แฮกเกอร์โจมตีช่องทางการแจกจ่ายซอฟต์แวร์ของ TrueConf

TrueConf แพลตฟอร์มการประชุมทางวิดีโอ ได้กลายเป็นผู้จำหน่ายซอฟต์แวร์รายล่าสุดที่ตกเป็นเหยื่อของการโจมตีห่วงโซ่อุปทาน ตามรายงานจาก BleepingComputer ผู้โจมตีได้ละเมิดโครงสร้างพื้นฐานของ TrueConf และแก้ไขตัวติดตั้งไคลเอนต์ของบริษัทให้มีแบ็คดอร์แฝงอยู่ นั่นหมายความว่าผู้ใช้ที่ดาวน์โหลดสิ่งที่พวกเขาเชื่อว่าเป็นซอฟต์แวร์การประชุมที่ถูกต้องตามกฎหมาย อาจติดตั้งมัลแวร์ไปพร้อมกันโดยไม่รู้ตัว

เหตุการณ์ประเภทนี้น่ากังวลเป็นอย่างยิ่ง เพราะมันใช้ประโยชน์จากสิ่งหนึ่งที่ผู้ใช้ถูกสอนให้เชื่อถือ นั่นคือลิงก์ดาวน์โหลดอย่างเป็นทางการจากผู้จำหน่ายจริง เมื่อตัวติดตั้งถูกฝังโทรจันตั้งแต่ต้นทาง คำแนะนำมาตรฐานอย่าง "ให้ดาวน์โหลดจากเว็บไซต์ทางการเท่านั้น" ก็ไม่สามารถรับประกันความปลอดภัยได้อีกต่อไป โค้ดอันตรายจะมาพร้อมกับแอปพลิเคชันที่ถูกกฎหมาย ซึ่งมักถูกเซ็นชื่อหรือบรรจุหีบห่อในลักษณะที่เลียนแบบของจริงได้อย่างแนบเนียนจนยากที่จะสังเกตเห็นในทันที

เหตุใดตัวติดตั้งที่ถูกฝังโทรจันจึงเป็นปัญหาที่เพิ่มขึ้น

กรณีของ TrueConf ไม่ใช่เหตุการณ์ที่เกิดขึ้นเพียงลำพัง การโจมตีห่วงโซ่อุปทานซอฟต์แวร์ ซึ่งผู้ไม่หวังดีโจมตีช่องทางการแจกจ่ายที่เชื่อถือได้แทนที่จะโจมตีผู้ใช้ปลายทางโดยตรง ได้กลายเป็นกลยุทธ์ยอดนิยมสำหรับภัยคุกคาม เพราะการละเมิดเพียงครั้งเดียวอาจส่งผลถึงเหยื่อปลายทางหลายพันรายในคราวเดียว เหตุการณ์แบ็คดอร์ในตัวติดตั้งอย่างเป็นทางการของ Daemon Tools เป็นตัวอย่างล่าสุดของรูปแบบเดียวกัน นั่นคือซอฟต์แวร์ที่มีการใช้งานอย่างแพร่หลายถูกดัดแปลงในระดับการแจกจ่าย เปลี่ยนการดาวน์โหลดทั่วไปให้กลายเป็นกลไกการส่งมัลแวร์

การโจมตีเหล่านี้ประสบความสำเร็จได้เพราะมันมุ่งเป้าไปที่จุดอ่อนที่สุดในสายโซ่ความเชื่อถือ ไม่ใช่จุดที่แข็งแกร่งที่สุด ตามที่ได้อธิบายไว้ในบทวิเคราะห์ของ vpn.social เกี่ยวกับความหมายที่แท้จริงของ การโจมตีห่วงโซ่อุปทาน ผู้โจมตีมักมุ่งเป้าไปที่ผู้จำหน่ายบุคคลที่สาม, ขั้นตอนการสร้างซอฟต์แวร์ (build pipelines) หรือกลไกการอัปเดต เพราะการโจมตีแหล่งที่เชื่อถือได้เพียงแหล่งเดียวอาจมีประสิทธิภาพมากกว่าการโจมตีเป้าหมายทีละรายหลายเท่า เครื่องมือการประชุมทางวิดีโอเป็นเป้าหมายที่น่าสนใจเป็นพิเศษ เนื่องจากมีการใช้งานอย่างแพร่หลายในธุรกิจ, สำนักงานรัฐบาล และทีมระยะไกลที่ต้องพึ่งพามันในแต่ละวัน

รายละเอียดเฉพาะเจาะจงว่าเหตุการณ์ละเมิด TrueConf เกิดขึ้นได้อย่างไร, ใครเป็นผู้รับผิดชอบ และขนาดของผู้ใช้ที่ได้รับผลกระทบยังไม่ได้ถูกระบุอย่างละเอียดในรายงานเบื้องต้น สิ่งที่ชัดเจนคือวิธีการ: ผู้โจมตีได้รับสิทธิ์การเข้าถึงมากพอที่จะเปลี่ยนแปลงตัวติดตั้งเอง แทนที่จะอาศัยฟิชชิ่งหรือวิศวกรรมสังคมเพื่อหลอกล่อให้ผู้ใช้รันมัลแวร์แยกต่างหาก

