กลุ่มแฮ็กเกอร์ Calypso เจาะผู้ให้บริการโทรคมนาคมด้วยมัลแวร์ข้ามแพลตฟอร์ม

เครื่องมือสำคัญที่ถูกพบในแคมเปญนี้มีสองตระกูลหลัก ได้แก่

• Showboat — เฟรมเวิร์กหลังการเจาะระบบ (post‑exploitation) สำหรับ Linux
• JFMBackdoor — มัลแวร์ฝังตัวในระบบ Windows

การมีเครื่องมือสำหรับทั้งสองระบบปฏิบัติการทำให้ผู้โจมตีสามารถทำงานได้ในโครงสร้างพื้นฐานแบบผสม ซึ่งเป็นเรื่องปกติในเครือข่ายโทรคมนาคมขนาดใหญ่

Showboat: เครื่องมือหลังการเจาะระบบสำหรับ Linux

Showboat เป็นมัลแวร์ที่ออกแบบมาสำหรับระบบ Linux และทำหน้าที่เป็นเฟรมเวิร์กหลังจากผู้โจมตีได้เข้าถึงระบบแล้ว เครื่องมือนี้มีลักษณะเป็นโมดูลาร์ ทำให้ผู้โจมตีสามารถเพิ่มฟังก์ชันตามต้องการได้

ความสามารถหลักที่นักวิจัยพบ ได้แก่

• เปิด remote shell เพื่อควบคุมเครื่องที่ถูกเจาะ
• โอนถ่ายไฟล์ระหว่างเครื่องของเหยื่อกับโครงสร้างพื้นฐานของผู้โจมตี
• ทำหน้าที่เป็น SOCKS5 proxy เพื่อส่งต่อทราฟฟิกผ่านเครื่องที่ถูกยึด

ฟังก์ชันเหล่านี้ช่วยให้ผู้โจมตีใช้เซิร์ฟเวอร์ที่ถูกเจาะเป็นจุดผ่าน (relay) เพื่อซ่อนร่องรอยและเคลื่อนที่ไปยังส่วนอื่นของเครือข่ายได้ง่ายขึ้น

JFMBackdoor: เครื่องมือสำหรับระบบ Windows

ในขณะที่ Showboat เน้นระบบ Linux กลุ่มผู้โจมตียังใช้ JFMBackdoor ซึ่งเป็นมัลแวร์สำหรับ Windows เพื่อทำงานควบคู่กันในเครือข่ายเดียวกัน

ในโครงสร้างพื้นฐานของผู้ให้บริการโทรคมนาคม มักมีทั้งเซิร์ฟเวอร์ Linux สำหรับบริการเครือข่าย และระบบ Windows สำหรับงานบริหารหรือระบบองค์กร ดังนั้นการใช้มัลแวร์สองแพลตฟอร์มทำให้ผู้โจมตีสามารถรักษาการเข้าถึงได้แม้ระบบบางส่วนถูกตรวจพบหรือถูกแก้ไขแล้ว

แม้จะมีการยืนยันว่ามัลแวร์ตัวนี้ถูกใช้จริงในแคมเปญ แต่รายละเอียดเชิงลึกของโค้ดหรือกลไกภายในของ JFMBackdoor ยังมีข้อมูลเปิดเผยต่อสาธารณะไม่มากนัก

โดเมนปลอมที่เลียนแบบบริษัทโทรคมนาคม

อีกหนึ่งเทคนิคสำคัญของแคมเปญนี้คือการสร้าง โดเมนและโครงสร้างพื้นฐานที่เกี่ยวข้องกับโทรคมนาคม เพื่อเลียนแบบองค์กรจริงในอุตสาหกรรมเดียวกัน

นักวิจัยเชื่อว่าโดเมนเหล่านี้ถูกใช้เพื่อวัตถุประสงค์หลายอย่าง เช่น

• ทำให้การสื่อสารกับระบบที่ถูกเจาะดูเหมือนเกี่ยวข้องกับธุรกิจโทรคมนาคมจริง
• ใช้เป็นเซิร์ฟเวอร์ command‑and‑control (C2) เพื่อควบคุมมัลแวร์
• สนับสนุนขั้นตอนการโจมตีเพิ่มเติม เช่น การเก็บข้อมูลหรือขโมยข้อมูลล็อกอิน

แม้ว่ารายละเอียดของโดเมนที่ใช้ปลอมตัวแต่ละรายการยังไม่ได้เปิดเผยทั้งหมด แต่รูปแบบโครงสร้างพื้นฐานดังกล่าวบ่งชี้ถึงการวางแผนที่มุ่งแทรกตัวเข้าไปในระบบนิเวศของอุตสาหกรรมโทรคมนาคมโดยตรง

ทำไมมัลแวร์ข้ามแพลตฟอร์มจึงเป็นภัยคุกคามที่ใหญ่ขึ้น

เครือข่ายโทรคมนาคมสมัยใหม่มักใช้ระบบหลายประเภทพร้อมกัน เช่น

• เซิร์ฟเวอร์ Linux สำหรับบริการเครือข่าย
• ระบบ Windows สำหรับการจัดการองค์กรและงานปฏิบัติการ

เมื่อผู้โจมตีมีมัลแวร์สำหรับทั้งสองระบบ พวกเขาจะได้เปรียบหลายด้าน เช่น

• ความคงอยู่สูงขึ้น หากกำจัดมัลแวร์ในแพลตฟอร์มหนึ่ง ผู้โจมตียังอาจคงอยู่ในอีกแพลตฟอร์มได้
• การเคลื่อนที่ภายในเครือข่ายกว้างขึ้น สามารถข้ามระหว่างระบบปฏิบัติการต่าง ๆ ได้
• การปกปิดตัวตนดีขึ้น โดยใช้เครื่องที่ถูกเจาะเป็นพร็อกซีหรือจุดส่งต่อการสื่อสาร

ความเสี่ยงต่อโครงสร้างพื้นฐานการสื่อสารระดับโลก

แคมเปญของ Calypso สะท้อนแนวโน้มที่เพิ่มขึ้นในโลกไซเบอร์: กลุ่มที่เชื่อมโยงกับรัฐมุ่งเจาะเครือข่ายโทรคมนาคมเพื่อเก็บข้อมูลระยะยาว มากกว่าการโจมตีทำลายระบบทันที

การฝังตัวในเครือข่ายโทรคมนาคมอาจเปิดโอกาสให้ผู้โจมตีเข้าถึงข้อมูลสำคัญ เช่น โครงสร้างเครือข่าย เมตาดาตาการสื่อสาร หรือระบบปฏิบัติการที่สำคัญต่อโครงสร้างพื้นฐานของประเทศ

การค้นพบมัลแวร์ Showboat และ JFMBackdoor แสดงให้เห็นว่าผู้โจมตีกำลังพัฒนาเครื่องมือที่ทำงานได้หลายระบบ เพื่อให้การสอดแนมมีความยืดหยุ่นและยากต่อการกำจัดมากขึ้นในโครงสร้างพื้นฐานการสื่อสารระดับโลก