Bvp47 มัลแวร์ชนิดใหม่ที่มีรูปแบบคล้ายมาจากฝีมือ NSA
มัลแวร์ชนิดใหม่ถูกตรวจสอบและประกาศให้เฝ้าระวังอีกครั้ง แต่ข้อมูลที่ได้จากการรตรวจสอบกลับนำไปสู่คำถามอีกครั้ง เมื่อรูปแบบการทำงานของมัลแวร์มีความคล้ายคลึงกับมัลแวร์ที่ทาง NSA เคยมีส่วนเกี่ยวข้อง นำไปสู่คำถามว่านี่เป็นผลงานชิ้นใหม่ของทาง NSA หรือไม่?
Highlight
- มัลแวร์ชนิดใหม่ Bvp47 ถูกตรวจพบจากบริษัท Bvp47 พบว่ามัลแวร์ชนิดนี้กระจายตัวไปทั่วโลก กว่า 45 ประเทศ 287 เป้าหมาย รวมถึงประเทศไทยเองก็มี มหาวิทยาลัยอัสสัมชัญ ตกเป็นเป้าหมายในรายชื่อ
- ผลการตรวจสอบพบว่ามัลแวร์ชนิดนี้นอกจากมีรูปแบบการทำงานร้ายกาจและซับซ้อน ยังใกล้เคียงกับรูปแบบการทำงานของมัลแวร์จากกลุ่มแฮกเกอร์ที่มีส่วนเกี่ยวข้องกับ NSA อีกด้วย
- เหตุการณ์เช่นนี้ไม่ใช่ครั้งแรก แท้จริง NSA มีส่วนเกี่ยวข้องกับการสร้างมัลแวร์ขึ้นมาหลายครั้ง ทั้งจากกรณีการโจมตีทางไซเบอร์ในหลายประเทศ รวมถึงครั้งโด่งดังที่สุดอย่าง WannaCry
- ทั้งนี้ข้อมูลดังกล่าวยังมีความคลุมเครืออยู่บางส่วน ด้วยตัวบริษัทผู้นำข้อมูลมาเผยแพร่ครั้งนี้เป็นบริษัทจีนทำให้เกิดความน่ากังขาด้านความน่าเชื่อถือบ้าง แต่แนวโน้มความเป็นไปได้ก็สูงอยู่จึงจำเป็นต้องจับตามองต่อไป
หลายคนย่อมเคยได้ยินว่ามัลแวร์ร้ายแรงแค่ไหน สามารถทำอะไรได้บ้าง นอกจากเป็นโปรแกรมอันตรายที่เข้ามาติดตั้งอยู่บนคอมพิวเตอร์หรืออุปกรณ์อิเล็กทรอนิกส์ของเราโดยไม่ได้รับอนุญาต มันยังสร้างความเสียหายต่อทั้งอุปกรณ์ ข้อมูล รวมถึงความเป็นส่วนตัวของผู้ใช้งาน ถือเป็นภัยไซเบอร์ในรูปแบบหนึ่ง
ปกติแล้วผู้สร้างมัลแวร์ขึ้นมามักเป็นแฮกเกอร์ที่ต้องการนำข้อมูลความลับไปขาย หาได้รายได้จากการสร้างความเสียหายต่อระบบและผู้คนซึ่งถือเป็นเรื่องผิดกฎหมาย แต่ในจำนวนนั้นบางครั้งภาครัฐกลับเป็นผู้สร้างมัลแวร์อันตรายเหล่านี้ขึ้นมาเพื่อสอดส่องข้อมูลด้วยเช่นกัน
อย่างมัลแวร์ตัวล่าสุด Bvp47 เอง แท้จริงก็ต้องสงสัยว่าเป็นมัลแวร์อีกตัวที่สร้างขึ้นเพื่อจุดประสงค์นี้เช่นกัน
Bvp47 มัลแวร์ตัวใหม่กระจายไปในหลายประเทศ ไม่เว้นแม้แต่ไทย
Bvp47 เป็นชื่อมัลแวร์ที่ถูกค้นพบโดย Pangu Lab บริษัทรักษาความปลอดภัยทางไซเบอร์ของจีน มีรายงานว่าพวกเขาตรวจพบมัลแวร์ชนิดใหม่กระจายตัวไปทั่วโลก โดยมัลแวร์ชนิดนี้มีรูปแบบการทำงานซับซ้อน สามารถซ่อนตัวภายในระบบแนบเนียน รวมถึงทำลายร่องรอยของตัวเองได้ ถือเป็น APT Backdoor(การโจมตีระบุเป้า) ที่ซับซ้อนและประสิทธิภาพสูง
รูปแบบการทำงานของ Bvp47 นั้นจะซ่อนซ่อนตัวเองในการสื่อสารกับต้นทางผ่านแพ็กเก็ต TCP SYN แล้วจึงกระตุ้นการทำงานของมัลแวร์และส่งคำสั่งเข้าไป มีกระบวนการเชื่อมต่อเข้ารหัสซับซ้อนรัดกุม เมื่อสามารถเข้าถึงข้อมูลภายในรวมถึงควบคุมเครื่องเซิร์ฟเวอร์เป้าหมายได้สำเร็จ ยังสามารถแพร่กระจายตัวเองไปยังเซิร์ฟเวอร์ข้างเคียงออกไปเรื่อยๆ ได้อีกด้วย
