Sality ถูกตัดขาดจากผู้ควบคุม หลังปฏิบัติการนานาชาติเล่นงานบอตเน็ต P2P อายุ 23 ปี

Sality บอตเน็ตแบบเพียร์ทูเพียร์ (P2P) ที่ดำเนินการมานานกว่าสองทศวรรษ ถูกขัดขวางในการปฏิบัติการร่วมระหว่างประเทศเมื่อวันที่ 31 สิงหาคม 2026 ปฏิบัติการนี้ใช้ทั้งอำนาจศาลในการยึดโดเมน และเทคนิค sinkhole เพื่อเปลี่ยนเส้นทางเครื่องที่ติดมัลแวร์ไม่ให้ติดต่อกับโครงสร้างพื้นฐานของผู้ควบคุมบอตเน็ต โดยมีหน่วยงานยุติธรรมสหรัฐฯ, FBI, Defense Criminal Investigative Service (DCIS), เจ้าหน้าที่จากบัลแกเรีย ฮังการี และโรมาเนีย รวมถึง CrowdStrike และ Shadowserver Foundation ร่วมดำเนินการ 167

ยึดโดเมน แล้วตัดการเชื่อมต่อของเครือข่าย

ทางการสหรัฐฯ ยึดโดเมนที่เชื่อมโยงกับ Sality ซึ่งถูกใช้สั่งการอุปกรณ์ที่ถูกเจาะและแจกจ่ายเพย์โหลดอันตราย ขณะที่เจ้าหน้าที่ในบัลแกเรีย ฮังการี และโรมาเนียดำเนินการกับโครงสร้างพื้นฐานเพิ่มเติมในเขตอำนาจของตน 16

อย่างไรก็ดี การยึดโดเมนเพียงอย่างเดียวไม่เพียงพอ เพราะ Sality เป็นบอตเน็ต P2P กล่าวคือ เครื่องที่ติดเชื้อสามารถแลกเปลี่ยนข้อมูลเพื่อค้นหาเครื่องที่ติดเชื้อเครื่องอื่นได้เอง แทนที่จะพึ่งพาเซิร์ฟเวอร์สั่งการและควบคุม (command-and-control หรือ C2) จำนวนไม่กี่แห่งเพียงอย่างเดียว โครงสร้างแบบกระจายศูนย์นี้ทำให้เครือข่ายยังเดินหน้าต่อได้ แม้บางเซิร์ฟเวอร์หรือโดเมนจะถูกปิดไปแล้ว 67

ด้วยเหตุนี้ ทีม Counter Adversary Operations ของ CrowdStrike จึงทำปฏิบัติการ P2P sinkhole ควบคู่กับหน่วยงานบังคับใช้กฎหมายและพันธมิตรภาคเอกชน เป้าหมายคือแยกเครื่องที่ติดเชื้อออกจากผู้ควบคุม จนช่องทางสั่งการของผู้ก่อเหตุใช้งานไม่ได้ 17

จุดแข็งของ Sality กลายเป็นช่องโหว่

CrowdStrike วิเคราะห์ย้อนกลับการสื่อสาร P2P ของบอตเน็ต และมุ่งเป้าไปที่กลไก “รายชื่อเพียร์” ซึ่งเป็นข้อมูลที่เครื่องถูกเจาะใช้ค้นหากันและกัน นักวิจัยพบจุดอ่อนของวิธีที่ข้อมูลนี้ถูกยอมรับและส่งต่อ ก่อนใส่ข้อมูลเพียร์ปลอมเข้าไปในเครือข่าย 613

ในทางปฏิบัติ เครื่องที่ติดเชื้อจึงหันไปเชื่อมต่อยังโครงสร้าง sinkhole ที่ฝ่ายปฏิบัติการควบคุม แทนที่จะไปยังเครือข่ายของผู้ก่อเหตุ ส่งผลให้ผู้ควบคุมไม่สามารถใช้เครือข่ายที่ยังทำงานอยู่ส่งคำสั่งดาวน์โหลดใหม่หรือส่งเพย์โหลดเพิ่มเติมได้ 67

ความยากของภารกิจนี้อยู่ที่การไม่ได้เพียงปิดเซิร์ฟเวอร์ศูนย์กลางสักแห่ง แต่ต้องรับมือระบบกระจายศูนย์ที่เครื่องติดเชื้อสามารถเผยแพร่ข้อมูลเครือข่ายได้ด้วยตัวเอง ปฏิบัติการจึงต้องผสานการยึดโดเมนตามกฎหมายเข้ากับการแทรกแซงทางเทคนิคอย่างพร้อมเพรียง เพื่อครอบงำกระบวนการค้นหาเพียร์ของบอตเน็ต 167

