Proofpoint: กลุ่มแฮกเกอร์จีนแข่งกันใช้ประโยชน์จาก Zero-Day

กลุ่มแฮกเกอร์จีนหลายกลุ่มแห่ใช้ Zero-Day Chain ชุดเดียวกัน

รายงานใหม่จากบริษัทด้านความปลอดภัย Proofpoint ระบุพบกลุ่มภัยคุกคามที่เกี่ยวข้องกับจีนหลายกลุ่มใช้ประโยชน์จากช่องโหว่ Zero-Day ชุดเดียวกันเพื่อเจาะระบบองค์กรอย่างเป็นอิสระต่อกัน ตามข้อมูลของ Proofpoint การใช้ประโยชน์เริ่มขึ้นอย่างรวดเร็วหลังค้นพบช่องโหว่ และบริษัทระบุว่ากิจกรรมนี้ยังคงดำเนินอยู่และคาดว่าจะขยายวงกว้างขึ้นเมื่อมีกลุ่มอื่นนำเทคนิคนี้ไปใช้มากขึ้น

สิ่งที่ทำให้แคมเปญนี้น่าจับตาที่ไม่ใช่แค่ความรวดเร็วในการใช้ประโยชน์ แต่คือกลุ่มแฮกเกอร์ที่เกี่ยวข้องกับรัฐหลายกลุ่มซึ่งแยกจากกันดูเหมือนจะมุ่งเป้าไปที่ช่องโหว่ชุดเดียวกันในช่วงเวลาไล่เลี่ยกัน การนำไปใช้แบบขนานเช่นนี้บ่งชี้ว่าชุดโจมตี (exploit chain) นี้อาจถูกแบ่งปันกันในระบบนิเวศจารกรรมไซเบอร์ของจีน หรือไม่ก็เรียบง่ายพอที่หลายกลุ่มจะค้นพบได้เอง ไม่ทางใดก็ทางหนึ่ง มันชี้ให้เห็นถึงกลุ่มผู้โจมตีที่มีทรัพยากรพร้อมและประสานงานกันอย่างดี ซึ่งเคลื่อนไหวอย่างรวดเร็วเมื่อมีชุดโจมตีที่ใช้ได้ปรากฏขึ้น

'Zero-Day Chain' หมายถึงอะไรกันแน่

สำหรับผู้อ่านที่ไม่คุ้นเคยกับศัพท์ด้านความปลอดภัย Zero-Day คือช่องโหว่ซอฟต์แวร์ที่ผู้ขายยังไม่รู้จักในเวลาที่ถูกค้นพบและใช้ประโยชน์ หมายความว่ายังไม่มีแพตช์ให้ใช้งาน ส่วน "chain" ของ Zero-Day หมายถึงการที่ผู้โจมตีเชื่อมช่องโหว่หลายรายการเข้าด้วยกัน ใช้ช่องโหว่หนึ่งเพื่อเข้าถึงระบบเบื้องต้น อีกช่องโหว่หนึ่งเพื่อยกระดับสิทธิ์ และอื่น ๆ ไปเรื่อย ๆ จนได้การควบคุมระบบเป้าหมายอย่างเต็มรูปแบบ

เรื่องนี้สำคัญต่อผู้ใช้ทั่วไปเพราะเชนเหล่านี้มักเริ่มจากสิ่งที่ธรรมดา เช่น เบราว์เซอร์ อีเมลไคลเอนต์ หรือซอฟต์แวร์องค์กรที่ใช้กันแพร่หลาย แม้คุณจะไม่เคยได้ยินชื่อผู้ขายหรือผลิตภัณฑ์ที่เกี่ยวข้อง แต่ส่วนประกอบซอฟต์แวร์พื้นฐานมักปรากฏอยู่ในเครื่องมือทั้งสำหรับผู้บริโภคและองค์กร เมื่อ Zero-Day Chain เช่นนี้ถูกใช้ประโยชน์อย่างจริงจัง นาฬิกาก็เริ่มเดินสำหรับผู้ขายในการออกแพตช์ และสำหรับองค์กรในการนำไปติดตั้งก่อนที่ผู้โจมตีรายอื่นจะรู้ทัน

