ภัย The Mask

การใช้เทคโนโลยีผ่านสื่ออุปกรณ์ต่างๆ ของผู้บริโภค และองค์กรเพื่อการดำเนินธุรกิจ ที่ขยายตัวเพิ่มขึ้นอย่างต่อเนื่อง ก็ยิ่งทำให้เกิดช่องทางใหม่ๆ เพื่อจารกรรมโลกไซเบอร์ ที่ถูกพัฒนาขึ้นมาเจาะข้อมูลสำคัญอย่างไม่หยุดยั้งเช่นกัน

แคสเปอร์สกี้ แลป ผู้ให้บริการโซลูชั่นเพื่อการปกป้องคอมพิวเตอร์ ล่าสุดค้นพบปฏิบัติการจารกรรมไซเบอร์ล่าสุดชื่อ เดอะมาสก์ (The Mask หรือ Careto ในภาษาสเปน) ซึ่งพัวพันในปฏิบัติการร้ายระดับโลกหลายครั้งตั้งแต่ปี 2007 โดยเดอะมาสก์เป็นชุดเครื่องมือที่มีความซับซ้อน ทั้งในรูปแบบมัลแวร์ รูตคิต บูตคิต แมคโอเอส (Mac OS) ลีนุก (Linux) และอาจรวมถึงแอนดรอยด์และไอโอเอส (iOS) ด้วย

เป้าหมายหลักของการจารกรรมนี้ คือ หน่วยงานรัฐบาล สถานกงสุล สถานทูต บริษัทพลังงาน น้ำมัน ก๊าซ องค์กรวิจัยและกลุ่มเคลื่อนไหวต่างๆ ผู้เชี่ยวชาญตรวจพบเหยื่อใน 31 ประเทศทั่วโลก ครอบคลุมทวีปอเมริกา แอฟริกา ยุโรป เอเชีย และตะวันออกกลาง

วัตถุประสงค์ของอาชญากรไซเบอร์ในปฏิบัติการนี้ คือ การเก็บรวบรวมข้อมูลสำคัญ ไม่ว่าจะเป็นเอกสารสำนักงาน รหัสเอ็นคริปชั่น การตั้งค่า VPN รหัสสำหรับ SSH Server และไฟล์ RDP (สำหรับการรีโมทแอคเซสเพื่อเปิดช่องทางสื่อสารระหว่างเครื่องคอมพิวเตอร์)

โดยปีที่แล้ว ทีมนักวิจัยของแคสเปอร์สกี้ แลป ได้ค้นพบเดอะมาสก์ที่พยายามโจมตีช่องโหว่ที่ปิดไปแล้วของผลิตภัณฑ์ของบริษัท โดย Exploit นี้มีมัลแวร์ที่เพิ่มความสามารถในการหลบหลีกการตรวจจับ ทำให้ทีมนักวิจัยเริ่มสังเกตและวิเคราะห์การทำงานของเดอะมาสก์ตั้งแต่นั้นเป็นต้นมา

เมื่อเดอะมาสก์แพร่กระจายเข้าสู่ระบบคอมพิวเตอร์ มันจะขัดขวางช่องทางการสื่อสารทุกช่องทาง และเลือกเก็บเฉพาะข้อมูลที่สำคัญจากเครื่อง การตรวจสอบและตรวจจับเดอะมาสก์เป็นไปได้ยาก เนื่องจากรูตคิตมีความสามารถในการหลบซ่อนสูง ลักษณะการทำงานแบบบิลต์อิน และโมดูลการทำงานระดับจารกรรมไซเบอร์

จากรายงานของทีมงานแคสเปอร์สกี้ แลป เดอะมาสก์อาศัยฟิชชิ่งอีเมลเป็นหัวหอกนำร่องพร้อมมีลิงก์โยงเข้าเว็บไซต์หลอก ซึ่งเซตไว้มี Exploit จำนวนมากรออยู่ เพื่อกระจายเชื้อที่ออกแบบมาให้เกาะเหยื่อที่หลุดเข้ามาได้ตามค่าคอนฟิกูเรชั่นของระบบเลยทีเดียว

จากนั้นเว็บไซต์จะส่งต่อเหยื่อไปยังไซต์ที่ไม่เป็นอันตรายตามที่ปรากฏในอีเมล ซึ่งอาจจะเป็นหนังในยูทูบ หรือพอร์ทัลข่าวสารก็ได้

จุดสำคัญคือ เว็บไซต์ตัวล่อนี้จะไม่ปล่อยเชื้อเข้าเหยื่อโดยอัตโนมัติ แต่จะโฮสต์ Exploit ไว้ในโฟลเดอร์บนเว็บไซต์ ซึ่งไม่ได้อ้างอิงหรือปรากฏในที่ใด เว้นแต่ในอีเมลที่เป็นฟิชชิ่งเท่านั้น หรือบางกรณีจะใช้ซับโดเมนที่อยู่บนเว็บไซต์เพื่อให้เหมือนจริงขึ้นไปอีก โดยเลียนแบบเซ็กชั่นย่อยตามหน้าหนังสือพิมพ์ในสเปนหรือในต่างประเทศ เช่น เดอะการ์เดียนของอังกฤษ หรือวอชิงตันโพสต์ของอเมริกา เป็นต้น

มัลแวร์จะสกัดช่องทางการสื่อสาร เก็บรวบรวมข้อมูลมีค่าจากระบบของเหยื่อ การตรวจจับนั้นทำได้ยากมาก เพราะมัลแวร์นี้มีศักยภาพในการพรางตัวถึงรูตคิต Careto จัดเป็นระบบที่มีลักษณะเป็นโมดูล่าสูง รับไฟล์ปลั๊กอินและคอนฟิกูเรชั่นได้ดี ทำให้ขอบข่ายในการทำงาน (ร้าย) สูงไปด้วย และโอเปอเรเตอร์ของมัลแวร์ตัวนี้ยังสามารถอัพโหลดโมดูลเพิ่มเติม เพื่อมาประกอบกิจกรรมร้ายๆ ต่อได้อีกด้วย

เห็นได้ว่าการจารกรรมข้อมูลบนโลกมีแนวโน้มการพัฒนาและอัพเดทตัวเองอย่างต่อเนื่อง ดังนั้นเมื่อมีเทคโนโลยีอยู่ในมือ นอกจากจะใช้เป็นแล้ว ยังต้องรู้เท่าทันด้วย