เจาะลึกปฏิบัติการโค่นบอตเน็ต Glassworm 'ผู้ไม่รู้จักตาย'

การปลดระวางบอตเน็ต Glassworm เมื่อวันที่ 26 พฤษภาคม 2026 ถือเป็นหนึ่งในความสำเร็จครั้งสำคัญในปฏิบัติการไซเบอร์เพื่อรับมือกับภัยคุกคามที่มุ่งเป้าไปยังห่วงโซ่อุปทานซอฟต์แวร์ ทีมปฏิบัติการตอบโต้ศัตรู (Counter Adversary Operations) ของ CrowdStrike โดยความร่วมมือกับ Google และมูลนิธิ Shadowserver ที่ไม่แสวงหาผลกำไร ได้ดำเนินการขัดขวางสถาปัตยกรรมของบอตเน็ตที่ถูกออกแบบมาโดยเจตนาให้ไม่สามารถโค่นล้มได้ด้วยวิธีปกติ

บอตเน็ต Glassworm ที่ปฏิบัติการมาตั้งแต่ต้นปี 2025 ไม่ใช่บอตเน็ตทั่วไปที่มุ่งล่าอุปกรณ์ตามบ้านเรือน แต่มันพุ่งเป้าไปที่ นักพัฒนาซอฟต์แวร์ โดยใช้เครื่องมือที่พวกเขาไว้วางใจเป็นอาวุธ ผู้โจมตีได้แพร่กระจายมัลแวร์ผ่าน 3 เส้นทางหลัก ได้แก่ การแทรกซึมคลังข้อมูล GitHub กว่า 300 แห่ง, การบิดเบือนส่วนขยายใน Visual Studio Code, และการปลอมแปลงแพ็กเกจบนระบบ npm และดัชนีแพ็กเกจของ Python แนวทางการโจมตีที่ซัพพลายเชนเช่นนี้ทำให้มัลแวร์สามารถทำงานได้บนระบบปฏิบัติการ Windows, macOS และ Linux เป้าหมายสูงสุดคือการติดตั้ง GlasswormRAT ซึ่งเป็นเครื่องมือควบคุมระยะไกลแบบ Node.js ที่สามารถขโมยข้อมูลรับรอง, บันทึกการกดแป้นพิมพ์, และขโมยข้อมูล เพื่อเปลี่ยนเครื่องของนักพัฒนาให้กลายเป็นฐานปล่อยการโจมตีต่อไปยังระบบอื่นๆ

สถาปัตยกรรมคำสั่งและควบคุม 4 หัว ที่ทำให้ 'ไม่มีวันตาย'

สิ่งที่ทำให้ Glassworm มีความยืดหยุ่นเหนือกว่าบอตเน็ตอื่นๆ คือโครงสร้างพื้นฐานของการสั่งการและควบคุม (C2) แบบหลายช่องทาง ผู้ควบคุมบอตเน็ตตั้งใจหลีกเลี่ยงจุดอ่อนที่จะทำให้ระบบทั้งหมดล่ม โดยกระจายการสื่อสารผ่าน 4 ช่องทางที่แตกต่างกันและทำงานทดแทนกันได้

1. ธุรกรรมบนบล็อกเชน Solana: บอตเน็ตใช้บล็อกเชนสาธารณะ Solana เป็นช่องทางส่งคำสั่งลับ วิธีการนี้ทำให้การเซ็นเซอร์หรือการปิดระบบทำได้ยากมาก เพราะบัญชีการทำธุรกรรมถูกกระจายและไม่สามารถเปลี่ยนแปลงได้
2. ตารางแฮชแบบกระจายของ BitTorrent (DHT): การใช้เครือข่ายแชร์ไฟล์แบบ Peer-to-Peer เป็นอีกหนึ่งช่องทางสื่อสารที่กระจายศูนย์และมีความยืดหยุ่นสูง
3. จุดส่งข้อความลับบน Google Calendar: ผู้โจมตีใช้หัวข้ออีเวนต์ใน Google Calendar เป็นเหมือนบอร์ดข้อความลับในการส่งคำสั่งใหม่ โดยปลอมปนการสื่อสารของมัลแวร์ไปกับบริการที่ถูกกฎหมายและใช้กันอย่างแพร่หลาย
4. เซิร์ฟเวอร์ VPS แบบดั้งเดิม: นอกเหนือจากวิธีการใหม่ๆ ผู้ควบคุมยังคงรักษาโครงสร้างพื้นฐานบนเซิร์ฟเวอร์ส่วนตัวเสมือน ซึ่งเป็นช่องทางที่พบได้ทั่วไปแต่ก็ยังเป็นส่วนประกอบสำคัญ

