สรุปสั้น

คลื่นการโจมตีทางไซเบอร์ที่พุ่งเป้ากองทุนเฮดจ์ฟันด์ บริษัทไพรเวทอิควิตี้ และองค์กรการเงินอื่นในช่วงที่ผ่านมา ถูกเชื่อมโยงเข้ากับ UNC6671 กลุ่มรีดทรัพย์ที่มีรายงานว่าเกี่ยวข้องกับกลุ่ม BlackFile โดยการโยงครั้งนี้เกิดขึ้นหลังสำนักข่าว Reuters และ Bloomberg รายงานว่าบริษัท Point72 Asset Management, Millennium Management, Two Sigma Investments, Citadel และบริษัทไพรเวทอิควิตี้อีกหลายแห่งตกเป็นเป้า โดยผู้โจมตีอาศัยการโทรหลอกลวงหรือ vishing เพื่อให้พนักงานเปิดทางเข้าสู่ระบบขององค์กรให้

นาย Austin Larsen นักวิเคราะห์ภัยคุกคามอาวุโสของ Google Threat Intelligence Group หรือ GTIG ระบุว่าบริษัทติดตามกิจกรรม vishing ชุดนี้ในชื่อ UNC6671 และประเมินว่ากลุ่มบุกรุกแกนกลางเพียงกลุ่มเดียวเป็นผู้ขับเคลื่อนทั้งการโทรปลอมเป็นเฮลป์เดสก์และการขโมยข้อมูลบนคลาวด์ ภายใต้แบรนด์สาธารณะหลายชื่อ ได้แก่ Redact, Pink, Helix และ Falcon

GTIG ยังเปิดตัวเลขการเงินที่ติดตามได้ว่าระหว่างเดือนมกราคมถึงพฤษภาคม 2569 มีเงินบิตคอยน์ไหลเข้ากระเป๋าของกลุ่มมากกว่า 10.6 ล้านดอลลาร์สหรัฐ โดยข้อเรียกร้องเริ่มต้นสูงถึง 3 ล้านดอลลาร์ แต่ผู้ปฏิบัติการมักตกลงจบที่ราว 750,000 ดอลลาร์หลังการเจรจา ขณะนี้ Mandiant ระบุว่ากำลังให้ความช่วยเหลือองค์กรที่ถูกเจาะโดย UNC6671 อยู่หลายสิบแห่ง อย่างไรก็ตามหลังข่าวเผยแพร่ กลุ่มที่ใช้ชื่อ Falcon ออกแถลงการณ์บนเว็บไซต์ปล่อยข้อมูลของตนโต้แย้งรายงานของ Mandiant บางส่วน

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 6 สิงหาคม 2569 ว่า การระบุตัวผู้อยู่เบื้องหลังเกิดขึ้นตามหลังรายงานของ Reuters และ Bloomberg ที่ระบุชื่อสถาบันการเงินรายใหญ่หลายแห่งซึ่งตกเป็นเป้าหมายของการโจมตีที่ใช้ vishing เป็นทางเข้าหลัก

Hedge fund cyberattacks tied to BlackFile-linked UNC6671 extortion group

ท่าทีของบริษัทที่ถูกระบุชื่อแตกต่างกันไป โดยมีรายงานว่า Point72 แจ้งนักลงทุนว่าถูกโจมตีจริงแต่ยังไม่พบหลักฐานว่าข้อมูลลูกค้าถูกขโมย ส่วน Two Sigma ระบุว่าสกัดความพยายามบุกรุกไว้ได้และไม่พบสัญญาณว่าระบบหรือข้อมูลได้รับผลกระทบ ด้าน Millennium ปฏิเสธที่จะให้ความเห็นต่อคำถามของ BleepingComputer เช่นเดียวกับ Citadel ที่ปฏิเสธและชี้ให้ไปดูรายงานของ Bloomberg แทน ขณะที่ Point72 และ Two Sigma ไม่ตอบกลับคำขอความเห็นโดยตรง