สิ่งนี้มีความหมายต่อคุณอย่างไร

หากคุณหรือองค์กรของคุณใช้ TrueConf ข้อกังวลในทางปฏิบัตินั้นตรงไปตรงมา: ตัวติดตั้งใดๆ ที่ดาวน์โหลดในช่วงเวลาที่เกิดการละเมิดอาจมีแบ็คดอร์ ซึ่งอาจทำให้ผู้โจมตีสามารถเข้าถึงระบบที่ได้รับผลกระทบได้อย่างต่อเนื่อง แบ็คดอร์ประเภทนี้สามารถถูกใช้เพื่อขโมยข้อมูล, ติดตั้งมัลแวร์เพิ่มเติม หรือเคลื่อนย้ายภายในเครือข่ายในแนวกว้าง (lateral movement) ซึ่งเป็นเรื่องน่ากังวลอย่างยิ่งสำหรับธุรกิจที่ใช้เครื่องมือการประชุมทางวิดีโอเพื่อหารือเรื่องละเอียดอ่อนหรือเป็นความลับ

เหตุการณ์นี้เป็นเครื่องเตือนใจว่าการตรวจสอบความถูกต้องสมบูรณ์ของซอฟต์แวร์มีความสำคัญ แม้แต่กับผู้จำหน่ายที่มีชื่อเสียงและดูเหมือนน่าเชื่อถือก็ตาม นอกจากนี้ยังเน้นย้ำว่าทำไมการแยกส่วนปลายทาง (endpoint isolation) และการแบ่งส่วนเครือข่าย (network segmentation) จึงเป็นชั้นการป้องกันที่มีคุณค่า การโจมตีที่ซับซ้อน รวมถึงการโจมตีที่เชื่อมโยงกับรัฐหรือกลุ่มภัยคุกคามที่มีการจัดตั้งองค์กร พึ่งพาการโจมตีซอฟต์แวร์ที่เชื่อถือได้มากขึ้นแทนที่จะใช้เหยื่อล่อฟิชชิ่งที่เห็นได้ชัด ซึ่งเป็นแนวโน้มที่ได้ถูกกล่าวถึงในรายงานของ vpn.social เกี่ยวกับ คำเตือน APT ของสิงคโปร์เกี่ยวกับการโจมตีทางไซเบอร์ที่เชื่อมโยงกับรัฐ เครื่องมืออย่าง VPN สามารถช่วยจำกัดความเสี่ยงโดยการควบคุมและเฝ้าติดตามการรับส่งข้อมูลเครือข่าย แต่มันไม่ใช่สิ่งทดแทนการตรวจสอบซอฟต์แวร์ที่คุณติดตั้งตั้งแต่แรก

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

สำหรับใครก็ตามที่กังวลเกี่ยวกับตัวติดตั้งที่ถูกฝังโทรจัน ไม่ว่าจะจาก TrueConf หรือผู้จำหน่ายซอฟต์แวร์รายอื่นๆ นิสัยบางประการสามารถลดความเสี่ยงได้อย่างมีนัยสำคัญ:

  • ตรวจสอบค่แฮช (checksums) หรือลายเซ็นดิจิทัลของตัวติดตั้งกับค่าที่ผู้จำหน่ายเผยแพร่ผ่านช่องทางแยกต่างหากที่เชื่อถือได้ ก่อนรันไฟล์ปฏิบัติการใดๆ
  • หลีกเลี่ยงการติดตั้งหรืออัปเดตซอฟต์แวร์ทันทีหลังจากที่มีการเปิดเผยการละเมิด จนกว่าผู้จำหน่ายจะยืนยันว่าเวอร์ชันใดได้รับผลกระทบ และให้ไฟล์ดาวน์โหลดที่สะอาดและผ่านการตรวจสอบแล้ว
  • รันตัวติดตั้งใหม่หรือที่อัปเดตแล้วในสภาพแวดล้อมแบบแซนด์บ็อกซ์หรือแยกส่วนก่อน โดยเฉพาะบนระบบที่สามารถเข้าถึงข้อมูลทางธุรกิจที่ละเอียดอ่อน
  • เฝ้าติดตามการเชื่อมต่อเครือข่ายขาออกหลังจากติดตั้งซอฟต์แวร์การประชุมหรือการทำงานร่วมกัน เนื่องจากการรับส่งข้อมูลที่ผิดปกติอาจเป็นสัญญาณแรกเริ่มของกิจกรรมแบ็คดอร์
  • อัปเดตเครื่องมือตรวจจับปลายทาง (endpoint detection) ให้ทันสมัยอยู่เสมอ เพื่อให้สามารถแจ้งเตือนพฤติกรรมที่ผิดปกติจากแอปพลิเคชันที่ปกติทำงานโดยไม่มีปัญหา

การโจมตีห่วงโซ่อุปทานเช่นนี้เป็นเครื่องเตือนใจว่าความไว้วางใจในผู้จำหน่ายซอฟต์แวร์ต้องมาพร้อมกับการตรวจสอบ การระมัดระวังเกี่ยวกับสถานที่และวิธีที่คุณดาวน์โหลดซอฟต์แวร์ และปฏิบัติต่อแม้แต่การอัปเดตตามปกติด้วยความพินิจพิเคราะห์ในระดับหนึ่ง ยังคงเป็นหนึ่งในวิธีที่มีประสิทธิภาพที่สุดในการหลีกเลี่ยงการตกเป็นเหยื่อในเหตุการณ์ตัวติดตั้งที่ถูกฝังโทรจันครั้งต่อไป