Sality เคยถูกใช้ทำอะไรบ้าง

Sality ทำงานมานานกว่าสองทศวรรษ และถูกใช้ส่งเพย์โหลดอันตรายไปยังเครื่องที่ติดเชื้อ รายงานและข้อมูลจากทางการระบุการใช้เพื่อส่งสแปม โจมตีแบบปฏิเสธการให้บริการกระจายตัว (DDoS) ขโมยข้อมูลรับรอง และขโมยคริปโทเคอร์เรนซี 6

เพย์โหลดหนึ่งที่มีรายงานชื่อ EggJagger จะเฝ้าดูที่อยู่กระเป๋าเงินคริปโทในคลิปบอร์ดของเหยื่อ แล้วแทนที่ด้วยที่อยู่ที่ผู้โจมตีควบคุม ซึ่งอาจทำให้การโอน Bitcoin หรือ Ethereum ที่ตั้งใจไว้ถูกส่งไปยังคนร้าย CrowdStrike ประเมินว่า EggJagger เพียงตัวเดียวขโมยคริปโทเคอร์เรนซีไปแล้วอย่างน้อย 150,000 ดอลลาร์สหรัฐ 6

บทบาทของ Shadowserver Foundation

Shadowserver Foundation เป็นพันธมิตรภาคเอกชนในปฏิบัติการขัดขวางข้ามชาตินี้ โดยทำงานร่วมกับ CrowdStrike และหน่วยงานบังคับใช้กฎหมาย กระทรวงยุติธรรมสหรัฐฯ ระบุทั้งสององค์กรเป็นผู้ร่วมดำเนินการในความพยายามประสานงานเพื่อขัดขวาง Sality และทำลายโครงสร้างพื้นฐานของมัน 1

ความร่วมมือนี้สำคัญ เพราะการจัดการบอตเน็ตไม่ใช่งานด้านเทคนิคหรืองานกฎหมายด้านใดด้านหนึ่งลำพัง การยึดโดเมนต้องมีอำนาจตามกฎหมายและความร่วมมือระหว่างประเทศ ส่วน sinkholing ต้องอาศัยการวิเคราะห์เชิงเทคนิคและการปฏิบัติการเฉพาะทาง การทำทั้งสองด้านร่วมกันช่วยลดความสามารถของผู้ควบคุมในการเข้าถึงเครือข่ายเครื่องที่ถูกเจาะ 17

ยังเป็นประเด็นความปลอดภัย แม้บอตเน็ตถูกขัดขวาง

การขัดขวางบอตเน็ตไม่ได้หมายความว่าเครื่องทุกเครื่องที่ติดเชื้อได้รับการทำความสะอาดแล้ว CrowdStrike ระบุว่า Sality เคยเปิดทางให้ส่งเพย์โหลดอันตรายไปยังเครื่องที่ติดเชื้อทั่วโลกมากกว่า 33,000 เครื่อง 7

สำหรับทีมดูแลความปลอดภัย เครื่องปลายทางที่ติดเชื้อยังอาจเป็นช่องทางให้ผู้โจมตีเข้าถึงระบบได้ อาจยังมีมัลแวร์ตกค้าง เคยมีข้อมูลรับรองรั่วไหล หรือจำเป็นต้องตรวจสอบกิจกรรมที่ตามมา Sinkhole ตัดเส้นทางสั่งการที่ใช้ในการปฏิบัติการครั้งนี้ แต่ไม่ได้ทดแทนการค้นหาและแก้ไขเครื่องที่ได้รับผลกระทบ

ผลในระยะยาวยังไม่แน่นอน เพราะยังไม่มีการเปิดเผยตัวผู้ควบคุม Sality ต่อสาธารณะ หลักฐานที่มีจึงรองรับการเรียกว่าเป็น “การขัดขวาง” มากกว่าจะยืนยันว่าภัยคุกคามจะไม่กลับมาอีก ผู้ควบคุมอาจพยายามเข้าถึงเครื่องเดิมอีกครั้ง ดัดแปลงมัลแวร์ หรือสร้างโครงสร้างพื้นฐานทดแทน 17

บทเรียนจาก Sality

กรณี Sality แสดงให้เห็นว่าบอตเน็ต P2P มีความทนทานเพียงใด และเหตุใดการจัดการจึงทำมากกว่าปิดเซิร์ฟเวอร์ไม่กี่เครื่อง สถาปัตยกรรมแบบกระจายศูนย์ช่วยให้มันอยู่รอดมาหลายปี แต่กลไกค้นหาเพียร์แบบเดียวกันก็เปิดช่องให้ผู้ตรวจสอบใช้วิศวกรรมย้อนกลับ ทำ sinkhole และประสานการบังคับใช้กฎหมายข้ามประเทศ เพื่อแยกเครือข่ายออกจากผู้ควบคุมได้ 167