นาย Austin Larsen อธิบายกับ BleepingComputer ว่า “แม้ก่อนหน้านี้จะปฏิบัติการภายใต้แบรนด์สาธารณะชื่อ BlackFile แต่ UNC6671 ได้กระจายปฏิบัติการรีดทรัพย์ออกไปหลายแบรนด์ ทั้ง Redact, Pink, Helix และ Falcon” และเสริมว่า “GTIG ประเมินว่ากลุ่มบุกรุกแกนกลางกลุ่มเดียวเป็นผู้ขับเคลื่อนทั้งการโทรหลอกเฮลป์เดสก์และการขโมยข้อมูลบนคลาวด์ผ่านแบรนด์รีดทรัพย์สาธารณะเหล่านี้”

BlackFile เป็นกลุ่มรีดทรัพย์แบบขโมยข้อมูลที่ปรากฏตัวครั้งแรกในเดือนกุมภาพันธ์ 2568 ด้วยคลื่นการโจมตีองค์กรค้าปลีกและธุรกิจบริการ ต่อมาในเดือนพฤษภาคม 2569 กลุ่มประกาศบนเว็บไซต์ปล่อยข้อมูลของตนว่าจะเปลี่ยนชื่อเป็น Redact และดำเนินการต่อภายใต้ชื่อใหม่ ตามรายงานของ Mandiant เป้าหมายของกลุ่มเปลี่ยนมาที่บริษัทไพรเวทอิควิตี้ กองทุนเฮดจ์ฟันด์ สำนักงานกฎหมายรายใหญ่ และหน่วยงานจัดอันดับความน่าเชื่อถือทางการเงิน ตั้งแต่เดือนกรกฎาคม 2569 หลังจากก่อนหน้านี้เคยเล็งภาคการผลิต สาธารณสุข อสังหาริมทรัพย์ เทคโนโลยี ขนส่ง และธุรกิจบริการ

หลังบทความเผยแพร่ กลุ่มรีดทรัพย์ที่ใช้ชื่อ Falcon ออกแถลงการณ์บนเว็บไซต์ปล่อยข้อมูลโต้แย้งรายงานของ Mandiant โดยระบุว่า “Falcon เป็นแอฟฟิลิเอตของ Redact เราเป็นแอฟฟิลิเอตของ Redact เพียงรายเดียวเท่านั้น เราไม่ได้มีความเกี่ยวข้อง เชื่อมโยง หรืออยู่ภายใต้ร่มเดียวกับ Helix, Pink หรือกลุ่มอื่นใดที่ถูกระบุชื่อในรายงานของ Mandiant” และว่า “เราไม่ได้ใช้ผู้ปฏิบัติการ โครงสร้างพื้นฐาน เครื่องมือ ช่องทางเจรจา หรือแบ่งรายได้ร่วมกับกลุ่มใดนอกจาก Redact”

ไทม์ไลน์การเปลี่ยนแบรนด์และชื่อรหัสที่ใช้ติดตาม

รายงานของ GTIG ลำดับเหตุการณ์การเปลี่ยนแบรนด์ไว้เป็นไทม์ไลน์ที่มีวันที่กำกับ เริ่มจากช่วงต้นเดือนมกราคม 2569 ที่ UNC6671 ปรากฏตัวขึ้นเป็นคลัสเตอร์ที่ติดตามได้ ต่อมาวันที่ 6 กุมภาพันธ์ 2569 เว็บไซต์ปล่อยข้อมูลหรือ data leak site ของ BlackFile เปิดตัว แล้วหายออฟไลน์ไปในช่วงปลายเดือนเมษายน 2569 ก่อนจะกลับมาออนไลน์สั้น ๆ ในวันที่ 11 พฤษภาคม 2569 เพื่อประกาศว่าจะยุติปฏิบัติการ “ภายใต้ชื่อนี้”

จากนั้นวันที่ 19 พฤษภาคม 2569 ผู้ปฏิบัติการในชื่อ Redact ระบุบนเว็บไซต์ปล่อยข้อมูลแห่งใหม่ของตนว่า “ปฏิบัติการทั้งหมดภายใต้ชื่อ BlackFile ได้ยุติลงอย่างเป็นทางการและถาวรแล้ว” ต่อมาวันที่ 31 พฤษภาคม 2569 เว็บไซต์ปล่อยข้อมูลของ Pink เปิดตัว และวันที่ 27 มิถุนายน 2569 Redact อ้างว่าแบรนด์ BlackFile เดิมถูกอดีตผู้ร่วมงานยึดและนำไปใช้รีดทรัพย์โดยไม่ได้รับอนุญาต ทั้งนี้แต่ละแบรนด์ยังมีชื่อรหัสที่ผู้ให้บริการรายอื่นใช้ติดตามกำกับไว้ด้วย ได้แก่ BlackFile คือ CL-CRI-1116, Pink คือ CL-CRI-1147 และ Falcon คือ CL-CRI-1182

