Microsoft โค่นเครือข่าย Fox Tempest ได้อย่างไร

แต่ Fox Tempest กลับใช้เทคโนโลยีเดียวกันนี้เพื่อ ทำให้มัลแวร์ดูเหมือนโปรแกรมปกติ

Microsoft ระบุว่ากลุ่มนี้ได้สร้าง ใบรับรองการเซ็นโค้ดปลอมมากกว่า 1,000 ใบ และสร้างบัญชี Azure และ tenant จำนวนหลายร้อยรายการเพื่อรองรับโครงสร้างพื้นฐานของบริการ

บริการ signspace[.]cloud ทำงานอย่างไร

หัวใจของปฏิบัติการคือเว็บไซต์ signspace[.]cloud ซึ่งทำหน้าที่เหมือนบริการออนไลน์สำหรับอาชญากรไซเบอร์

กระบวนการโดยทั่วไปมีลักษณะดังนี้

• ผู้โจมตีอัปโหลดไฟล์มัลแวร์เข้าสู่ระบบ
• ระบบใช้การเข้าถึงที่ได้มาอย่างฉ้อโกงต่อบริการ Microsoft Artifact Signing เพื่อสร้างใบรับรองการเซ็นโค้ด
• ไฟล์ถูกส่งกลับพร้อมลายเซ็นดิจิทัลที่ดูเหมือนถูกต้อง

เมื่อมัลแวร์มีลายเซ็นจากใบรับรองที่ดูถูกต้องแล้ว ไฟล์นั้นอาจ

• ลดการแจ้งเตือนความเสี่ยง
• ดูน่าเชื่อถือสำหรับผู้ใช้
• หลบระบบตรวจจับที่อาศัยความน่าเชื่อถือของใบรับรอง

รายงานบางส่วนระบุว่าใบรับรองเหล่านี้มีอายุสั้นมาก บางครั้งเพียง ประมาณ 72 ชั่วโมง ซึ่งช่วยให้ผู้โจมตีใช้มันในช่วงเวลาสั้น ๆ ก่อนที่ระบบรักษาความปลอดภัยจะตรวจพบและเพิกถอน

กลุ่มแรนซัมแวร์ที่เกี่ยวข้อง

ข้อมูลจาก Microsoft และรายงานด้านความปลอดภัยเชื่อมโยงบริการนี้กับกลุ่มอาชญากรไซเบอร์หลายกลุ่ม เช่น

• Rhysida ransomware
• Vanilla Tempest
• Storm‑0501
• กลุ่มอาชญากรอื่น ๆ ที่ทีมความปลอดภัยของ Microsoft ติดตามอยู่

บริการนี้ยังถูกใช้ในแคมเปญที่เกี่ยวข้องกับมัลแวร์หลายตระกูล เช่น

• Oyster
• Lumma Stealer
• Vidar

อย่างไรก็ตาม รายงานที่เปิดเผยยังไม่ได้ให้รายละเอียดทั้งหมดว่าระบบของ Fox Tempest เชื่อมต่อกับเครื่องมือเหล่านี้ในระดับใด

Microsoft หยุดปฏิบัติการนี้อย่างไร

การหยุด Fox Tempest ไม่ได้อาศัยวิธีเดียว แต่เป็นการรวมมาตรการหลายด้านทั้งทางกฎหมายและทางเทคนิค

1. ดำเนินคดีทางกฎหมาย
Microsoft ยื่นคดีแพ่งต่อ ศาลแขวงสหรัฐฯ เขต Southern District of New York เพื่อต่อสู้กับเครือข่ายนี้ และต่อมามีการเปิดเผยคดีต่อสาธารณะ

2. ยึดและปิดโครงสร้างพื้นฐาน
บริษัททำงานร่วมกับผู้ให้บริการโฮสติ้งและหน่วยงานที่เกี่ยวข้อง เพื่อยึดเว็บไซต์ของบริการและปิดระบบที่ใช้สนับสนุนการเซ็นมัลแวร์

