สรุปสั้น
นาย Daniel Rhyne อายุ 59 ปี จากเมืองแคนซัสซิตี รัฐมิสซูรี อดีตวิศวกรโครงสร้างพื้นฐานหลัก (core infrastructure engineer) ของบริษัทอุตสาหกรรมแห่งหนึ่งที่มีสำนักงานใหญ่ในรัฐนิวเจอร์ซีย์ ถูกศาลรัฐบาลกลางสหรัฐฯ ที่เมืองเทรนตันตัดสินจำคุก 32 เดือนเมื่อวันที่ 28 กันยายน 2569 หลังรับสารภาพข้อหาขู่กรรโชกด้วยการขู่ทำลายระบบคอมพิวเตอร์ที่ได้รับการคุ้มครอง และจงใจสร้างความเสียหายต่อระบบคอมพิวเตอร์ดังกล่าว เขาเป็นผู้เชี่ยวชาญด้านโฮสต์ virtual machine ของบริษัท และใช้ความรู้นั้นสร้าง VM ลับในเครือข่ายเป็นฐานโจมตี
เหตุเกิดเมื่อวันที่ 25 พฤศจิกายน 2566 บัญชีแอดมินโดเมนที่ถูกใช้ผ่าน VM ลับสร้าง scheduled task ราว 16 รายการ ลบบัญชีแอดมินโดเมน 13 บัญชี เปลี่ยนรหัสผ่านผู้ใช้โดเมน 301 บัญชี และเปลี่ยนรหัสผ่านแอดมินในเครื่องที่กระทบ 254 เซิร์ฟเวอร์และ 3,284 เครื่องลูกข่าย ก่อนส่งอีเมลเรียกค่าไถ่ 20 บิตคอยน์ (ราว 750,000 ดอลลาร์สหรัฐในขณะนั้น) ทั้งหมดนี้ทำด้วยเครื่องมือดูแลระบบ Windows ปกติ ไม่มีมัลแวร์เข้ารหัสไฟล์ กรณีนี้เป็นตัวอย่างชัดของภัยจากคนใน (insider threat) ที่ใช้สิทธิ์และความรู้ที่บริษัทมอบให้มาทำลายระบบเสียเอง
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 6 ตุลาคม 2569 ว่าผู้พิพากษา Michael A. Shipp แห่งศาลแขวงสหรัฐฯ เป็นผู้กำหนดโทษ หลังจำเลยยอมรับว่าโจมตีบริษัทอุตสาหกรรมที่ไม่เปิดเผยชื่อ ตามคำฟ้องอาญา (criminal complaint) ผู้สืบสวนสาวกิจกรรมมุ่งร้ายกลับไปถึง VM ที่ไม่ได้รับอนุญาตซึ่งถูกสร้างขึ้นในเครือข่ายบริษัทเมื่อวันที่ 9 พฤศจิกายน 2566
VM ลับนี้กลายเป็นทางผ่านไปยัง domain controller ที่ควบคุมการยืนยันตัวตนของทั้งเครือข่าย ผู้สืบสวนพบว่ามันเข้าใช้บัญชีแอดมินโดเมนที่ถูกต้องตามกฎหมายผ่านเซสชัน remote desktop ซ้ำหลายครั้งระหว่างวันที่ 10–25 พฤศจิกายน 2566 ราว 16.00 น. ของวันที่ 25 พฤศจิกายน ผู้ดูแลระบบเริ่มได้รับการแจ้งเตือนการรีเซ็ตรหัสผ่าน และพบว่าบัญชีแอดมินโดเมนอื่น ๆ ถูกลบ จนไม่มีสิทธิ์ผู้ดูแลเหลือในเครือข่าย
ราว 44 นาทีต่อมา พนักงานได้รับอีเมลจากภายนอกหัวข้อ “Your Network Has Been Penetrated” เรียกค่าไถ่ 20 บิตคอยน์ภายในวันที่ 2 ธันวาคม 2566 และขู่ว่าจะปิดเซิร์ฟเวอร์แบบสุ่มวันละ 40 เครื่องเป็นเวลา 10 วันหากไม่จ่าย อีเมลยังอ้างว่าลบแบ็กอัปไปแล้ว แต่คำฟ้องระบุว่าเป็นเพียงคำกล่าวอ้างในอีเมล ไม่ใช่สิ่งที่ยืนยันได้จากการพิสูจน์หลักฐานดิจิทัลแยกต่างหาก
วิธีการโจมตี
ตั้งแต่ราว 08.12 น. ของวันที่ 25 พฤศจิกายน 2566 บัญชีแอดมินโดเมนสร้าง scheduled task ที่ไม่ได้รับอนุญาตราว 16 รายการ โดย 6 รายการตั้งให้ทำงานในบ่ายวันเดียวกัน เพื่อลบบัญชีแอดมินโดเมน 13 บัญชีและเปลี่ยนรหัสผ่านบัญชีผู้ใช้โดเมน 301 บัญชี ส่วนที่เหลือตั้งให้ปิดเซิร์ฟเวอร์หลายสิบเครื่องเริ่มตั้งแต่วันที่ 3 ธันวาคม ซึ่งตรงกับคำขู่ในอีเมลเรียกค่าไถ่