จุดที่ต้องระบุไว้เพื่อไม่ให้สับสนคือ วันที่ในไทม์ไลน์ชุดนี้เป็นวันที่ของเว็บไซต์ปล่อยข้อมูล ซึ่งต่างจากที่ BleepingComputer ระบุว่ากลุ่ม BlackFile ปรากฏตัวครั้งแรกตั้งแต่เดือนกุมภาพันธ์ 2568 ดังนั้นการอ้างอิงว่ากลุ่มนี้ “เริ่มเมื่อไหร่” จึงขึ้นกับว่านับจากการเคลื่อนไหวของกลุ่มหรือนับจากการเปิดเว็บไซต์ปล่อยข้อมูล

นอกจากนี้ GTIG ยังย้ำจุดที่มักถูกเข้าใจผิดว่า “การถูกเจาะเหล่านี้ไม่ได้เกิดจากช่องโหว่ด้านความปลอดภัยในผลิตภัณฑ์หรือโครงสร้างพื้นฐานของผู้ให้บริการ” แต่สะท้อนประสิทธิภาพของการหลอกลวงทางสังคม และย้ำความสำคัญของการย้ายไปใช้การยืนยันตัวตนหลายปัจจัยที่ทนฟิชชิง โดยกลุ่มนี้ถูก Google บันทึกครั้งแรกในเดือนมกราคม 2569 ในฐานะหนึ่งในคลัสเตอร์ที่ใช้ชั้นเชิงแบบเดียวกับกลุ่มอาชญากรรมที่มีแรงจูงใจทางการเงินชื่อ ShinyHunters หรือ Bling Libra แต่ Google ประเมินว่าทั้งสองปฏิบัติการแยกกันเป็นอิสระ ปัจจุบันเป้าหมายของกลุ่มกระจายอยู่ในองค์กรหลายสิบแห่งทั้งในอเมริกาเหนือ ออสเตรเลีย และสหราชอาณาจักร

วิธีการโจมตี

รูปแบบการทำงานของผู้ปฏิบัติการ UNC6671 เริ่มจากการโทรหาพนักงานที่หมายเลขโทรศัพท์มือถือส่วนตัว โดยปลอมหมายเลขให้ดูเหมือนโทรมาจากเฮลป์เดสก์ขององค์กร แล้วอ้างว่าพนักงานต้องลงทะเบียน passkey หรืออัปเดตการตั้งค่าการยืนยันตัวตนหลายปัจจัย

จากนั้นเหยื่อจะถูกนำไปยังโดเมนที่ปลอมเป็นเว็บของบริษัทตัวเอง ซึ่งวางชุดฟิชชิงแบบ adversary-in-the-middle ไว้ ชุดนี้ทำหน้าที่ขโมยทั้งข้อมูลรับรองและคุกกี้เซสชันแบบเรียลไทม์ ซึ่งเป็นจุดที่ทำให้การยืนยันตัวตนหลายปัจจัยแบบทั่วไปไม่ช่วย เพราะสิ่งที่ถูกขโมยคือเซสชันที่ผ่านการยืนยันตัวตนไปแล้ว ไม่ใช่แค่รหัสผ่าน

เมื่อได้บัญชี single sign-on ของ Microsoft 365 หรือ Okta ผู้โจมตีจะล็อกอินเข้าแดชบอร์ด SSO ซึ่งเปิดทางไปยังทุกแพลตฟอร์มคลาวด์ที่ผูกกับบัญชีนั้นในคราวเดียว จากนั้นใช้เครื่องมืออัตโนมัติกวาดข้อมูลจากบริการคลาวด์ทุกตัวที่เข้าถึงได้ พร้อมกับลบอีเมลแจ้งเตือนด้านความปลอดภัยและอีเมลรีเซ็ตรหัสผ่านออกจากกล่องจดหมายที่ยึดได้ เพื่อยืดเวลาก่อนถูกตรวจพบ