3. เพิกถอนใบรับรองปลอมจำนวนมาก
Microsoft เพิกถอน ใบรับรองการเซ็นโค้ดปลอมมากกว่า 1,000 ใบ ที่สร้างผ่านบริการนี้

4. ปิดบัญชีคลาวด์ที่เกี่ยวข้อง
มีการระงับ Azure tenant และเครื่องเสมือนหลายร้อยรายการ ที่ใช้เป็นโครงสร้างพื้นฐานของระบบ

5. การสืบสวนเชิงรุก
ทีม Digital Crimes Unit ของ Microsoft ใช้เทคนิคสืบสวน รวมถึงการแฝงตัวและการวิเคราะห์โครงสร้างเครือข่าย เพื่อติดตามผู้ดำเนินการก่อนเริ่มการปิดระบบ

มาตรการเหล่านี้ร่วมกันทำให้บริการเซ็นมัลแวร์ของ Fox Tempest ไม่สามารถดำเนินการต่อได้

ทำไมคดีนี้จึงสำคัญต่อความปลอดภัยไซเบอร์

กรณี Fox Tempest สะท้อนแนวโน้มสำคัญสองประการในโลกไซเบอร์

1. อาชญากรรมไซเบอร์กำลังกลายเป็นธุรกิจบริการ

ในปัจจุบัน ผู้โจมตีไม่จำเป็นต้องสร้างเครื่องมือทุกอย่างเองอีกต่อไป พวกเขาสามารถซื้อบริการเฉพาะทาง เช่น

• ransomware‑as‑a‑service
• broker ขายการเข้าถึงระบบ
• โครงสร้างพื้นฐานโฮสต์มัลแวร์
• หรือแม้แต่ บริการเซ็นมัลแวร์

Fox Tempest แสดงให้เห็นว่าการขายเพียง “บริการเดียว” อย่างการสร้างลายเซ็นที่เชื่อถือได้ ก็สามารถมีบทบาทสำคัญในแคมเปญแรนซัมแวร์ขนาดใหญ่ได้

2. การโจมตีความน่าเชื่อถือของซอฟต์แวร์

ลายเซ็นดิจิทัลเป็นหนึ่งในกลไกพื้นฐานที่ช่วยให้ผู้ใช้และระบบปฏิบัติการเชื่อถือซอฟต์แวร์ได้

เมื่อผู้โจมตีสามารถสร้างหรือขโมยใบรับรองได้ มัลแวร์อาจดูไม่ต่างจากซอฟต์แวร์จริง ซึ่งอาจ

• ลดการแจ้งเตือน
• เพิ่มโอกาสที่เหยื่อจะเปิดไฟล์
• หลบระบบป้องกันที่อาศัยชื่อเสียงของซอฟต์แวร์

นั่นทำให้ การโจมตีผ่านระบบเซ็นโค้ดเป็นภัยคุกคามที่อันตรายมาก เพราะมันโจมตีชั้นความเชื่อถือของระบบซอฟต์แวร์โดยตรง

บทเรียนสำคัญจากเหตุการณ์นี้

การปราบปราม Fox Tempest แสดงให้เห็นว่าการต่อสู้กับอาชญากรรมไซเบอร์ในปัจจุบันต้องมองไปที่ ผู้ให้บริการในระบบนิเวศของอาชญากร ไม่ใช่แค่ผู้ปล่อยแรนซัมแวร์เท่านั้น

เมื่อผู้ป้องกันสามารถทำลายโครงสร้างพื้นฐานที่สนับสนุนผู้โจมตีหลายกลุ่มพร้อมกัน เช่น บริการเซ็นมัลแวร์ ก็สามารถสร้างผลกระทบต่อเครือข่ายอาชญากรรมไซเบอร์ได้ทั้งระบบ

แต่เหตุการณ์นี้ก็เตือนอีกด้านหนึ่งเช่นกันว่า แม้แต่เครื่องมือด้านความปลอดภัยที่สร้างขึ้นเพื่อ เพิ่มความเชื่อถือในซอฟต์แวร์ ก็ยังอาจถูกนำไปใช้ในทางที่ผิดได้ หากผู้โจมตีหาวิธีเข้าถึงมันสำเร็จ