การค้นพบของ Proofpoint สอดคล้องกับรูปแบบที่กว้างขึ้นและปรากฏชัดมากขึ้นเรื่อย ๆ ของปฏิบัติการไซเบอร์ที่เชื่อมโยงกับรัฐจีน นักวิจัยได้บันทึกแยกไว้ด้วยว่า แฮกเกอร์จีนเพิ่มปริมาณการโจมตีเป็นสองเท่าโดยใช้ DeepSeek AI เพื่อเร่งการสอดแนมและการพัฒนามัลแวร์ ขณะที่รายงานอื่นเกี่ยวกับ แคมเปญที่รัฐจีนสนับสนุนซึ่งมุ่งเป้านักข่าวและนักเคลื่อนไหว แสดงให้เห็นว่ากลุ่มเหล่านี้ไม่ได้จำกัดเป้าหมายไว้แค่บริษัทหรือหน่วยงานรัฐ ทีมสืบสวนอย่าง Intrusion Truth ยังพยายาม เปิดโปงผู้รับจ้างไซเบอร์จีนรายใหม่ ที่สนับสนุนระบบนิเวศนี้อยู่เบื้องหลัง สะท้อนให้เห็นว่าแคมเปญอย่างที่ Proofpoint เพิ่งตรวจพบมีโครงสร้างพื้นฐานและกำลังคนหนุนหลังอยู่มากเพียงใด

ใครคือเป้าหมาย และทำไมมันจึงขยายวง

รายงานของ Proofpoint อธิบายเป้าหมายว่าเป็น "องค์กรต่าง ๆ" โดยไม่ได้จำกัดแคมเปญไว้ที่อุตสาหกรรมหรือภูมิภาคใดภูมิภาคหนึ่ง ความกว้างเช่นนี้สอดคล้องกับวิธีที่กลุ่มจารกรรมที่เกี่ยวข้องกับจีนมักปฏิบัติ โดยพวกเขามักให้ความสำคัญกับการเข้าถึงมากกว่าความแม่นยำ มุ่งโจมตีองค์กรใดก็ตามที่ถือข่าวกรอง ทรัพย์สินทางปัญญา หรือข้อมูลเชิงกลยุทธ์ที่มีค่า ไม่ว่าจะเป็นหน่วยงานรัฐ สถาบันวิจัย หรือบริษัทเอกชนที่มีความสัมพันธ์ในห่วงโซ่อุปทานที่เป็นประโยชน์

การที่ Proofpoint คาดว่ากิจกรรมนี้จะขยายวงคือรายละเอียดเชิงปฏิบัติการที่สำคัญที่สุดในที่นี้ Zero-Day Chain แทบไม่เคยคงความเป็นเอกสิทธิ์ได้นาน เมื่อกลุ่มหนึ่งแสดงให้เห็นว่าเชนโจมตีใช้ได้ กลุ่มอื่นมักทำ reverse-engineer หรือค้นพบเทคนิคเดียวกันซ้ำโดยอิสระ โดยเฉพาะเมื่อช่องโหว่พื้นฐานยังไม่ถูกแพตช์ นั่นน่าจะเป็นส่วนหนึ่งที่ทำให้หลายกลุ่มดูเหมือนใช้มันพร้อมกันแทนที่จะเป็นผู้โจมตีรายเดียวทำคนเดียว

