กลุ่มแฮกเกอร์ดัง Kimsuky เริ่มใช้ AI สร้างมัลแวร์สุดแกร่งเพื่อโจมตีระบบ

ในช่วงเดือนที่ผ่านมา ผู้อ่านอาจจะได้อ่านข่าวเกี่ยวกับกลุ่มแฮกเกอร์จากเกาหลีเหนืออย่าง Kimsuky ได้มีการนำเอาปัญญาประดิษฐ์ หรือ AI (Artificial Intelligence) เข้ามาใช้เพื่อปรับปรุงขั้นตอนการทำงาน (Workflow) ในการสร้าง และปฏิบัติการเกี่ยวกับมัลแวร์ และตอนนี้ดูเหมือนว่าความพยายามนั้นจะผลิดดอกออกผลแล้ว

จากรายงานโดยเว็บไซต์ Biggo Finance ได้กล่าวถึงการตรวจสอบไฟล์มัลแวร์ในรูปแบบไฟล์ Internet Shortcut สกุล LNK ที่มีการปลอมตัวแอบอ้างว่าเป็นไฟล์เกี่ยวกับการเงิน เช่น การคืนเงิน, เรียกเก็บเงิน, หรือ คืนภาษี และไฟล์เอกสารตัวล่อ (Decoy Documents) กว่า 13 ตัวอย่าง ซึ่งถูกเก็บได้ใช้ระหว่างวันที่ 11 - 18 สิงหาคม ที่ผ่านมา โดยทางทีมวิจัยจาก Genians Security Center องค์กรผู้เชี่ยวชาญด้านการตามล่าภัยไซเบอร์ ซึ่งภายในไฟล์นั้นมีร่องรอยหลายอย่างว่าแฮกเกอร์ได้มีการนำเอาเครื่องมือ AI อย่าง Opencode ซึ่งเป็นเครื่องมือสำหรับการเขียนโค้ด และสร้างไฟล์ตามคำสั่งแบบภาษาธรรมชาติ (Natural Language) ที่ถูกป้อนให้มาโดยผู้สั่ง

ภาพจาก : https://finance.biggo.com/news/5cd2e3bd-2c63-4a92-9dc4-927f7a161c9e

สาเหตุที่ทางทีมวิจัยสามารถตรวจสอบได้ว่าตัวไฟล์มัลแวร์นั้นถูกสร้างขึ้นด้วยเครื่องมือ AI นั้น ก็เนื่องมาจากว่า เครื่องมือ AI ทุกชนิดนั้นจะมีการทิ้งอัตลักษณ์ (Fingerprint) ของตัว AI นั้น ๆ ไว้ ซึ่งเหล่า Decoy File ที่ตรวจสอบนั้นก็พบร่องรอยดังกล่าวว่า ตัวไฟล์ไม่ได้ถูกสร้างโดยซอฟต์แวร์ที่ใช้สร้างไฟล์เอกสารตามปกติ แต่เป็นการสร้างขึ้นมาด้วยเครื่องมือ AI จากการที่ไม่มีร่องรอยการแก้ไขเหมือนซอฟต์แวร์ที่ผู้คนทั่วไปใช้งาน เช่น Word แต่เป็นการสร้างขึ้นเพียงครั้งเดียว นอกจากนั้นในส่วนของข้อมูลบนเอกสารที่ไม่ได้มีการบอกรายละเอียดชัดเจน ตัว AI ดังกล่าวนั้นจะมีการใช้คำว่า Placeholder เพื่อแทนที่ข้อมูลว่างชุดดังกล่าว ทำให้เห็นชัดว่าเป็นการสร้างด้วย AI แน่นอน และที่เอกสารที่ดูสร้างแบบชุ่ย ๆ หลุดออกมาได้ก็เพราะกลุ่มแฮกเกอร์นั้นไม่ได้ทำการตรวจสอบให้ดีเสียก่อน

และเมื่อทำการสืบลึกเข้าไปอีก ก็ได้พบว่าแท้จริงแล้วกลุ่มแฮกเกอร์ที่อยู่เบื้องหลังก็คือกลุ่ม Kimsuky อันเนื่องมาจากอัตลักษณ์ของการสร้าง Attributes ภายในไฟล์ LNK นั้นมีความเหมือนกับอัตลักษณ์ของทางกลุ่มที่อยู่ภายในแคมเปญ Operation GitPower ที่มีการใช้ Execution Arguments ที่ยาวเหยียดผิดปกติ, วิธีการต่อชิ้นส่วนเศษ URL, การกำหนดเวลาทำงาน (Task Scheduling) แบบซ่อนเร้น ทั้งยังมีการใช้ไฟล์หลอกล่อที่เน้นการแอบอ้างเอกสารทางการเงิน หรือ ทางกฎหมาย ซึ่งทั้งหมดนี้เป็นอัตลักษณ์การทำงานของทางกลุ่ม Kimsuky ที่ชัดเจนมาก

ในส่วนการทำงานของมัลแวร์นั้น ตัวมัลแวร์จะทำการเชื่อมต่อไปยังบัญชี Github ของแฮกเกอร์เพื่อรับคำสั่งเพิ่มเติม ขณะที่บางเวอร์ชันจะเป็นการรับคำสั่งจาก Pastebin แทน และบางเวอร์ชันนั้นใช้ 2 ช่องทางเผื่อช่องทางใดช่องทางหนึ่งถูกปิดตัวลง หลังจากที่มัลแวร์ฝังลงเครื่องสำเร็จแล้ว ตัวมัลแวร์ก็จะทำ Task Scheduling ด้วยการเนียนเป็น ฟีเจอร์ BitLocker หรือ ซอฟต์แวร์ MATLAB ซึ่ง Task นี้จะทำงานทุก ๆ 5 นาทีเพื่อดาวน์โหลดคำสั่งเพิ่มเติมลงมาจากทาง Github หรือ ช่องทางอื่นที่กล่าวไว้ข้างต้น นอกจากนั้นในเวอร์ชันใหม่ ๆ ยังได้มีการปรับปรุงความสามารถในการหลบเลี่ยงการถูกตรวจจับด้วยการตรวจสอบว่า มีเครื่องมือตรวจสอบความปลอดภัยไซเบอร์ตัวไหนถูกรันอยู่ ถ้าตรวจพบ ตัวมัลแวร์ก็จะหยุดทำงานชั่วคราว และลบประวัติการใช้งานคำสั่งต่าง ๆ ทิ้งในทันที