กลุ่ม Lazarus ใช้ช่องโหว่ Windows Zero-Day ในกลโกงงานปลอม

กลุ่ม Lazarus ของเกาหลีเหนือโจมตีอีกครั้ง คราวนี้ผสมผสานหนึ่งในกลเม็ดที่เก่าแก่ที่สุดเข้ากับหนึ่งในเครื่องมือใหม่ล่าสุดของตน ตามรายงานใหม่ กลุ่มแฮกเกอร์ที่รัฐให้การสนับสนุนใช้ข้อเสนองานปลอมร่วมกับช่องโหว่ Windows zero-day ที่ไม่เคยเป็นที่รู้จักมาก่อนเพื่อเจาะระบบองค์กรด้านกลาโหมและอวกาศ แคมเปญนี้คือบทใหม่ของปฏิบัติการ Dream Job ความพยายามจารกรรมที่ดำเนินมานานและรบกวนภาคกลาโหมมาหลายปี แต่ระลอกล่าสุดนี้แสดงให้เห็นว่ากลุ่มนี้ยอมใช้เอ็กซ์พลอยต์มีค่าที่ยังไม่เปิดเผยเพื่อให้ได้สิ่งที่ต้องการ

กลโกงงานปลอมทำงานอย่างไร

การโจมตีนี้มีรูปแบบที่คุ้นเคยสำหรับผู้ที่เคยติดตามกิจกรรมของ Lazarus มาก่อน คนร้ายปลอมตัวเป็นผู้สรรหาบุคลากรติดต่อพนักงานในบริษัทด้านกลาโหมหรืออวกาศ พร้อมยื่นข้อเสนองานที่บริษัทซึ่งเป้าหมายรู้จัก แนวทางนี้ดูน่าเชื่อถือเพราะเลียนแบบการติดต่อรับสมัครงานจริง ทั้งข้อความแบบมืออาชีพ ตำแหน่งที่ฟังดูเป็นไปได้ และรายละเอียดมากพอที่จะไม่ทำให้เกิดความสงสัยในทันที

นี่ไม่ใช่กลยุทธ์ใหม่ ดังที่เราเคยกล่าวถึงในบทความก่อนหน้า ปฏิบัติการ Dream Job โจมตีบริษัทด้านกลาโหมและอวกาศ ผู้โจมตีใช้เวลาหลายปีปรับแต่งเหยื่อล่อเหล่านี้เพื่อให้โอกาสงานปลอมดูเหมือนจริง สิ่งที่ทำให้แคมเปญล่าสุดนี้แตกต่างคือเพย์โหลดที่รออยู่ปลายทางของบทสนทนา เมื่อเป้าหมายตอบรับ ผู้โจมตีจะส่งไฟล์หรือลิงก์ที่ใช้ประโยชน์จากช่องโหว่ Windows zero-day ซึ่งเป็นข้อบกพร่องที่ Microsoft ยังไม่รู้จักและยังไม่มีแพตช์ในช่วงเวลาที่ถูกโจมตี นั่นหมายความว่าซอฟต์แวร์ความปลอดภัยทั่วไปไม่มีลายเซ็นที่จะตรวจจับได้ และระบบของเป้าหมายอาจถูกโจมตีโดยไม่มีสัญญาณเตือนที่ชัดเจน

มุมมองช่องโหว่ Windows Zero-Day

ช่องโหว่ zero-day มีคุณค่าอย่างมากเพราะไม่มีใครรู้จัก ผู้โจมตีที่ครอบครองช่องโหว่นี้สามารถข้ามการป้องกันที่ถูกแพตช์แล้วซึ่งปกติจะหยุดเอ็กซ์พลอยต์ที่รู้จักได้ การที่ Lazarus ใช้ zero-day ในครั้งนี้บ่งชี้ถึงระดับทรัพยากรและความซับซ้อนทางเทคนิคที่สอดคล้องกับการหนุนหลังโดยรัฐ และสะท้อนรูปแบบที่นักวิจัยด้านความปลอดภัยเคยเห็นมาก่อน เมื่อปีที่แล้ว Microsoft ต้องแพตช์ช่องโหว่ Windows zero-day อีกตัวที่ถูกใช้ในสถานการณ์จริงเพื่อติดตั้งมัลแวร์ที่เชื่อมโยงกับ Lazarus ตามรายละเอียดในบทความ แพตช์ของ Microsoft สำหรับช่องโหว่รูทคิทที่เชื่อมโยงกับ Lazarus ไม่ว่าช่องโหว่ใหม่นี้จะถูกแพตช์แล้วหรือยัง บทเรียนพื้นฐานก็เหมือนเดิม การพึ่งพาวงรอบอัปเดตรายเดือนของ Microsoft เพียงอย่างเดียวทำให้เกิดช่วงเวลาที่เปิดช่องโหว่ซึ่งผู้โจมตีที่มุ่งมั่นพร้อมจะฉวยใช้

