เจาะลึก playbook ล่าสุดของ APT ที่ได้รับการสนับสนุนจากรัฐ: สำหรับ CISO และวิศวกรความปลอดภัย

ภูมิทัศน์ความมั่นคงทางไซเบอร์มีการเปลี่ยนแปลงอยู่ตลอดเวลา แต่รูปแบบของภัยคุกคามบางอย่างยังคงอยู่และพัฒนาไปอย่างรวดเร็วที่น่าตกใจ หนึ่งในภัยคุกคามที่น่ากังวลที่สุดคือแคมเปญ Advanced Persistent Threat (APT) ที่ได้รับการสนับสนุนจากรัฐ ซึ่งยังคงมุ่งเป้าไปที่องค์กรทั่วโลกด้วยความซับซ้อนที่เพิ่มขึ้น ข่าวกรองล่าสุดชี้ให้เห็นถึงการมุ่งเน้นใหม่ของกลุ่มผู้คุกคามดังกล่าว โดยเฉพาะอย่างยิ่งผู้ที่มาจากภูมิภาคเฉพาะ ในการใช้มัลแวร์ใหม่และกลยุทธ์ทางวิศวกรรมสังคมที่ซับซ้อนยิ่งขึ้นเพื่อให้บรรลุวัตถุประสงค์

การสอบสวนทางนิติวิทยาศาสตร์เมื่อเร็วๆ นี้ได้ระบุกิจกรรมที่น่าสงสัยซึ่งเป็นของกลุ่มผู้คุกคามที่ซับซ้อน โดยใช้โทรจันเข้าถึงระยะไกล (RAT) ที่พัฒนาขึ้นใหม่ การค้นพบนี้เน้นย้ำถึงนวัตกรรมอย่างต่อเนื่องในชุดเครื่องมือของฝ่ายตรงข้าม และความจำเป็นสำหรับองค์กรในการรักษาสถานะการป้องกันเชิงรุกและปรับตัวได้ ในขณะเดียวกัน รายงานข่าวกรองภัยคุกคามในวงกว้างได้ให้รายละเอียดเกี่ยวกับแคมเปญ APT หลายแคมเปญที่มุ่งเป้าไปที่องค์กรในภูมิภาคเฉพาะ โดยส่วนใหญ่ผ่านการโจมตีแบบ spear phishing ซึ่งเผยให้เห็นถึงจุดร่วมของเวกเตอร์การเข้าถึงเริ่มต้นและเทคนิคหลังการโจมตีที่หลากหลาย

เกิดอะไรขึ้น

ข่าวกรองล่าสุดได้เปิดเผยแคมเปญ APT ที่ได้รับการสนับสนุนจากรัฐที่สำคัญ ซึ่งดำเนินการโดยกลุ่มผู้คุกคามที่ซับซ้อน กลุ่มนี้ถูกตรวจพบว่ากำลังใช้งานโทรจันเข้าถึงระยะไกล (RAT) ที่พัฒนาขึ้นใหม่และมีความซับซ้อน การค้นพบ RAT นี้บ่งชี้ถึงการอัปเดตชุดเครื่องมือของฝ่ายตรงข้ามอย่างมีนัยสำคัญ ซึ่งให้ความสามารถในการเข้าถึงอย่างต่อเนื่องและอาจควบคุมระบบที่ถูกบุกรุกได้อย่างครอบคลุม

ในขณะเดียวกัน เกิดการโจมตี APT ระลอกใหญ่ที่มุ่งเป้าไปที่องค์กรในภูมิภาคหนึ่ง แคมเปญเหล่านี้ส่วนใหญ่เริ่มต้นด้วยการโจมตีแบบ spear phishing ซึ่งมักจะใช้ไฟล์ LNK เป็นอาวุธเพื่อส่ง payloads เริ่มต้น ผู้โจมตีแสดงให้เห็นถึงแนวทางที่หลากหลาย โดยใช้เทคนิคต่างๆ เพื่อสร้างจุดยืนและดึงข้อมูลออกไป ตั้งแต่การเรียกใช้สคริปต์พื้นฐานไปจนถึงการใช้งานมัลแวร์ที่ซับซ้อนมากขึ้น