แน่นอนว่านี่เป็นข้อมูลสำคัญเมื่อมัลแวร์อันร้ายกาจแพร่กระจายไปทั่วโลก ฝังลึกลงไปในเซิร์ฟเวอร์ของหลายบริษัท แต่น่าตกใจกว่านั้นคือเมื่อผลการวิเคราะห์ออกมา ปรากฏว่ารูปแบบการทำงานและการใช้เครื่องมือทั้งหลาย สอดคล้องกลุ่ม Equation Group กลุ่มแฮกเกอร์ที่ถูกสันนิฐานว่ามีความเกี่ยวข้องกับสำนักงานความมั่นคงแห่งชาติแห่งสหรัฐฯ(NSA)
หากข้อสันนิฐานดังกล่าวเป็นจริงย่อมหมายความว่า มัลแวร์ชนิดนี้ถูกใช้ในการสอดแนมข้อมูลมายาวนาน อีกทั้งประเทศที่ตกอยู่ภายใต้การสอดแนมยังมีเป็นจำนวนมากกว่า 45 ประเทศ 287 เป้าหมาย ทั้งรัสเซีย จีน ญี่ปุ่น สเปน เยอรมนี อิตาลี กินเวลายาวนานนับ 10 ปี ครอบคลุมตั้งแต่บริษัทคมนาคม สถาบันวิทยาศาสตร์ หน่วยงานการทหาร หน่วยงานเศรษฐกิจ ไปจนถึงมหาวิทยาลัย
แม้แต่ในประเทศไทยเองก็มีเป้าหมายของการโจมตีเพื่อสอดแนมในครั้งนี้ โดยระบุว่าเป็นเซิร์ฟเวอร์ของ มหาวิทยาลัยอัสสัมชัญ
สิ่งที่เกิดขึ้นย่อมสร้างความฉงนให้แก่ผู้คนเมื่อการสอดแนมของสหรัฐฯกินวงกว้างขวาง ไม่เว้นทั้งบริษัทภายในประเทศตัวเองเท่านั้น กลับขยายขอบเขตเป็นวงกว้างจนเกือบจะครอบคลุมทั่วโลก แต่สำหรับผู้เชี่ยวชาญสายไอทีย่อมรู้ดีว่านี่ไม่ใช่เรื่องที่เพิ่งเกิดขึ้นครั้งแรก
ทำไมจึงกล้าฟันธงว่า Bvp47 เป็นมัลแวร์ที่มีความเกี่ยวพันกับ NSA?
ส่วนนี้อาจเกิดการตั้งคำถามขึ้นเล็กน้อย เหตุใดถึงแน่ใจเรื่องนี้เกี่ยวข้องกับ NSA ส่วนนี้คงต้องอธิบายก่อนว่า อันที่จริงมัลแวร์รวมถึงเครื่องมือที่ใช้ในการสร้างมัลแวร์ชื่อดังชื่อก้องโลกมากมายมาจาก NSA หลายครั้ง ยืนยันได้จาก 2 เหตุการณ์ใหญ่ที่เคยเกิดขึ้น
ครั้งแรกคือเหตุการณ์เปิดเผยข้อมูลของ เอ็ดเวิร์ด สโนว์เด็น อดีตเจ้าหน้าที่วิเคราะห์ข่าวกรองของ สำนักข่าวกรองกลาง(CIA) ออกมาเปิดเผยว่า มีการดักฟังข้อมูลโทรศัพท์มือและคอมพิวเตอร์ของผู้คนจำนวนมากเกินขอบเขตของกฎหมาย ทั้งต่อพลเมืองสหรัฐฯรวมถึงชาติพันธมิตรเอง รวมถึงข้อมูลการสอดแนมด้วยมัลแวร์ของหน่วยงานรัฐ
ส่วนนี้ตรงกับข้อมูลที่ทาง Shadow Broker กลุ่มแฮกเกอร์อ้างว่าย้อนรอยผู้สร้างมัลแวร์ระดับสูงของโลกที่ชื่อ Equation Group ได้สำเร็จ โดยเชื่อว่ามีความเกี่ยวพันทาง NSA จากไฟล์ข้อมูลบางส่วนที่เหมือนชื่อโครงการภายใน NSA ตรงกับข้อมูลที่สโนว์เด็นนำมาเปิดเผย จึงเป็นไปได้สูงว่าข้อมูลที่ได้มา NSA อาจมีส่วนรู้เห็นด้วยจริง
ข้อมูลที่หลุดไปจาก Shadow Broker ยังรวมถึงโค้ดเจาะระบบชิ้นสำคัญ Eternal Blue จากการอาศัยช่องว่าง SMBv1 ส่งผลให้แฮกเกอร์สามารถเข้าไปควบคุมและปิดกั้นระบบคอมพิวเตอร์ที่ติดมัลแวร์ได้โดยอิสระ เป็นช่องว่างสำคัญที่ทำให้เกิดมัลแวร์ขึ้นมาอีกหลายชนิดขึ้นบนโลก โดยผลงานมัลแวร์จากกลุ่มนี้มีตั้งแต่