การเปลี่ยนบัญชีโดเมนใช้คำสั่ง net user ส่วนการเปลี่ยนรหัสผ่านแอดมินในเครื่องใช้ PsPasswd จากชุดเครื่องมือ Sysinternals ของบริษัท Microsoft ซึ่งกระทบบัญชีบน 254 เซิร์ฟเวอร์และ 3,284 เครื่องลูกข่าย การโจมตีทั้งหมดจึงอาศัยเครื่องมือดูแลระบบที่ถูกต้องตามกฎหมาย (living off the land) ทำให้แยกจากงานของผู้ดูแลระบบปกติได้ยาก
ผู้สืบสวนเชื่อมโยง VM ลับเข้ากับแล็ปท็อปและบัญชีผู้ใช้ที่บริษัทมอบให้นาย Rhyne บันทึกการเข้าอาคารและภาพกล้องวงจรปิดระบุว่าเขาอยู่ที่สำนักงานใหญ่ก่อนการล็อกอินแล็ปท็อปและการเข้า VM ที่สอดคล้องกัน การเชื่อมต่อระยะไกลยังมาจาก IP ที่จดทะเบียนกับบ้านพักของเขา และในเช้าวันโจมตีผู้สืบสวนต่อลำดับเหตุการณ์ได้ตั้งแต่การล็อกอินแล็ปท็อป การเชื่อมต่อจากเครือข่ายบ้าน การเข้า VM ลับ ไปจนถึงเซสชัน remote desktop เข้า domain controller อีกจุดเชื่อมโยงคือรหัสผ่าน “TheFr0zenCrew!” ที่ใช้ซ้ำทั้งกับ VM ลับ บัญชีโดเมนที่ถูกแก้ และบัญชีอีเมลเรียกค่าไถ่ นอกจากนี้ยังพบประวัติการค้นหาเรื่องการเปลี่ยนรหัสผ่าน การลบบัญชี การสั่งปิดเครื่องระยะไกล และการล้างล็อก Windows
ผลกระทบ
แม้ไม่มีการเข้ารหัสไฟล์ แต่ผลต่อองค์กรใกล้เคียงกับแรนซัมแวร์ เพราะผู้ดูแลระบบถูกตัดสิทธิ์ทั้งหมดในเวลาไม่กี่ชั่วโมง และเครื่องหลายพันเครื่องเข้าใช้งานไม่ได้ กรณีนี้แสดงว่าคนในที่มีสิทธิ์สูงและรู้โครงสร้างระบบดีทำความเสียหายได้รุนแรงโดยใช้เพียงเครื่องมือมาตรฐาน และการสร้าง VM บนแพลตฟอร์ม virtualization ที่ตัวเองดูแลอยู่ก็หลบสายตาการตรวจสอบได้หลายสัปดาห์
ในอีกด้าน คดีนี้ยืนยันว่าร่องรอยของผู้โจมตีภายในมักชัดกว่าผู้โจมตีภายนอก ทั้งบันทึกการเข้าอาคาร ภาพกล้อง IP บ้าน และนิสัยใช้รหัสผ่านซ้ำ ล้วนเป็นหลักฐานที่องค์กรมีอยู่แล้ว ขอเพียงเก็บไว้และนำมาเชื่อมโยงกันได้
คำแนะนำ
- แยกหน้าที่ (separation of duties) ระหว่างผู้ดูแลแพลตฟอร์ม virtualization กับผู้ดูแลโดเมน และตรวจหา VM ที่ไม่มีในทะเบียนทรัพย์สินเป็นระยะ
- เฝ้าระวังการสร้าง scheduled task บน domain controller การลบบัญชีกลุ่ม Domain Admins และการเปลี่ยนรหัสผ่านจำนวนมากในเวลาสั้น ๆ
- ใช้ Windows LAPS จัดการรหัสผ่านแอดมินในเครื่อง และจำกัดการใช้เครื่องมืออย่าง PsPasswd ด้วย application control
- เก็บบัญชีแอดมินฉุกเฉิน (break-glass) แบบออฟไลน์ที่ไม่ขึ้นกับโดเมนหลัก และมีแบ็กอัปแบบ immutable/ออฟไลน์ที่คนในคนเดียวลบไม่ได้
- ทบทวนสิทธิ์และเฝ้าระวังพิเศษกับพนักงานสิทธิ์สูงที่มีปัจจัยเสี่ยง เช่น กำลังจะลาออกหรือมีข้อพิพาทกับองค์กร และเปิดบันทึกเซสชัน RDP ไปยัง domain controller