มีการระบุรูปแบบการโจมตีหลายรูปแบบภายในแคมเปญเหล่านี้ แต่ละรูปแบบแสดงให้เห็นถึงความแตกต่างในห่วงโซ่การดำเนินการ ซึ่งรวมถึงการใช้สคริปต์ PowerShell, โปรแกรม AutoIt และ DLL side-loading วัตถุประสงค์หลักในเหตุการณ์เหล่านี้มุ่งเน้นไปที่การขโมยข้อมูล การยึดการควบคุมระบบ และการใช้งานซอฟต์แวร์ที่เป็นอันตรายเพิ่มเติม ซึ่งบ่งชี้ถึงเจตนาเชิงกลยุทธ์ที่กว้างขวางเบื้องหลังแคมเปญ

ทำไมรูปแบบนี้จึงเกิดซ้ำแล้วซ้ำอีก

การเกิดซ้ำของแคมเปญ APT ที่ได้รับการสนับสนุนจากรัฐ โดยเฉพาะอย่างยิ่งที่มุ่งเน้นไปที่การจารกรรมและการก่อกวน เกิดจากการบรรจบกันของแรงจูงใจทางภูมิรัฐศาสตร์และข้อได้เปรียบโดยธรรมชาติของการปฏิบัติการทางไซเบอร์ รัฐชาติมองว่าความสามารถทางไซเบอร์เป็นวิธีการที่คุ้มค่าและสามารถปฏิเสธได้เพื่อให้บรรลุวัตถุประสงค์เชิงกลยุทธ์ ไม่ว่าจะเป็นการรวบรวมข่าวกรอง การขโมยทรัพย์สินทางปัญญา หรือการสร้างความไม่มั่นคง

อุปสรรคที่ต่ำในการเข้าถึงเริ่มต้น เช่น spear phishing ควบคู่ไปกับความยากลำบากในการระบุแหล่งที่มา และความได้เปรียบแบบอสมมาตรที่ได้รับจากมัลแวร์ที่ซับซ้อน ทำให้การปฏิบัติการเหล่านี้มีความน่าสนใจอย่างยิ่ง ฝ่ายตรงข้ามปรับเปลี่ยน TTPs ของตนอย่างต่อเนื่อง เรียนรู้จากการป้องกันในอดีต และพัฒนาเทคนิคการหลบหลีกใหม่ๆ กระบวนการซ้ำๆ นี้ทำให้มั่นใจได้ว่าทันทีที่ช่องโหว่หนึ่งถูกแก้ไขหรือมัลแวร์สายพันธุ์หนึ่งถูกตรวจพบ อีกสายพันธุ์หนึ่งก็กำลังพัฒนาหรือใช้งานอยู่แล้ว

นอกจากนี้ การเชื่อมโยงกันทั่วโลกของห่วงโซ่อุปทานและโครงสร้างพื้นฐานดิจิทัลยังให้พื้นที่การโจมตีที่กว้างขวาง แม้แต่องค์กรที่มีการป้องกันที่แข็งแกร่งก็สามารถถูกบุกรุกได้ผ่านผู้ขายบุคคลที่สามหรือพนักงานที่ตกเป็นเป้าหมาย ซึ่งสร้างความท้าทายอย่างต่อเนื่องสำหรับผู้ป้องกัน การลงทุนอย่างต่อเนื่องโดยผู้กระทำของรัฐในการวิจัยและพัฒนาเทคนิคการโจมตีใหม่ๆ และมัลแวร์ที่กำหนดเองทำให้มั่นใจได้ว่าภัยคุกคามยังคงมีพลวัตและยากที่จะบรรเทาได้อย่างครอบคลุม

