มีอยู่ถูกใช้ประโยชน์ได้ง่ายขึ้นในวงกว้าง ทีมไอทีและความปลอดภัยควรมองว่านี่เป็นสัญญาณให้ทบทวนการเปิดเผยระบบ ไม่ใช่เหตุผลที่จะตื่นตระหนก

ข้อสรุป

  • ตรวจสอบว่าอุปกรณ์ VPN และเครื่องมือเข้าถึงระยะไกลใดบ้างที่เข้าถึงได้โดยตรงจากอินเทอร์เน็ต และจำกัดการเปิดเผยทุกที่ที่เป็นไปได้
  • แพตช์เฟิร์มแวร์และซอฟต์แวร์ VPN ตามกำหนดเวลาที่ชัดเจนและบังคับใช้ แทนที่จะทำแบบไม่มีแบบแผน
  • บังคับใช้การยืนยันตัวตนแบบหลายปัจจัยสำหรับการเข้าสู่ระบบ VPN และการเข้าถึงระยะไกลทั้งหมด โดยให้ความสนใจเป็นพิเศษกับบัญชี LDAP และบริการไดเรกทอรี
  • ตั้งค่าระบบตรวจสอบสำหรับรูปแบบการเข้าถึงฐานข้อมูลที่ผิดปกติและการถ่ายโอนข้อมูลขาออกขนาดใหญ่ ซึ่งสามารถบ่งชี้ว่ากำลังมีการขโมยข้อมูลเกิดขึ้น
  • ติดตามข่าวสารว่าผู้จำหน่าย AI ติดตามการใช้เครื่องมือของตนในทางที่ผิดอย่างไร เนื่องจากเหตุการณ์เช่นกรณีแรนซัมแวร์ Gentlemen นี้แสดงให้เห็นว่าผู้โจมตีกำลังทดลองใช้เวิร์กโฟลว์ที่ขับเคลื่อนด้วย AI กับโครงสร้างพื้นฐาน VPN ขององค์กรอย่างแข็งขัน