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ผู้อ่านบทความนี้ส่วนใหญ่ไม่ได้ใช้งานระบบองค์กรที่กลุ่มเหล่านี้มุ่งโจมตีโดยตรง แต่ผลกระทบที่ลามออกมาก็ยังสำคัญ Zero-Day Chain ที่ถูกใช้โจมตีองค์กรมักอาศัยสแตกซอฟต์แวร์เดียวกัน เบราว์เซอร์ ระบบปฏิบัติการ และเครื่องมือเพิ่มผลผลิต ที่ปรากฏบนอุปกรณ์ส่วนตัวเช่นกัน เมื่อผู้ขายออกแพตช์ช่องโหว่ที่เกี่ยวข้องในเชนเช่นนี้ การอัปเดตเหล่านั้นมักมีผลในวงกว้าง ไม่ใช่แค่การติดตั้งในองค์กรเท่านั้น

หากคุณทำงานในองค์กร โดยเฉพาะในภาครัฐ วิจัย เทคโนโลยี หรือภาคส่วนใดที่จัดการข้อมูลอ่อนไหว นี่เป็นจังหวะดีที่จะยืนยันว่าทีมไอทีหรือความปลอดภัยของคุณติดตามประกาศจากผู้ขายอย่างใกล้ชิดและติดตั้งแพตช์ทันทีที่เผยแพร่ บุคคลทั่วไปควรถือว่านี่เป็นการเตือนให้อัปเดตซอฟต์แวร์อัตโนมัติเมื่อทำได้ เพราะหน้าต่างการใช้ประโยชน์ Zero-Day จะปิดเร็วที่สุดสำหรับระบบที่แพตช์อย่างรวดเร็ว

การใช้ VPN จะไม่หยุด Zero-Day exploit chain ได้ด้วยตัวเอง เพราะการโจมตีเหล่านี้มักมุ่งเป้าช่องโหว่ซอฟต์แวร์มากกว่าการรับส่งข้อมูลเครือข่าย แต่การรักษาสุขอนามัยด้านความปลอดภัยโดยทั่วไป การอัปเดตซอฟต์แวร์ให้ทันสมัย การใช้การยืนยันตัวตนหลายปัจจัย และการจำกัดการเปิดเผยระบบภายในสู่อินเทอร์เน็ตโดยไม่จำเป็น ยังคงเป็นการป้องกันที่มีประสิทธิผลที่สุดต่อการใช้ประโยชน์แบบฉวยโอกาสเมื่อเทคนิคเช่นนี้เป็นที่เปิดเผย

อยู่เหนือแคมเปญที่กำลังขยายวง

การใช้ประโยชน์อย่างรวดเร็วโดยหลายกลุ่มเช่นนี้เป็นสัญญาณว่าปฏิบัติการแฮกที่เกี่ยวข้องกับรัฐมีความ成熟และประสานงานกันดีเพียงใด ขณะที่ Proofpoint ติดตามแคมเปญนี้ต่อไป คาดว่าจะมีรายละเอียดเพิ่มเติมเกี่ยวกับช่องโหว่เฉพาะที่เกี่ยวข้องและผู้ขายที่ได้รับผลกระทบ จนกว่าแพตช์จะได้รับการยืนยันและนำไปใช้อย่างกว้างขวาง องค์กรควรสมมติว่าระบบที่เกี่ยวข้องใด ๆ มีความเสี่ยงและดำเนินการตามนั้น เพราะ Proofpoint ระบุชัดเจนว่ากิจกรรมนี้ยังห่างไกลจากจุดสิ้นสุด

สำหรับตอนนี้ บทสรุปเชิงปฏิบัติตรงไปตรงมา คือ ติดตั้งแพตช์อย่างรวดเร็ว ติดตามประกาศความปลอดภัยจากผู้ขาย และมองรายงานการใช้ประโยชน์ Zero-Day ที่ยังดำเนินอยู่ว่าเป็นสัญญาณให้ทบทวนความเสี่ยงของตนเอง มากกว่าเป็นเหตุให้ตื่นตระหนก แคมเปญที่ขับเคลื่อนด้วยจารกรรมเช่นนี้เคลื่อนไหวเร็ว แต่องค์กรและบุคคลที่ติดตามการอัปเดตอยู่เสมอจะลดความเสี่ยงลงได้อย่างมาก