Playbook ของผู้โจมตีทีละขั้นตอน

แคมเปญ APT ที่ได้รับการสนับสนุนจากรัฐ ดังที่สังเกตเห็นในเหตุการณ์ล่าสุด มักจะปฏิบัติตามลำดับการปฏิบัติการที่กำหนดไว้อย่างดี แม้ว่าเทคนิคเฉพาะจะแตกต่างกันไป ระยะการเข้าถึงเริ่มต้นขึ้นอยู่กับการวิศวกรรมสังคมอย่างมาก โดยส่วนใหญ่คือ spear phishing

ผู้โจมตีสร้างเหยื่อล่อที่น่าสนใจ ซึ่งมักจะเกี่ยวกับเรซูเม่หรือเอกสารที่น่าสนใจอื่นๆ ซึ่งจัดส่งผ่านอีเมล อีเมลเหล่านี้มีไฟล์แนบหรือลิงก์ที่เป็นอาวุธ ซึ่งมักจะเป็นไฟล์ LNK ที่ออกแบบมาเพื่อหลอกให้ผู้รับเรียกใช้โค้ดที่เป็นอันตราย เมื่อดำเนินการแล้ว payloads เริ่มต้นเหล่านี้จะสร้างจุดยืนภายในเครือข่ายเป้าหมาย

หลังจากการบุกรุก ฝ่ายตรงข้ามจะใช้เทคนิคที่หลากหลายสำหรับการคงอยู่และการยกระดับสิทธิ์ ซึ่งรวมถึงการใช้สคริปต์ PowerShell, โปรแกรม AutoIt และ DLL side-loading ตัวอย่างรวมถึงวิธีการดึงข้อมูลเฉพาะสำหรับการควบคุมและสั่งการ การใช้ curl.exe เพื่อดึงไฟล์ HTA จากที่เก็บสาธารณะเพื่อใช้งาน infostealers และ keyloggers และการเผยแพร่ RAT ที่รู้จักผ่านที่เก็บโค้ดสาธารณะ วิธีการอื่นๆ เกี่ยวข้องกับสคริปต์ VBS, BAT และ PowerShell สำหรับการฉีด backdoor, backdoors ที่ใช้ Python ซึ่งปลอมตัวเป็นไฟล์ปฏิบัติการ pythonw.exe และการใช้ประโยชน์จากเอกสารที่มีออบเจกต์ OLE ฝังตัวสำหรับการโหลด DLL ที่เป็นอันตราย วิธีการเหล่านี้อำนวยความสะดวกในการใช้งานมัลแวร์ขั้นสูง ทำให้มั่นใจได้ว่าสามารถเข้าถึงได้อย่างต่อเนื่องและเปิดใช้งานการสอดแนมเพิ่มเติม การเคลื่อนไหวในแนวนอน และการดึงข้อมูลออกไป

วิวัฒนาการของเวกเตอร์การเข้าถึงเริ่มต้นและเฟรมเวิร์กหลังการโจมตีเรียกร้องให้มีกลยุทธ์การป้องกันที่คาดการณ์การปรับตัว มากกว่าที่จะตอบสนองต่อลายเซ็นที่รู้จักเท่านั้น

สิ่งที่ผู้ป้องกันพลาดไป

ในหลายเหตุการณ์เหล่านี้ การบุกรุกเริ่มต้นมักบ่งชี้ถึงความล้มเหลวที่ส่วนขอบหรือปลายทาง โดยเฉพาะอย่างยิ่งเกี่ยวกับความตระหนักของผู้ใช้และความปลอดภัยของอีเมล ประสิทธิภาพของ spear phishing ด้วยไฟล์ LNK บ่งชี้ว่ากลไกการกรองอีเมลหรือการตรวจจับปลายทางแบบดั้งเดิมอาจไม่สามารถระบุหรือบล็อกเวกเตอร์เริ่มต้นเหล่านี้ได้อย่างเพียงพอ องค์กรอาจมองข้ามสัญญาณที่ละเอียดอ่อนในอีเมลฟิชชิ่ง หรือขาดการควบคุมที่แข็งแกร่งเพียงพอที่จะป้องกันการเรียกใช้ไฟล์ LNK ที่เป็นอันตรายหรือออบเจกต์ที่ฝังอยู่