เหตุใดเรื่องนี้จึงสำคัญมากกว่าแค่ผู้รับเหมาด้านกลาโหม

เป็นเรื่องง่ายที่จะมองว่านี่เป็นเรื่องที่กระทบเฉพาะคนทำงานด้านกลาโหมและอวกาศ แต่ผลกระทบด้านความเป็นส่วนตัวนั้นกว้างไกลกว่านั้น Lazarus มุ่งเป้าไปที่ตัวบุคคล ไม่ใช่แค่สถาบัน พนักงานที่ได้รับข้อเสนองานปลอมมักถูกเลือกเพราะสิทธิ์การเข้าถึง ผู้ติดต่อ หรือข้อมูลละเอียดอ่อนบนอุปกรณ์ของพวกเขา ไม่ใช่เพราะพวกเขาทำอะไรผิด เมื่อถูกโจมตีแล้ว แล็ปท็อปเพียงเครื่องเดียวก็อาจกลายเป็นช่องทางเข้าสู่เครือข่ายที่กว้างขึ้น เปิดเผยการสื่อสารส่วนบุคคล ข้อมูลประจำตัว และข้อมูลที่อาจเป็นชั้นความลับหรือข้อมูลกรรมสิทธิ์

แคมเปญนี้ยังตอกย้ำแนวโน้มที่กว้างขึ้นว่า วิศวกรรมสังคมยังคงเป็นหนึ่งในวิธีที่มีประสิทธิภาพที่สุดในการเลี่ยงผ่านโครงสร้างพื้นฐานด้านความปลอดภัยที่แม้มีงบประมาณสูงก็ตาม ไม่มีไฟร์วอลล์หรือเครื่องมือป้องกันปลายทางใดชดเชยข้อความที่โน้มน้าวใจจนทำให้คนเปิดไฟล์ได้อย่างสมบูรณ์ zero-day ทำให้การโจมตีครั้งนี้อันตรายยิ่งขึ้น แต่จุดเริ่มต้นแรกก็คือความไว้เนื้อเชื่อใจของมนุษย์เช่นเคย

สิ่งนี้มีความหมายต่อคุณอย่างไร

ผู้อ่านส่วนใหญ่จะไม่มีวันได้รับข้อความฟิชชิงจาก Lazarus แต่กลยุทธ์ที่ใช้ในที่นี้ก็พบได้บ่อยขึ้นเรื่อย ๆ ในกลุ่มสแกมที่ซับซ้อนน้อยกว่าด้วย ผู้สรรหาปลอม สแกมงาน และไฟล์แนบอันตรายที่ปลอมเป็นจดหมายเสนองานหรือแบบทดสอบเขียนโค้ดกลายเป็นเรื่องปกติบนแพลตฟอร์มอย่าง LinkedIn และอีเมล หากคุณทำงานในอุตสาหกรรมที่ละเอียดอ่อน ด้านกลาโหม อวกาศ เทคโนโลยี หรืองานวิจัย จงปฏิบัติต่อการติดต่อเสนองานที่ไม่ได้ร้องขอด้วยความระแวงสงสัยเช่นเดียวกับที่คุณมีต่อใบแจ้งหนี้ที่น่าสงสัยหรือประกาศรางวัลที่ดูดีเกินจริง

นอกเหนือจากความระมัดระวังส่วนบุคคล เหตุการณ์นี้ยังเตือนใจว่าการอัปเดตระบบปฏิบัติการและซอฟต์แวร์ความปลอดภัยให้ทันสมัยอยู่เสมอนั้นสำคัญ แม้ตามนิยามแล้ว zero-day จะไม่สามารถแพตช์ล่วงหน้าได้ก็ตาม เมื่อช่องโหว่แบบนี้ถูกเปิดเผยต่อสาธารณะ ผู้จำหน่ายมักรีบออกแพตช์แก้ไข และการเลื่อนอัปเดตนั้นจะทำให้คุณเสี่ยงต่อผู้โจมตีที่ย้อนวิศวกรรมหาข้อบกพร่องจากตัวแพตช์เอง

ข้อปฏิบัติที่นำไปใช้ได้

ตรวจสอบการติดต่อจากผู้สรรหาอย่างเป็นอิสระก่อนคลิกลิงก์หรือดาวน์โหลดไฟล์แนบ โดยหลักการแล้วให้ติดต่อบริษัทโดยตรงผ่านช่องทางอย่างเป็นทางการ หลีกเลี่ยงการเปิดไฟล์ที่ไม่คาดคิด แม้จะดูเหมือนเป็นรายละเอียดงานหรือแบบทดสอบประเมิน โดยไม่สแกนก่อน อัปเดต Windows และซอฟต์แวร์ทั้งหมดทันทีที่แพตช์ออกมา เนื่องจาก zero-day มักถูกนำไปใช้โจมตีในวงกว้างอย่างรวดเร็วเมื่อรายละเอียดรั่วไหล และหากคุณทำงานในภาคส่วนที่มีมูลค่าสูง เช่น กลาโหมหรืออวกาศ ให้รายงานข้อเสนองานที่น่าสงสัยต่อทีมความปลอดภัยขององค์กรแทนที่จะจัดการด้วยตัวเอง ข้อเสนองานปลอมและเอ็กซ์พลอยต์ Windows zero-day ของ Lazarus แสดงให้เห็นว่าแม้แต่มืออาชีพที่มีประสบการณ์ก็อาจตกเป็นเป้าด้วยเหยื่อล่อที่โน้มน้าวใจได้ แต่ความระแวงสงสัยในระดับพอเหมาะและสุขอนามัยด้านความปลอดภัยที่ดียังคงเป็นการป้องกันที่ดีที่สุดของคุณ