สรุปสั้น
บริษัท Rapid7 เปิดเผยการโจมตีแบบซ่อนตัวต่อบริษัทยานยนต์และสื่อในเกาหลีใต้ ที่เปิดทางให้กลุ่มสอดแนมเข้าถึงเครือข่ายของเหยื่อ โดยบางกรณีปฏิบัติการมาตั้งแต่ต้นปี 2568 กลุ่มที่อยู่เบื้องหลังใช้ชุดเครื่องมือสอดแนมบน Linux ที่ไม่เคยมีเอกสารบันทึกมาก่อน (ตั้งชื่อว่า TED) เจาะซอฟต์แวร์โหลดบาลานเซอร์โอเพนซอร์สยอดนิยม HAProxy เพื่อเข้าถึงทราฟฟิกขาเข้าและขาออกได้อย่างสมบูรณ์ แล้วดำเนินการสอดแนมระยะยาว ทั้งเก็บข้อมูลรับรอง เปลี่ยนเส้นทางผู้ใช้บางกลุ่ม โจมตีแบบ drive-by-download และแก้ไขไฟล์ล็อกเพื่อลบร่องรอย
Rapid7 เชื่อมโยงการโจมตีนี้กับกลุ่ม APT ของเกาหลีเหนือด้วยความมั่นใจระดับปานกลาง โดยพิจารณาจากเป้าหมายของการโจมตี การใช้เทคนิคอำพรางแบบเรียบง่าย และรายการเซิร์ฟเวอร์สั่งการควบคุม (C2) ที่ตรงกับที่ APT37 หรือที่รู้จักในชื่อ InkySquid, ScarCruft และ Ricochet Chollima เคยใช้ การเล็งบริษัทสื่ออาจเปิดทางเข้าถึงเครือข่ายแหล่งข่าว รายงานที่ยังไม่เผยแพร่ และการสื่อสารของนักข่าว ส่วนบริษัทยานยนต์อาจเป็นประตูสู่ทรัพย์สินทางปัญญาและเทคโนโลยีการผลิต
รายละเอียดข่าว
เว็บไซต์ Dark Reading รายงานอ้างบทวิเคราะห์ของบริษัท Rapid7 ในสัปดาห์นี้ว่า นักวิจัยซึ่งขอไม่ให้ระบุชื่อ ประเมินว่าสองภาคส่วนที่ตกเป็นเป้าบ่งชี้ถึงวัตถุประสงค์อย่างน้อยสองอย่างที่ดำเนินไปพร้อมกัน คือการควบคุมข้อมูลข่าวสารและการต่อต้านข่าวกรองจากฝั่งสื่อ และการเก็บข่าวกรองด้านเทคโนโลยีการผลิตจากฝั่งยานยนต์ ที่ผ่านมาแฮ็กเกอร์เกาหลีเหนือมักเล็งบริษัทการเงินและครองสัดส่วนคริปโทเคอร์เรนซีที่ถูกขโมยส่วนใหญ่ในปี 2569 รวมถึงเคยใช้บัตรประจำตัวทหารปลอมแบบดีปเฟกและสเปียร์ฟิชชิงกับเจ้าหน้าที่สถานทูตเกาหลีใต้
ในกรณีนี้ กลุ่มดังกล่าวเจาะซอฟต์แวร์โหลดบาลานเซอร์โอเพนซอร์ส HAProxy เพื่อติดตั้งชุดเครื่องมือ Linux ที่ตรวจจับได้ยาก (ชื่อ TED) และเข้าถึงทราฟฟิกทั้งขาเข้าและขาออกอย่างสมบูรณ์ เมื่อฝังตัวในอุปกรณ์เครือข่ายของเหยื่อแล้ว กลุ่มภัยคุกคามนี้ก็ดำเนินปฏิบัติการสอดแนมระยะยาว Rapid7 ระบุว่าการเจาะโหลดบาลานเซอร์แล้วฝังโค้ดที่คอมไพล์เองลงในซอฟต์แวร์ของอุปกรณ์ ถือเป็นการยกระดับขึ้นอีกขั้นของกลุ่ม APT เกาหลีเหนือ ซึ่งเข้ากับรูปแบบเดิมของเกาหลีเหนือ คือเข้าถึงครั้งแรกผ่านซอฟต์แวร์ที่เชื่อถือได้หรือโครงสร้างพื้นฐานที่เปิดสู่ภายนอก ฝังตัวยาวนาน เก็บข้อมูลรับรอง และใช้เทคนิค watering-hole กับกลุ่มวิชาชีพเฉพาะ
วิธีการโจมตี
HAProxy เป็นโหลดบาลานเซอร์ระดับแอปพลิเคชันและรีเวิร์สพร็อกซีแบบโอเพนซอร์ส ซึ่งเป็นแกนหลักของผลิตภัณฑ์เชิงองค์กร HAProxy One ด้วยการเจาะโหลดบาลานเซอร์ ผู้โจมตีจะเข้าถึง filter API ของตัวอุปกรณ์เองได้ ทำให้เข้าถึงการสื่อสารที่ถอดรหัสเป็นข้อความธรรมดาแล้วโดยตรง โดยไม่ต้องสร้างการโจมตีแบบ host-in-the-middle แม้จุดเข้าถึงครั้งแรกจะยังไม่ทราบชัด แต่เหยื่อสองรายรันเว็บเซิร์ฟเวอร์ขอบที่เปิดพอร์ทัลล็อกอินกรุ๊ปแวร์และอีเมล และเนื่องจากกลุ่ม Kimsuky ของเกาหลีเหนือเป็นที่ทราบกันว่าเคยเจาะเหยื่อผ่านการโจมตีระยะไกลต่อเซิร์ฟเวอร์อีเมล จุดเหล่านี้จึงน่าจะเป็นช่องทางเข้าถึงครั้งแรก เมื่อยึดเซิร์ฟเวอร์กรุ๊ปแวร์ได้ ผู้โจมตีก็ใช้มันเป็นฐานสำหรับการโจมตีขั้นต่อไปพร้อมเก็บข้อมูลรับรองไปด้วย