นอกจากนี้ การใช้งาน backdoors และ infostealers ที่หลากหลายสำเร็จ ชี้ให้เห็นถึงช่องว่างในการป้องกันปลายทางและการแบ่งส่วนเครือข่าย หากผู้โจมตีสามารถติดตั้ง keyloggers ดึงข้อมูลออกไป และสร้างการควบคุมอย่างต่อเนื่องได้ นั่นหมายความว่ากฎการตรวจจับหรือการวิเคราะห์พฤติกรรมบนปลายทางนั้นไม่มี ไม่เพียงพอ หรือถูกหลีกเลี่ยง การใช้บริการที่ถูกกฎหมาย เช่น ที่เก็บโค้ดสาธารณะและที่เก็บข้อมูลบนคลาวด์สำหรับ C2 หรือการส่ง payload เน้นให้เห็นถึงจุดบอดทั่วไป เนื่องจากบริการเหล่านี้มักจะถูกอนุญาตพิเศษ (whitelisted) หรือถูกตรวจสอบน้อยกว่าโดเมนที่ไม่รู้จัก

สุดท้าย ความสามารถของผู้โจมตีในการทำ DLL side-loading หรือโจมตีออบเจกต์ OLE ในเอกสาร บ่งชี้ว่านโยบายการควบคุมแอปพลิเคชันอาจมีการอนุญาตมากเกินไป หรือการเสริมความแข็งแกร่งของระบบเพื่อรับมือกับเทคนิคทั่วไปดังกล่าวไม่ได้ถูกนำไปใช้อย่างสมบูรณ์ การป้องกันที่ครอบคลุมไม่เพียงแต่ต้องมีการตรวจจับเท่านั้น แต่ยังต้องมีการป้องกันในหลายชั้น รวมถึงการมุ่งเน้นอย่างมากในการให้ความรู้แก่ผู้ใช้และการจัดการช่องโหว่เชิงรุก

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

เพื่อตอบโต้กลยุทธ์ที่ซับซ้อนที่ใช้โดย APT ที่ได้รับการสนับสนุนจากรัฐ CISO และวิศวกรความปลอดภัยควรจัดลำดับความสำคัญของการดำเนินการดังต่อไปนี้:

• เสริมสร้างความปลอดภัยอีเมลและการรับรู้ของผู้ใช้: ใช้การกรองอีเมลขั้นสูง, DMARC/DKIM/SPF และดำเนินการจำลองการโจมตีแบบฟิชชิ่งที่สมจริงเป็นประจำ ให้ความรู้แก่ผู้ใช้ในการระบุและรายงานไฟล์ LNK ที่น่าสงสัย, ออบเจกต์ที่ฝังอยู่ และเหยื่อล่อทางวิศวกรรมสังคม
• เสริมสร้างการตรวจจับและตอบสนองปลายทาง (EDR): ใช้โซลูชัน EDR ที่มีความสามารถในการวิเคราะห์พฤติกรรมเพื่อตรวจจับการเรียกใช้กระบวนการที่ผิดปกติ, กิจกรรมสคริปต์ (PowerShell, VBS) และการเชื่อมต่อเครือข่ายที่ไม่ได้รับอนุญาต ตรวจสอบให้แน่ใจว่าได้รวมฟีดข่าวกรองภัยคุกคามที่แข็งแกร่งเข้าไว้ด้วยกัน
• ใช้การควบคุมแอปพลิเคชันและการอนุญาตพิเศษ (Whitelisting): จำกัดการเรียกใช้แอปพลิเคชันและสคริปต์ที่ไม่ได้รับอนุญาต หากเป็นไปได้ ให้บังคับใช้ whitelisting สำหรับกระบวนการระบบที่สำคัญและแอปพลิเคชันที่ถูกกฎหมายเพื่อป้องกันการเรียกใช้ไบนารีที่ไม่รู้จักหรือสคริปต์ที่เป็นอันตราย
• การแบ่งส่วนเครือข่ายและ Zero Trust: แบ่งส่วนเครือข่ายเพื่อจำกัดการเคลื่อนที่ในแนวนอน ใช้สถาปัตยกรรม Zero Trust ตรวจสอบผู้ใช้และอุปกรณ์ทุกรายที่พยายามเข้าถึงทรัพยากร โดยไม่คำนึงถึงตำแหน่งภายในหรือภายนอกขอบเขตเครือข่าย
• การล่าภัยคุกคามเชิงรุก: ล่าหาตัวบ่งชี้การบุกรุก (IOCs) และ TTPs ที่เกี่ยวข้องกับกลุ่ม APT ที่รู้จักอย่างสม่ำเสมอ รวมถึงกลุ่มที่ใช้ RAT ใหม่ๆ มุ่งเน้นการตรวจจับการสื่อสาร C2 ไปยังโดเมนที่ผิดปกติหรือผ่านบริการที่ถูกกฎหมาย
• การจัดการแพตช์และการเสริมความแข็งแกร่งของการกำหนดค่าอย่างสม่ำเสมอ: รักษาจังหวะการแพตช์ที่ก้าวร้าวสำหรับระบบปฏิบัติการ แอปพลิเคชัน และอุปกรณ์เครือข่ายทั้งหมด เสริมความแข็งแกร่งของการกำหนดค่าระบบโดยการปิดใช้งานบริการและพอร์ตที่ไม่จำเป็น
• ตรวจสอบที่เก็บสาธารณะและที่เก็บข้อมูลบนคลาวด์: ใช้การตรวจสอบกิจกรรมที่น่าสงสัยที่เกี่ยวข้องกับที่เก็บโค้ดสาธารณะ (เช่น GitHub) และบริการที่เก็บข้อมูลบนคลาวด์ (เช่น Google Drive) ที่อาจใช้สำหรับ C2 หรือการจัดเตรียม payload

การทดสอบเชิงรุกสมัยใหม่จะตรวจจับสิ่งนี้ได้อย่างไร

การสแกนช่องโหว่และการทดสอบการเจาะระบบแบบดั้งเดิม แม้ว่าจะมีคุณค่า แต่มักจะล้มเหลวในการรับมือกับลักษณะการปรับตัวของ APT ที่ได้รับการสนับสนุนจากรัฐ นี่คือจุดที่การทดสอบเชิงรุกสมัยใหม่ โดยเฉพาะอย่างยิ่งการทดสอบเชิงรุกแบบอัตโนมัติด้วย Proof-of-Concepts (PoCs) ที่สามารถรันได้ แสดงให้เห็นถึงคุณค่าที่เป็นเอกลักษณ์ ตัวอย่างเช่น แพลตฟอร์มชั้นนำได้รับการออกแบบมาเพื่อจำลองพฤติกรรมของฝ่ายตรงข้ามที่ซับซ้อน รวมถึง TTPs ที่สังเกตได้ในแคมเปญล่าสุด

การทดสอบเชิงรุกแบบอัตโนมัติจะระบุช่องโหว่ที่กลุ่ม APT ที่ซับซ้อนใช้ประโยชน์ได้ล่วงหน้า ด้วยการสร้าง PoCs ที่สามารถรันได้ แพลตฟอร์มสามารถจำลองการส่งและการเรียกใช้ไฟล์ LNK ที่เป็นอาวุธหรือเอกสารที่มีออบเจกต์ OLE ที่เป็นอันตราย จากนั้นจะทดสอบประสิทธิภาพของโซลูชัน EDR, ความปลอดภัยอีเมล และการควบคุมแอปพลิเคชันที่มีอยู่กับห่วงโซ่การโจมตีเฉพาะเหล่านี้ รวมถึงการใช้งาน infostealers, keyloggers และการสร้างช่องทาง C2 ผ่านบริการต่างๆ