ประเด็นที่ Mandiant ย้ำคือ แม้เทคนิคโทรหลอกเฮลป์เดสก์และการดักการยืนยันตัวตนแบบ adversary-in-the-middle จะคล้ายกับวิธีที่กลุ่ม Scattered Spider หรือ UNC3944 ใช้มาโดยตลอด แต่โครงสร้างพื้นฐาน รูปแบบการจดโดเมน และเครือข่ายรีดทรัพย์หลายแบรนด์ที่พบในชุดนี้ต่างออกไป GTIG จึงติดตามแยกเป็น UNC6671 ไม่ใช่ Scattered Spider

รายละเอียดเพิ่มเติมที่ GTIG เปิดเผยระบุว่า กลุ่มนี้ใช้โดเมนหลักแบบทั่วไปซ้ำกับเหยื่อหลายราย โดยสร้างซับโดเมนที่ใส่ชื่อของเหยื่อแต่ละองค์กรลงไป เพื่อโฮสต์หน้าเก็บเกี่ยวข้อมูลรับรองที่ปรับให้ตรงกับเป้าหมายนั้นโดยเฉพาะ แม้โดเมนบางตัวจะถูกใช้เฉพาะกับแบรนด์รีดทรัพย์ใดแบรนด์หนึ่ง แต่ก็สามารถโยงกลับมาที่ UNC6671 ได้ผ่านเทมเพลตฟิชชิงที่ใช้ร่วมกัน นอกจากนี้ GTIG ยังชี้ว่ารูปแบบการจดโดเมนสะท้อนการเปลี่ยนกลุ่มเป้าหมายอยู่เป็นระยะ โดยเอนไปหาองค์กรที่มีแนวโน้มถือข้อมูลอ่อนไหวมากขึ้นเรื่อย ๆ

พัฒนาการของเทคนิคในระยะหลังคือ ผู้โจมตีเริ่มปลอมหมายเลขโทรศัพท์ของเฮลป์เดสก์จริงขององค์กร และใช้บัญชีอีเมลที่ยึดได้ไปรีเซ็ตรหัสผ่านของแอปพลิเคชันองค์กรที่ไม่ได้ผูกกับ SSO พร้อมกับลบข้อความยืนยัน การแจ้งเตือน และอีเมลแจ้งสถานะออกไปเพื่อไม่ให้ถูกตรวจพบ

รายละเอียดขั้นตอนหลังยึดบัญชีได้ที่ GTIG เปิดเผยเพิ่มคือ ผู้โจมตีใช้ข้อมูลที่ดักได้ไปสร้างความคงอยู่ของเซสชัน แล้ววางสคริปต์อัตโนมัติที่เขียนด้วยภาษา Python และ PowerShell เพื่อดูดข้อมูลออกจากสภาพแวดล้อมคลาวด์และแอปพลิเคชัน SaaS ขององค์กร รวมถึง Microsoft 365 และ Okta ส่วนโดเมนที่ใช้ก็ไม่ได้ผูกกับแบรนด์เดียวเสมอไป เพราะ GTIG พบว่าบางโดเมนถูกใช้โจมตีเหยื่อสองรายที่ไม่เกี่ยวข้องกันในเวลาเดียวกัน โดยเหยื่อรายหนึ่งถูกอ้างสิทธิ์โดย Falcon และอีกรายถูกอ้างโดย Helix ซึ่งเป็นหลักฐานเชิงโครงสร้างพื้นฐานที่หนักแน่นกว่าการเทียบเทคนิคเพียงอย่างเดียว

ในส่วนของเป้าหมาย GTIG ระบุว่าการเปลี่ยนกลุ่มเหยื่อเกิดขึ้นเป็นระยะอย่างชัดเจน จากองค์กรขนาดใหญ่ในภาคการผลิต อสังหาริมทรัพย์ สาธารณสุข และประกันภัย ในช่วงเดือนเมษายนถึงพฤษภาคม 2569 ไปเป็นบริษัทเทคโนโลยี ขนส่ง และธุรกิจบริการในเดือนมิถุนายน 2569 แล้วขยับมาที่องค์กรการเงินและสำนักงานกฎหมายที่มีมูลค่าสูงในเดือนกรกฎาคม 2569

