สำหรับผู้อ่านที่ยังไม่คุ้นเคยกับปฏิบัติการและมัลแวร์ VPNFilter เราแนะนำให้อ่านบทความ "เผยปฏิบัติการมัลแวร์ VPNFilter โจมตีอุปกรณ์เน็ตเวิร์กกว่า 500,000 เครื่องทั่วโลก" เพื่อความเข้าใจที่มากขึ้นครับ 🙂
หัวข้อ
เนื่องจากเนื้อหาของบทความซึ่งอาจมีหลายส่วน ทีมตอบสนองการโจมตีและภัยคุกคามได้ทำการแยกประเด็นสำคัญออกเป็นหัวข้อ ซึ่งผู้อ่านสามารถเข้าถึงได้อย่างอิสระตามรายการด้านล่าง
สรุปย่อ
โมดูลการโจมตีใหม่
อุปกรณ์เครือข่ายที่ได้รับผลกระทบ
การตรวจจับและจัดการมัลแวร์ในอุปกรณ์
ตัวบ่งชี้ภัยคุกคาม
สรุปย่อ
หลังจากการค้นพบปฏิบัติการและมัลแวร์ VPNFilter เมื่อช่วงพฤษภาคมที่ผ่านมาซึ่งพุ่งเป้าโจมตีอุปกรณ์กว่า 500,000 รายการทั่วโลก ทีม Cisco Talos ได้ประกาศข้อเท็จจริงและข้อมูลเพิ่มเติมเกี่ยวกับปฏิบัติการดังกล่าวเมื่อวานที่ผ่านมาซึ่งรวมไปถึงรายการอุปกรณ์ที่ได้รับผลกระทบเพิ่มเติมและโมดูลการโจมตีใหม่ที่ถูกค้นพบในมัลแวร์ด้วย
โมดูลการโจมตีใหม่
มัลแวร์ VPNFilter เป็นหนึ่งในมัลแวร์ที่ถูกระบุว่ามีความซับซ้อนและมีการทำงานอย่างเป็นระบบระเบียบที่แตกต่างกับมัลแวร์ชนิดอื่นอย่างชัดเจน หนึ่งในศิลปะที่มัลแวร์ VPNFilter ได้นำมาปรับใช้นั้นคือการทำงานแบบเป็นโมดูล (modular) ซึ่งทำให้ผู้โจมตีสามารถปรับแต่งการทำงานของมัลแวร์เมื่ออยู่ในระบบของเหยื่อได้อย่างอิสระและเป็นไปตามความต้องการ
ในรายงานฉบับแรกของ Cisco Talos ได้มีการระบุถึงโมดูลการทำงานของมัลแวร์ในขั้นตอนที่ 3 คือเมื่อมัลแวร์ประสบความสำเร็จในการฝังตัวในระบบและมีการติดต่อกับเซิร์ฟเวอร์ที่ใช้ออกคำสั่งและควบคุม (Command & Control Server) แล้วทั้งหมด 2 โมดูล ได้แก่
โมดูลสำหรับการดักจับข้อมูล (Packet Sniffer) เป็นโมดูลที่ถูกออกแบบให้ดักจับและตรวจสอบหาข้อมูลสำคัญที่ถูกส่งผ่านอุปกรณ์เครือข่ายที่มัลแวร์ฝังตัวอยู่
โมดูลสำหรับการเข้าถึงเครือข่าย Tor เป็นโมดูลที่ถูกออกแบบมาเพื่อให้มัลแวร์สามารถใช้งานเครือข่าย Tor เพื่อรับ-ส่งข้อมูลได้
สำหรับโมดูลล่าสุดที่ Cisco Talos นั้นคือโมดูลสำหรับการสอดแทรกเนื้อหาอันตรายลงไปในข้อมูลที่ถูกรับ-ส่งในเครือข่าย โดยมีชื่อเรียกโมดูลว่า 'ssler'
การทำงานในเบื้องต้นของโมดูล ssler นั้น มีรายละเอียดดังต่อไปนี้
มัลแวร์จะทำการติดตั้งโมดูล ตั้งค่าและเริ่มการทำงานโมดูล โดยการตั้งค่าดังกล่าวจะเป็นการระบุให้โมดูลคอยดักจับและแก้ไขเนื้อหาของที่ถูกรับ-ส่งมาจากแหล่งใดบ้าง ซึ่งสามารถระบุได้ทั้งช่วงหมายเลขไอพีแอดเดรสและโดเมนเนม
มัลแวร์จะทำการแก้ไข iptables ของอุปกรณ์เพื่อเปลี่ยนเส้นทางข้อมูล HTTP ให้ไปยังเซอร์วิสที่มัลแวร์เปิดรอไว้ที่พอร์ต 8888
เมื่อทราฟิกของเครือข่ายถูกบังคับให้วิ่งผ่านเซอร์วิสของโมดูล ssler มัลแวร์สามารถดำเนินการแก้ไขเนื้อหาได้อย่างอิสระ ทั้งการเปลี่ยน https:// เป็น http://, ทำ sslstripping, หรือแก้ไขการตั้งค่า HTTP header ในลักษณะต่างๆ เพื่อให้คุณสมบัติด้านความปลอดภัยลดลง
โมดูล ssler จะทำการดึงข้อมูลสำคัญ อาทิ ชื่อผู้ใช้งานและรหัสผ่านที่ถูกส่งในรูปแบบ Basic Authentication หรือ HTTP POST request ใดๆ ที่ถูกส่งไปยัง accounts.