Rapid7 ระบุว่าโหลดบาลานเซอร์เป็นตำแหน่งในอุดมคติของผู้โจมตี เพราะ SSL ถูกถอดรหัส (terminate) ตรงจุดนั้น อยู่หน้าแอปพลิเคชันทั้งหมด และมักถูกยกเว้นจากการตรวจจับระดับ endpoint เพราะถูกมองว่าเป็นอุปกรณ์เครือข่ายมากกว่าเซิร์ฟเวอร์ ในเชิงเทคนิค ส่วนที่น่าทึ่งที่สุดของการโจมตีคือรูทีนที่ล้างตัวนับ (counter) ในไฟล์ล็อกเพื่อซ่อนกิจกรรม ซึ่งแสดงว่ามีคนใช้เวลาอ่านซอร์สโค้ดของ HAProxy อย่างจริงจังและทดสอบกับอินสแตนซ์จริง ทั้งนี้ Rapid7 ชี้ว่านี่เป็นตัวอย่างล่าสุดของแนวโน้มที่ผู้โจมตีหันเหจากการใช้มัลแวร์ ไปฝังฟังก์ชันอันตรายไว้ในซอฟต์แวร์ที่ถูกกฎหมายแทน โดยแคมเปญเกาหลีเหนือช่วงหลังพัฒนาจากการใช้เครื่องมือในตัวระบบปฏิบัติการ ไปสู่การฝังโทรจันในตัวติดตั้งซอฟต์แวร์ที่ถูกกฎหมาย จนถึงการฝังตรงเข้าไปในรันไทม์ของโครงสร้างพื้นฐานที่ใช้งานจริง
ผลกระทบ
จุดที่อันตรายที่สุดของการโจมตีนี้คือความสามารถในการตรวจจับที่แทบเป็นศูนย์ Rapid7 ระบุว่าแบ็กดอร์ TED ไม่สร้างโพรเซสผิดปกติ ไม่มีการเชื่อมต่อขาออกที่ไม่คาดคิด และไม่มีรายการในล็อก เพราะเส้นทางตอบกลับ C2 เขียนตรงไปยัง raw TCP socket ข้ามระบบบันทึกล็อกของ HAProxy ขณะที่การล้างตัวนับทำให้แดชบอร์ดเฝ้าระวังไม่แสดงกิจกรรมผิดปกติ องค์กรที่ใช้โหลดบาลานเซอร์หรือรีเวิร์สพร็อกซีที่ทำหน้าที่ถอดรหัส SSL และรองรับโมดูลที่โหลดตอนรันไทม์ จึงเผชิญพื้นผิวการโจมตีเดียวกันไม่ว่าจะเป็นของผู้ผลิตรายใด
Rapid7 เตือนว่าผู้บริหารความมั่นคงสารสนเทศ (CISO) ในเกาหลีใต้และภูมิภาคเอเชียแปซิฟิกควรพิจารณาจุดอ่อนลักษณะเดียวกันในสถาปัตยกรรมของตน และตั้งสมมติฐานว่าอุปกรณ์เครือข่ายก็อาจถูกเจาะได้ องค์กรควรใช้วินัยการตรวจจับระดับ endpoint แบบเดียวกับที่ใช้กับเซิร์ฟเวอร์แอปพลิเคชัน มาปรับใช้กับส่วนประกอบโครงสร้างพื้นฐานด้วย
คำแนะนำ
Rapid7 แนะนำให้ผู้ดูแลระบบวิเคราะห์โหลดบาลานเซอร์และอุปกรณ์เครือข่ายอื่นอย่างใกล้ชิด โดยผสมผสานการตรวจสอบความสมบูรณ์ (integrity check) ของไลบรารีโค้ดและไบนารีที่คอมไพล์แล้ว เข้ากับการตรวจสอบหน่วยความจำของโพรเซส และการเปรียบเทียบล็อกที่อยู่บนอุปกรณ์กับล็อกที่เก็บนอกอุปกรณ์ (out-of-band) เนื่องจากแบ็กดอร์นี้ไม่สร้างสัญญาณผิดปกติที่ตรวจจับได้ตามปกติ การตรวจสอบความสมบูรณ์ของไลบรารี การวางเส้นฐาน (baseline) ของหน่วยความจำ และการเทียบเคียงข้อมูลเครือข่ายจากแหล่งอิสระ จึงเป็นแนวทางหลักในการค้นหาอุปกรณ์ที่ถูกเจาะ องค์กรที่ใช้ HAProxy หรือรีเวิร์สพร็อกซีที่ทำ SSL termination ควรถือว่าอุปกรณ์เหล่านี้เป็นเป้าหมายที่มีความเสี่ยงสูงและต้องได้รับการเฝ้าระวังเทียบเท่าเซิร์ฟเวอร์