ในแง่ตัวเลข GTIG ระบุว่าระหว่างเดือนมกราคมถึงพฤษภาคม 2569 มีบิตคอยน์ไหลเข้ากระเป๋าของกลุ่มมากกว่า 10 ล้านดอลลาร์ กระจายอยู่ใน ที่อยู่กระเป๋า 18 แห่ง และบางส่วนของการจ่ายเงินเกิดขึ้นหลังการประกาศปิดตัวของ BlackFile ไปแล้ว ข้อเรียกร้องเริ่มต้นอยู่ในช่วง 1 ถึงมากกว่า 3 ล้านดอลลาร์ แต่ผู้ปฏิบัติการมักลดให้ระหว่าง 50 ถึง 75 เปอร์เซ็นต์ระหว่างการเจรจา และในกว่า 53 เปอร์เซ็นต์ของเคสที่ติดตามได้ในช่วงเวลาดังกล่าว ยอดจ่ายสุดท้ายเฉลี่ยอยู่ที่ 750,000 ดอลลาร์

ประเด็นสำคัญที่ต้องระบุคือ GTIG เองไม่ได้ฟันธงว่าทั้ง 5 แบรนด์เป็นกลุ่มเดียวกันแน่นอน โดยระบุว่า “ความทับซ้อนเหล่านี้สนับสนุนการประเมินของเราว่ากลุ่มผู้ก่อภัยคุกคามกลุ่มเดียวกันมีความเกี่ยวข้องกับแบรนด์รีดทรัพย์ BlackFile, Redact, Pink, Helix และ Falcon แม้ว่าสถานการณ์อื่นอย่างการที่แอฟฟิลิเอตแตกตัวออกไป หรือการใช้โครงสร้างพื้นฐาน Phishing-as-a-Service ร่วมกัน ก็อาจเป็นไปได้เช่นกัน” ซึ่งสอดคล้องกับคำแถลงของกลุ่ม Falcon ที่ออกมาปฏิเสธความเชื่อมโยง อีกทั้งตอนที่ตั้งเว็บไซต์ปล่อยข้อมูลใหม่ในชื่อ Redact เมื่อเดือนมิถุนายน กลุ่มก็อ้างเองว่าปฏิบัติการเดิมภายใต้ชื่อ BlackFile ถูกแอฟฟิลิเอตรายหนึ่งยึดไป

มุมมองจากผู้ให้บริการรายอื่นและเคสที่สกัดได้

บริษัท CrowdStrike ซึ่งติดตามกลุ่มร่มนี้ในชื่อ Cordial Spider อธิบายรูปแบบเดียวกันในมุมของตนว่า ผู้โจมตีสร้างความรู้สึกเร่งด่วนปลอมด้วยประเด็นเรื่องบัญชีมีปัญหาหรือมีการอัปเดตความปลอดภัย เพื่อพาเหยื่อไปยังหน้า adversary-in-the-middle ที่ดักทั้งข้อมูลยืนยันตัวตนและโทเคนเซสชันที่ยังใช้งานได้แบบเรียลไทม์ แล้วนำไปเข้าถึงผู้ให้บริการอัตลักษณ์หรือ identity provider ขององค์กร ซึ่งเป็น “ประตูทางเข้าจุดเดียว” ไปยังแอป SaaS ทั้งหมด

จุดที่ CrowdStrike ระบุเพิ่มและสำคัญต่อการตรวจจับคือ ผู้โจมตีสร้างความคงอยู่ด้วยการลงทะเบียนอุปกรณ์ MFA ของตัวเองเข้ากับบัญชีที่ยึดได้ แต่จะลบอุปกรณ์ MFA เดิมของเหยื่อออกก่อน ซึ่งลำดับสองขั้นนี้เป็นสัญญาณที่ใช้ตั้งกฎตรวจจับบนล็อกของ identity provider ได้ตรง ๆ โดย CrowdStrike สรุปว่า “ด้วยการอาศัยความสัมพันธ์เชิงความเชื่อถือระหว่าง IdP กับบริการที่เชื่อมต่ออยู่ ผู้โจมตีข้ามความจำเป็นที่จะต้องเจาะแอป SaaS ทีละตัว และเคลื่อนที่ด้านข้างไปทั่วระบบ SaaS ของเหยื่อได้ด้วยเซสชันที่ผ่านการยืนยันตัวตนเพียงเซสชันเดียว”