สถาปัตยกรรมหลายชั้นนี้เองที่เป็นหัวใจสำคัญที่ทำให้บอตเน็ตนี้ 'ไม่มีวันตาย' การโค่นช่องทางใดช่องทางหนึ่งหรือสองช่องทางลงได้ ก็จะไร้ผล เพราะช่องทางที่เหลือยังทำงานได้เต็มประสิทธิภาพ ทำให้ผู้ควบคุมสามารถกู้คืนการควบคุมได้อย่างรวดเร็ว

กลยุทธ์การปิดสวิตช์ที่ต้องประสานกัน

หนทางเดียวที่จะทำลายระบบนี้ได้คือ การโจมตีช่องทาง C2 ทั้งหมดพร้อมกัน CrowdStrike อธิบายความท้าทายไว้อย่างชัดเจนว่า "การขัดขวางสถาปัตยกรรมนี้ต้องการทั้งความแม่นยำและจังหวะเวลา การโค่นเพียงแค่ช่องทางเดียวจะมีผลทำให้ช่องทางอื่นๆ ยังคงทำงานต่อไปได้ ซึ่งผู้ควบคุมสามารถกู้คืนระบบได้อย่างรวดเร็ว"

ในเวลา 14:00 UTC ของวันที่ 26 พฤษภาคม แนวร่วมพันธมิตรได้ปฏิบัติการที่ถูกคำนวณเวลาอย่างดี เพื่อตัดการเชื่อมต่อระหว่างผู้ควบคุมบอตเน็ตและเครือข่ายเครื่องจักรที่ติดเชื้อทั่วโลก การกระทำนี้ไม่ได้ลบมัลแวร์ GlasswormRAT ออกจากเครื่องปลายทางที่ติดเชื้อโดยอัตโนมัติ แต่มันได้ปิดกั้นความสามารถของผู้ควบคุมในการออกคำสั่งใหม่ๆ หรือส่งมัลแวร์เพิ่มเติม ปฏิบัติการนี้ทำให้ขีดความสามารถในการโจมตีของบอตเน็ตสิ้นฤทธิ์ลง แม้ว่าตัวมัลแวร์จะยังคงหลบซ่อนอยู่ในเครื่องที่ติดเชื้อทั่วโลกอีกจำนวนเท่าใดก็ไม่อาจทราบได้

โปรไฟล์ของศัตรูและที่มา

จากการประเมินโดย CrowdStrike ปฏิบัติการ Glassworm มีที่มาจากกลุ่มอาชญากรไซเบอร์ที่อาจมีฐานอยู่ใน รัสเซีย การที่กลุ่มนี้มุ่งเป้าไปที่ห่วงโซ่อุปทานของซอฟต์แวร์โอเพนซอร์สเป็นการยกระดับกลยุทธ์ของภัยคุกคามครั้งสำคัญ จากเดิมที่เน้นโจมตีองค์กรผู้ใช้ปลายทาง มาเป็นการโจมตีตั้งแต่ต้นทางคือนักพัฒนาและเครื่องมือที่องค์กรต่างๆ ใช้งาน ซึ่งเป็นช่องโหว่ที่สร้างความเสียหายในวงกว้างได้อย่างมหาศาล

การแก้ไขและสิ่งที่องค์กรต้องทำตอนนี้

การปลดระวางครั้งนี้เป็นชัยชนะในเชิงตั้งรับที่สำคัญ แต่มันไม่ใช่ยารักษา CrowdStrike ได้แนะนำขั้นตอนการแก้ไขที่ชัดเจนให้กับองค์กรต่างๆ เพื่อค้นหาและชำระล้างระบบที่ติดเชื้อ

• สแกนหามัลแวร์: องค์กรที่ใช้แพลตฟอร์ม CrowdStrike Falcon ควรสแกนหามัลแวร์ GlasswormRAT ในระบบทันที
• ตรวจสอบสัญญาณชี้นำการบุกรุก (IoCs): ทีมรักษาความปลอดภัยควรตรวจสอบบันทึกเครือข่ายเพื่อหาการเชื่อมต่อไปยังหมายเลขไอพี 164.92.88[.]210 ซึ่งเป็น Sinkhole IP ที่ CrowdStrike ใช้ในการดักจับ และใช้กฎ YARA ที่โพสต์ไว้ในบล็อกของ CrowdStrike เพื่อไล่ล่าหาการติดเชื้อ
• รีบิลด์เครื่องใหม่ทั้งหมด: การแก้ไขที่แน่นอนที่สุดสำหรับเครื่องที่ติดเชื้อคือการรีบิลด์ใหม่ทั้งหมดจากอิมเมจที่รู้ว่าสะอาดและปลอดภัย
• เปลี่ยนข้อมูลรับรอง: ข้อมูลรับรอง, โทเคน, และความลับทุกประเภทที่อาจถูกเข้าถึงได้บนเครื่องของนักพัฒนาที่ถูกบุกรุก จะต้องถูกเปลี่ยนใหม่ทันทีเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตเพิ่มเติม