กลุ่มแฮ็กเกอร์จากเกาหลีเหนืออย่าง Lazarus Group ได้เปิดตัวแคมเปญโจมตีทางไซเบอร์ครั้งใหม่ภายใต้ชื่อปฏิบัติการ FlashHole โดยมุ่งเป้าไปที่องค์กรสำคัญในประเทศเกาหลีใต้ ทั้งในกลุ่มอุตสาหกรรมซอฟต์แวร์ การก่อสร้าง และการผลิตอุปกรณ์สื่อสาร ซึ่งความน่ากลัวของปฏิบัติการนี้ไม่ได้มีเพียงแค่เทคนิคการฝังตัวที่ซับซ้อน แต่ยังรวมถึงการเป็นกลุ่มภัยคุกคามแรกๆ ที่นำเทคโนโลยีการเข้ารหัสยุคหลังควอนตัม (Post-Quantum Cryptography) มาใช้อำพรางไฟล์อันตรายเพื่อหลบเลี่ยงการตรวจจับจากระบบรักษาความปลอดภัยยุคปัจจุบันอย่างแยบยล
จากการวิเคราะห์ของนักวิจัยจาก Kaspersky พบว่า จุดเริ่มต้นของการติดเชื้อเริ่มขึ้นจากการส่งลิงก์ฟิชชิ่งล่อลวงเหยื่อไปยังหน้า GitHub ที่สร้างขึ้นมาเป็นพิเศษ เพื่อรันโค้ด JavaScript โหลดมัลแวร์เข้าสู่หน่วยความจำ เทคนิคนี้อาศัยช่องโหว่ของ INISAFE CrossWeb EX ซึ่งเป็นโปรแกรมรักษาความปลอดภัยยอดนิยมในเกาหลีใต้ เป็นสะพานเชื่อมไปสั่งให้ไฟล์ระบบ Windows ที่ถูกกฎหมายอย่าง fsquirt.exe รัน Shellcode ติดตั้ง TechHub และ ClientHub เพื่อใช้นำทางและดึงมัลแวร์ตัวอื่นๆ เข้ามาในเครื่องเหยื่อโดยไม่ทิ้งร่องรอยไว้บนดิสก์
ความโดดเด่นทางเทคนิคของปฏิบัติการ FlashHole อยู่ที่การสื่อสารระหว่างมัลแวร์หลักอย่าง LPEClient กับเซิร์ฟเวอร์สั่งการ (C2) ซึ่งมีการนำมาตรฐานการเข้ารหัส ML-KEM-1024 ที่ได้รับการรับรองจากสถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐฯ มาใช้ โดยปกติแล้ว ML-KEM ออกแบบมาเพื่อป้องกันการโจมตีประเภท “เก็บข้อมูลไว้ก่อน แล้วค่อยถอดรหัสในยุคควอนตัม” แต่แฮ็กเกอร์กลับนำคีย์สาธารณะนี้มาสร้างคีย์ร่วมเพื่อทำงานร่วมกับอัลกอริทึม GOST และ Threefish ในการถอดรหัสไฟล์อันตรายส่งตรงเข้าสู่หน่วยความจำอย่างหนาแน่น ทำให้ระบบตรวจจับโปรแกรมพิษทั่วไปไม่สามารถมองเห็นเนื้อหาภายในได้เลย
เมื่อระบบถูกเจาะทะลุได้สำเร็จ มัลแวร์ LPEClient จะทำหน้าที่เก็บข้อมูลของเครื่องเหยื่อและหลบเลี่ยงระบบเฝ้าระวัง ก่อนจะปล่อยไฟล์อันตรายขั้นสุดท้ายอย่าง Cubridge เข้าสู่หน่วยความจำโดยตรง มัลแวร์ Cubridge นี้มีศักยภาพเป็นแบ็กดอร์แบบโมดูลาร์ที่ช่วยให้แฮ็กเกอร์เข้าควบคุมระบบได้อย่างสมบูรณ์ ไม่ว่าจะเป็นการสั่งประมวลผลคำสั่ง สอดส่องเก็บข้อมูล จับภาพหน้าจอ แอบดึงคุกกี้และรหัสผ่านจากเบราว์เซอร์ตระกูล Chromium ตลอดจนเป็นช่องทางเปิดรับการสั่งการโหลดโปรแกรมประสงค์ร้ายเพิ่มเติมในอนาคต
ทาง Kaspersky เชื่อมั่นว่า ปฏิบัติการ FlashHole นี้เป็นส่วนหนึ่งของเครือข่ายกิจกรรมการโจมตีขนาดใหญ่ที่เรียกว่า Cascade Hole และมีความเชื่อมโยงกับ Operation SyncHole ที่เคยระบาดก่อนหน้านี้ การเคลื่อนไหวครั้งนี้จึงเป็นสัญญาณเตือนภัยสำคัญระดับโลกที่แสดงให้เห็นว่า กลุ่มแฮ็กเกอร์ระดับรัฐเริ่มนำเทคโนโลยีการเข้ารหัสขั้นสูงแห่งอนาคตมาใช้อำพรางการโจมตีแล้ว ซึ่งจะกลายเป็นโจทย์ใหญ่และคำท้าทายใหม่ของวงการความมั่นคงปลอดภัยไซเบอร์ในการรับมือหลังจากนี้
ที่มา : BPC