ด้านบริษัท SOCRadar ที่วิเคราะห์ปฏิบัติการของแบรนด์ Pink ไว้เมื่อเดือนมิถุนายน 2569 ระบุว่ากลุ่มนี้เน้นล่าเป้าหมายใหญ่หรือ Big Game Hunting ด้วยชุดฟิชชิงที่ปรับแต่งเฉพาะสำหรับ Okta และ Microsoft Entra ID พร้อมวาง access gate ไว้กันแซนด์บ็อกซ์และนักวิจัยไม่ให้เข้าถึงหน้าฟิชชิงจริง ส่วนโครงสร้างพื้นฐานอาศัย Cloudflare และ DDoS-Guard ในการโฮสต์ และจดโดเมนผ่าน Tucows และ Nicenic โดย SOCRadar สรุปว่า “ด้วยการผสมการหลอกลวงทางสังคมผ่าน vishing เข้ากับโครงสร้างพื้นฐานฟิชชิงที่มีประตูกั้น กลุ่มนี้แสดงเจตนาชัดว่าต้องการเอาชนะมาตรการความปลอดภัยยุคใหม่ รวมถึง MFA และการยืนยันตัวตนด้วย passkey”

ในช่วงเวลาเดียวกัน บริษัท Bridewell ยังบันทึกกรณีตัวอย่างของแคมเปญ vishing ที่ล้มเหลวไว้ด้วย ซึ่งมีประโยชน์เพราะแสดงให้เห็นว่าจุดใดที่ทำให้การโจมตีหยุดลงได้จริง โดยผู้โจมตีโทรหาพนักงานที่อุปกรณ์ส่วนตัวโดยไม่มีการนัดหมายล่วงหน้า แล้วพยายามพาไปยังหน้าที่เชื่อว่าเป็นหน้าล็อกอิน Okta ปลอม ด้วยข้ออ้างว่าต้องเข้าถึงตั๋วแจ้งเหตุภายในองค์กร นาย Joshua Penny นักวิจัยด้านความปลอดภัยระบุว่า “เมื่อพนักงานพยายามโอนสายให้ Service Desk ตัวจริง ผู้โทรปฏิเสธ โดยยืนยันว่าตนถูกส่งต่อมาให้พนักงานคนนั้นโดยตรง และเสนอ ‘ช่องทางอื่น’ ในการเข้าถึงตั๋วเดียวกัน” ซึ่งเมื่อพนักงานลองใช้ช่องทางนั้น ปลายทางถูกมาตรการความปลอดภัยที่มีอยู่บล็อกไว้ก่อนจะมีการกรอกข้อมูลรับรองใด ๆ และเมื่อพนักงานบอกว่าจะขอตรวจสอบข้อมูลเพิ่มก่อน ผู้โทรก็วางสายและไม่ติดต่อมาอีก

ทั้งนี้ Bridewell ไม่ได้ฟันธงว่าเป็นฝีมือของใคร โดยประเมินว่าอาจเป็น ShinyHunters หรือผู้โจมตีที่ใช้โครงสร้างพื้นฐานชุดฟิชชิงร่วมกันในลักษณะเดียวกับ Scattered LAPSUS$ Hunters หรือ SLH ซึ่งสอดคล้องกับข้อสงวนของ Google ที่ว่าแบรนด์ต่าง ๆ ใต้ UNC6671 อาจเป็นแอฟฟิลิเอต กลุ่มที่แตกตัวออกไป หรือกลุ่มที่ใช้โครงสร้างพื้นฐานฟิชชิงชุดเดียวกัน โดย Google เสริมว่า “ผู้ปฏิบัติการที่ขับเคลื่อนการเข้าถึงครั้งแรกและการดูดข้อมูลบนคลาวด์อาจยังเป็นกลุ่มแกนกลางกลุ่มเดิม ขณะที่ขั้นตอนรีดทรัพย์และการเจรจาถูกจ้างต่อให้ผู้ปฏิบัติการรายอื่น”