แนวทางนี้ก้าวข้ามช่องโหว่ทางทฤษฎี โดยให้หลักฐานที่เป็นรูปธรรมของเส้นทางที่สามารถโจมตีได้ และแสดงให้เห็นอย่างแม่นยำว่าการป้องกันล้มเหลวที่ใดในสถานการณ์จริง มันจะแสดงให้เห็นว่า RAT ขั้นสูงสามารถสร้างการคงอยู่ ดึงข้อมูลออกไป หรือควบคุมระบบได้สำเร็จหรือไม่ การจำลองที่ต่อเนื่องและสมจริงดังกล่าวช่วยให้องค์กรสามารถตรวจสอบความถูกต้องของการควบคุมความปลอดภัยของตนเองกับรูปแบบภัยคุกคามที่เผชิญอยู่ เพื่อให้มั่นใจว่าช่องว่างจะถูกระบุและแก้ไข ก่อนที่ ผู้โจมตีจริงจะใช้ประโยชน์จากมัน

สิ่งที่ต้องจับตาดูต่อไป

ภูมิทัศน์ภัยคุกคามจะยังคงพัฒนาต่อไป โดยผู้กระทำของรัฐจะปรับปรุงกลยุทธ์และพัฒนาเครื่องมือใหม่ๆ เราคาดการณ์แนวโน้มสำคัญหลายประการที่ต้องจับตาดูอย่างใกล้ชิด

ประการแรก คาดว่าจะมีการมุ่งเน้นที่เพิ่มขึ้นในการโจมตีห่วงโซ่อุปทาน โดยใช้ความสัมพันธ์ที่เชื่อถือได้และการพึ่งพาซอฟต์แวร์เพื่อเข้าถึงเริ่มต้น เมื่อการป้องกันที่ขอบดีขึ้น ผู้โจมตีจะแสวงหาจุดอ่อนที่อยู่ต้นน้ำมากขึ้น ประการที่สอง การใช้ AI และการเรียนรู้ของเครื่องโดยทั้งผู้โจมตีและผู้ป้องกันจะเร่งตัวขึ้น ผู้โจมตีอาจใช้ AI เพื่อสร้างเหยื่อล่อฟิชชิ่งที่น่าเชื่อถือมากขึ้น หรือเพื่อทำให้การสอดแนมเป็นไปโดยอัตโนมัติ ในขณะที่ผู้ป้องกันจะอาศัยมันเพื่อเพิ่มประสิทธิภาพในการตรวจจับความผิดปกติและการเชื่อมโยงข่าวกรองภัยคุกคาม

ประการที่สาม ความซับซ้อนของมัลแวร์ที่กำหนดเองจะยังคงเพิ่มขึ้น ทำให้การตรวจจับทำได้ยากขึ้น โค้ด polymorphic, เทคนิคต่อต้านการวิเคราะห์ และ living-off-the-land binaries จะแพร่หลายมากขึ้นเรื่อยๆ สุดท้าย ขอบเขตการกำหนดเป้าหมายจะกว้างขึ้น โดยย้ายจากภาคส่วนภาครัฐและการป้องกันแบบดั้งเดิมไปยังโครงสร้างพื้นฐานที่สำคัญ การดูแลสุขภาพ และอุตสาหกรรมใดๆ ที่มีทรัพย์สินทางปัญญาที่มีค่าหรือข้อมูลที่ละเอียดอ่อน การเฝ้าระวังอย่างต่อเนื่อง การทดสอบเชิงรุก และกลยุทธ์ความปลอดภัยที่ปรับเปลี่ยนได้จะเป็นสิ่งสำคัญยิ่งสำหรับการก้าวล้ำนำหน้า