- Flame มัลแวร์ที่คอยขโมย Username กับ Password, ลอบบันทึกเสียง, บันทึกภาพหน้าจอ รวมถึงส่งข้อมูลออกไปให้ C&C Server ผ่านทางพอร์ต SSH และ HTTPS
- Stuxnet เป็นมัลแวร์ประเภทเวิร์ม มีหน้าที่ในการทำลายระบบการทำงานคอมพิวเตอร์ โดยมีเป้าหมายหลักคือเตาปฏิกรณ์นิวเคลียร์อิหร่าน เพื่อสร้างความปั่นป่วนและความเสียหายในการควบคุมจนถึงทำลายตัวอุปกรณ์
- Duqu มีความสามารถโจมตีช่องโหว่ของระบบปฏิบัติการ Windows สามารถสั่งการคอมพิวเตอร์จากระยะไกล ทั้งเขียน ลบ หรือรันคำสั่งที่ทำให้เกิดอันตรายได้ แต่ถูกใช้งานเพื่อการขโมยข้อมูลเป็นหลัก
- WannaCry มัลแวร์ชื่องดังที่โลกต้องรู้จัก โดยอาศัยโค้ด Eternal Blue มาพัฒนาต่อยอด นำไปสู่มัลแวร์ที่สามารถปิดกั้นการเข้าถึงไฟล์และข้อมูลทั้งหมดในเครื่อง จนอาจลบทั้งหมดทิ้งได้หากไม่จ่ายค่าไถ่ตามกำหนด
ดังนั้นจึงไม่ใช่เรื่องแปลกหากวันดีคืนดีจะบอกว่ามีมัลแวร์ชนิดใหม่ขึ้นมาจาก NSA อีกทั้งแพร่ระบาดเป็นวงกว้างไปแล้วในหลายประเทศเช่นนี้
จากข้อมูลที่ผ่านมาเห็นได้ชัดว่า NSA มีประสบการณ์เกี่ยวข้องกับการสร้างมัลแวร์มาโชกโชน สร้างประเด็นปวดหัวให้แก่ทั่วโลกมาหลายครั้ง จากความพยายามการสอดแนมและโจมตีทางไซเบอร์มากมาย แต่นั่นไม่ได้หมายความว่าหน่วยงานนี้มีแต่เรื่องแย่เสียทีเดียว
ภายหลังการเผยแพร่ของสโนว์เด็นทาง NSA มีความพยายามทำให้องค์กรโปร่งใสยิ่งขึ้น ทั้งการลบข้อมูลบันทึกโทรศัพท์ออกไปเป็นจำนวนมาก รวมถึงการแจ้งเตือนช่องโหว่ของระบบให้แก่บริษัทไอทีทั้งหลาย ประกาศเฝ้าระวังการโจมตีทางไซเบอร์ รวมถึงเน้นย้ำถึงช่องโหว่ที่แฮกเกอร์ใช้งาน เพื่อคุ้มครองความเป็นส่วนตัวของคนในประเทศเช่นกัน
ที่สำคัญข้อมูลการวิเคราะห์ในครั้งนี้มาจาก Pangu Lab ซึ่งเป็นบริษัทที่จัดตั้งขึ้นในประเทศจีน มีความเป็นไปได้เช่นกันว่านี่อาจเป็นการโจมตีชื่อเสียงของสหรัฐฯ แต่เมื่อเทียบจากชื่อบริษัทที่เคยร่วมงานในการช่วยวางระบบรักษาความปลอดภัยแก่ระบบปฏิบัติการ IOS จึงเป็นไปได้สูงว่านี่อาจเป็นข้อมูลจริง
สำหรับท่านที่ต้องการรายละเอียดเพิ่มเติมเกี่ยวกับการทำงานและรูปแบบของมัลแวร์สามารถตรวจสอบเพิ่มเติมได้จากลิงก์ที่อยู่ด้านล่าง
ที่มา
https://www.pangulab.cn/en/post/the_bvp47_a_top-tier_backdoor_of_us_nsa_equation_group/
https://www.pangulab.cn/files/The_Bvp47_a_top-tier_backdoor_of_us_nsa_equation_group.en.pdf
https://www.cyfence.com/article/maleware-flame-in-depth/
https://www.mcafee.com/enterprise/en-us/security-awareness/ransomware/what-is-stuxnet.html
https://www.thaicert.or.th/alerts/admin/2011/al2011ad004.html