ผลกระทบ

สิ่งที่ทำให้เหตุการณ์ชุดนี้แตกต่างจากข่าวรีดทรัพย์ทั่วไปคือการเปลี่ยนกลุ่มเป้าหมายมาที่ภาคการเงินระดับบน กองทุนเฮดจ์ฟันด์ บริษัทไพรเวทอิควิตี้ สำนักงานกฎหมาย และหน่วยงานจัดอันดับเครดิต ล้วนถือข้อมูลที่มีมูลค่าต่อรองสูงมาก ทั้งข้อมูลดีลที่ยังไม่ประกาศ ตำแหน่งการลงทุน และรายชื่อนักลงทุน ซึ่งทำให้แรงกดดันให้จ่ายเงินสูงกว่าองค์กรทั่วไปที่แค่กลัวข้อมูลลูกค้ารั่ว

ตัวเลขที่ GTIG เปิดเผยยังบอกเศรษฐศาสตร์ของกลุ่มได้ชัด คือเรียกเริ่มต้นสูงถึง 3 ล้านดอลลาร์แต่มักจบที่ราว 750,000 ดอลลาร์ สะท้อนว่าโมเดลนี้ตั้งใจเจรจาให้จบมากกว่าจะยืนราคา และการที่มีเงินไหลเข้ากว่า 10.6 ล้านดอลลาร์ในห้าเดือนแปลว่ามีเหยื่อที่เลือกจ่ายจริงเป็นจำนวนไม่น้อย

อีกประเด็นที่มีนัยต่อฝ่ายป้องกันคือการใช้หลายแบรนด์ปิดบังกลุ่มเดียว เพราะเมื่อชื่อกลุ่มบนเว็บไซต์ปล่อยข้อมูลไม่ตรงกับกลุ่มบุกรุกจริง องค์กรที่พึ่งพารายชื่อกลุ่มในการประเมินความเสี่ยงหรือจับคู่ TTP อาจประเมินผิดว่าเจอคนละกลุ่มกัน ทั้งที่วิธีเข้าและวิธีขโมยข้อมูลเหมือนกันทุกครั้ง

ทั้งนี้ต้องระบุข้อจำกัดของหลักฐานให้ครบ คือข้อมูลการโยงกลุ่มมาจากการประเมินของ GTIG ฝ่ายเดียว ยังไม่มีการเปิดตัวบ่งชี้การบุกรุกสาธารณะพร้อมข่าวนี้ บริษัทที่ถูกระบุชื่อส่วนใหญ่ไม่ยืนยันรายละเอียด และที่สำคัญคือกลุ่ม Falcon ออกมาปฏิเสธความเชื่อมโยงกับ Helix และ Pink โดยตรง ซึ่งแม้คำแถลงของอาชญากรจะเชื่อถือไม่ได้โดยอัตโนมัติ แต่ก็ทำให้โครงสร้างความสัมพันธ์ระหว่างแบรนด์เหล่านี้ยังไม่ใช่ข้อสรุปที่ปิดแล้ว

คำแนะนำ

จุดตั้งต้นที่สำคัญที่สุดคือกระบวนการของเฮลป์เดสก์ องค์กรควรมีขั้นตอนยืนยันตัวตนผู้โทรที่ไม่พึ่งข้อมูลที่หาได้จากภายนอก และที่สำคัญกว่าคือต้องสื่อสารให้พนักงานเข้าใจว่าฝ่ายไอทีจะไม่โทรหาที่เบอร์ส่วนตัวเพื่อขอให้ลงทะเบียน passkey หรือเปลี่ยนการตั้งค่า MFA ผ่านลิงก์ที่ส่งให้

เนื่องจากผู้โจมตีขโมยคุกกี้เซสชันแทนรหัสผ่าน มาตรการที่ได้ผลจริงคือการยืนยันตัวตนที่ทนฟิชชิงและผูกกับอุปกรณ์ เช่น FIDO2 หรือใบรับรองบนอุปกรณ์ ควบคู่กับ Conditional Access ที่บังคับให้เข้าถึงได้เฉพาะจากอุปกรณ์ที่ลงทะเบียนและอยู่ในสถานะสอดคล้องกับนโยบาย

ฝ่ายเฝ้าระวังควรตั้งการตรวจจับที่จับพฤติกรรมหลังยึดบัญชีโดยเฉพาะ ได้แก่ การลบอีเมลแจ้งเตือนความปลอดภัยหรืออีเมลรีเซ็ตรหัสผ่านออกจากกล่องจดหมาย การสร้างกฎกรองอีเมลใหม่ผิดปกติ การลงทะเบียนวิธียืนยันตัวตนเพิ่ม และการดาวน์โหลดข้อมูลปริมาณมากจากบริการคลาวด์ในเวลาสั้น โดยจุดที่ต้องเฝ้าเป็นพิเศษตามที่ CrowdStrike ระบุคือเหตุการณ์บนล็อกของ identity provider ที่มีการ ลบอุปกรณ์ MFA เดิมแล้วลงทะเบียนอุปกรณ์ใหม่ต่อกันในช่วงเวลาสั้น เพราะนั่นคือลำดับที่กลุ่มนี้ใช้ยึดบัญชีให้อยู่กับตัว

คำแนะนำเพิ่มเติมที่ GTIG ระบุไว้และควรทำควบคู่กันคือ นำแอป SaaS และแพลตฟอร์มคลาวด์ทั้งหมดมาผูกกับ SSO ให้ครบเพื่อลดจำนวนบัญชีที่อยู่นอกการควบคุม กำหนด session control จำกัดอายุและขอบเขตของเซสชัน จำกัดการยืนยันตัวตนให้ทำได้เฉพาะจากแหล่งเครือข่ายที่เชื่อถือได้ บังคับให้เข้าถึงได้เฉพาะจากอุปกรณ์ที่องค์กรบริหารจัดการ และติดตั้งเครื่องมือที่แจ้งเตือนเมื่อค่าแฮชของรหัสผ่านองค์กรถูกกรอกลงในโดเมนที่ไม่ได้รับอนุญาต ซึ่งเป็นมาตรการที่จับได้ตั้งแต่ก่อนผู้โจมตีนำข้อมูลไปใช้

สุดท้าย ควรตรวจสอบว่ามีบริการคลาวด์กี่ตัวที่ผูกกับ SSO ตัวเดียว และจำกัดสิทธิ์ให้แต่ละบัญชีเข้าถึงเท่าที่จำเป็น เพราะรูปแบบการโจมตีนี้อาศัยจุดที่บัญชี SSO เดียวเปิดประตูไปยังทุกระบบพร้อมกัน เว็บไซต์ Cloud Thunder เคยรายงานรูปแบบการโทรหลอกลักษณะเดียวกันไว้แล้ว ทั้งกรณี กลุ่ม Pink ใช้ vishing ข้าม MFA กวาดข้อมูลจาก Microsoft 365 และกรณี STAC4749 โทรผ่าน Microsoft Teams อ้างเป็นฝ่ายไอทีเพื่อยึดเครื่อง

Indicators of Compromise (IoCs)

หมายเหตุ: ตัวบ่งชี้ด้านล่างถูก defang แล้วเพื่อความปลอดภัย หากนำไปใช้ต้องแปลงกลับเป็นรูปแบบปกติก่อน

ตัวบ่งชี้ประเภทคำอธิบาย
passkeyhelpdesk[.]comโดเมนโดเมนหลักที่ใช้ซ้ำกับเหยื่อหลายราย สร้างซับโดเมนตามชื่อองค์กรเป้าหมาย
portalpasskey[.]comโดเมนโดเมนเก็บเกี่ยวข้อมูลรับรอง
addssopasskey[.]comโดเมนโดเมนเก็บเกี่ยวข้อมูลรับรอง
passkeydeploy[.]comโดเมนโดเมนเก็บเกี่ยวข้อมูลรับรอง
mysecurepasskey[.]comโดเมนโดเมนเก็บเกี่ยวข้อมูลรับรอง
passkeyuser[.]comโดเมนโดเมนเก็บเกี่ยวข้อมูลรับรอง
setupsso[.]comโดเมนโดเมนหลักแบบทั่วไปที่อ้างว่าเกี่ยวกับการตั้งค่า SSO ใช้ต่อท้ายด้วยซับโดเมนชื่อเหยื่อ
idokta[.]comโดเมนโดเมนปลอมอ้างอิงชื่อ Okta ใช้ในหน้าเก็บเกี่ยวข้อมูลรับรอง

แหล่งอ้างอิง