ทีม Bybit ใช้ AI ตรวจแคมเปญปล่อยมัลแวร์ Amos
ทีม Bybit ใช้ AI ตรวจแคมเปญปล่อยมัลแวร์ Amos จนทะลุปรุโปร่งด้วยวิธีการวิศวกรรมย้อนกลับ
นับตั้งแต่ Claude Code กลายมาเป็นประเด็นดังจากการที่โค้ดต้นฉบับ (Source Code) ได้รั่วไหลออกมา ตัวเครื่องมือปัญญาประดิษฐ์ หรือ AI (Artificial Intelligence) ตัวนี้ก็ได้ถูกแอบอ้างเพื่อการปล่อยมัลแวร์จำนวนมาก แต่ในครั้งนี้มัลแวร์ที่อ้างชื่อ AI ดังกล่าวนั้น กำลังจะถูก AI อีกตัวเจาะจนทะลุปรุโปร่ง
จากรายงานโดยเว็บไซต์ PR Newswire ได้กล่าวถึงการที่ทางรักษาความปลอดภัย Security Operations Center (SOC) ของเว็บไซต์ผู้ให้บริการซื้อขายแลกเปลี่ยนคริปโตเคอร์เรนซี (Exchange) ชื่อดัง Bybit ได้นำเอาเครื่องมือ AI เข้ามาตรวจสอบแคมเปญปล่อยมัลแวร์ AMOS ซึ่งเป็นมัลแวร์ประเภทขโมยข้อมูลจากเครื่องของเหยื่อ หรือ Infostealer ที่มุ่งหน้าเล่นงานผู้ใช้งานระบบปฏิบัติการ macOS ซึ่งการใช้เครื่องมือ AI มาตรวจสอบแคมเปญของมัลแวร์ดังกล่าวเรียกได้ว่าทำได้จนทะลุปรุโปร่งด้วยการทำวิศวกรรมย้อนกลับ (Re-Engineering) โดยสามารถล้วงได้ถึงตัวโครงสร้างพื้นฐาน (Infrastructure) ของระบบควบคุม (C2 หรือ Command and Control), เอกลักษณ์ของไฟล์ (File Signature), พฤติกรรมของมัลแวร์ (Behavior Pattern), วงจรชีวิตของมัลแวร์ (Malware Lifecycle), ตัวบ่งชี้การบุกรุก (Indicators of Compromise หรือ IOC) ทั้งหมดนี้ทำได้ภายในเวลา 40 นาทีเท่านั้น โดยร่นระยะเวลาจากการตรวจสอบแบบเดิมที่ใช้เวลาอย่างน้อย 6 - 8 ชั่วโมง โดยทาง Bybit ได้กล่าวว่า ระบบใหม่นี้ช่วยให้ทางทีมงานสามารถรับมือการบุกรุกจากผู้ไม่ประสงค์ดีได้ไวกว่าการทำงานแบบเดิมถึง 70% เลยทีเดียว
สำหรับแคมเปญการแพร่กระจายมัลแวร์ AMOS ในรอบนี้นั้น ทาง Bybit ได้เปิดเผยว่า แฮกเกอร์ได้ใช้วิธีการวางยาการค้นหา คือ SEO Poisoning ที่จะทำให้ผู้ที่ค้นหาคำว่า Claude Code นั้นพบเว็บไซต์ปลอมของแฮกเกอร์เป็นอันดับแรก ๆ ของการค้นหาแทน ซึ่งภายในเว็บไซต์ปลอมนั้นจะมีการตกแต่งหลายอย่างที่ทำให้ออกมาดูน่าเชื่อถือ เช่น เอกสารเกี่ยวกับเครื่องมือ AI คล้ายกับเว็บไซต์จริง เพื่อหลอกล่อให้เหยื่อทำการดาวน์โหลดไฟล์แอปพลิเคชันปลอมที่ทำหน้าที่เป็นมัลแวร์นกต่อ (Dropper) ซึ่งจะนำไปสู่การฝังตัวของมัลแวร์แบบ 2 ขั้น
ในขั้นแรกนั้น ตัว Dropper ในรูปแบบไฟล์ Mach-O จะทำการรันสคริปท์แบบ osascript เพื่อฝังมัลแวร์ Infostealer อย่าง Amos (ในบางครั้งอาจเป็น Banshee) ลงบนเครื่อง ตามมาด้วยการตีรวนระบบป้องกันภัยไซเบอร์ (Obfuscation) แบบหลายเฟส (Multi-Phase) เพื่อลอบเข้าขโมยข้อมูลสำคัญ เช่น รหัสผ่านต่าง ๆ, รหัสที่ถูกบันทึกไว้บน macOS Keychain, Session การเข้าใช้งานแอปพลิเคชันแชท Telegram, โปรไฟล์การใช้งาน VPN (Virtual Private Network) และข้อมูลกระเป๋าเงินคริปโตเคอร์เรนซี (Wallet) ซึ่งมัลแวร์ตัวนี้สามารถขโมยข้อมูลของกระเป๋าแบบใช้งานในรูปแบบส่วนเสริมของเว็บเบราว์เซอร์ (Extension) ได้มากถึง 250 ตัวเลยทีเดียว
ในขั้นที่สอง จะเป็นการปล่อยไฟล์มัลแวร์ (Payload) อีกตัวหนึ่งซึ่งเป็นมัลแวร์ประเภทเปิดประตูหลังของระบบ (Backdoor) ที่ถูกเขียนขึ้นด้วยภาษา C++ ที่มาพร้อมกับความสามารถในการหลบเลี่ยงระบบตรวจจับในระดับสูง ซึ่งรวมถึงระบบตรวจว่ามัลแวร์นั้นทำงานบนสภาวะจำลองแบบ Sandbox หรือไม่ (Sandbox Detection) และการเข้ารหัส (Encryption) ส่วนของการตั้งค่าของ Runtime ของมัลแวร์ มัลแวร์ตัวนี้จะทำการสร้างความคงทนของตัวเองบนระบบ (Persistence) เพื่อให้สามารถทำงานบนระบบได้ตลอดเวลา แล้วทำการติดต่อกับระบบควบคุมด้วยโปรโตคอล HTTP ให้แฮกเกอร์สามารถเข้าควบคุมระบบจากระยะไกล (Remote Control) ได้
ประสบการณ์ในการใช้ AI เพื่อตรวจจับและวิเคราะห์มัลแวร์แบบละเอียดนั้นกลายเป็นเรื่องที่ไม่น่าเชื่อว่าจะทำได้รวดเร็วและแม่นยำขนาดนี้ เมื่อ Bybit นำ AI มาใช้วิเคราะห์แคมเปญปล่อยมัลแวร์ Amos พวกเขาสามารถเจาะลึกถึงโครงสร้างพื้นฐานของมัลแวร์ เช่น ระบบควบคุม C2, File Signature และพฤติกรรมของมัลแวร์ ได้ภายในเวลาเพียง 40 นาที ซึ่งถือว่าเร็วกว่าเทคนิคการวิเคราะห์แบบดั้งเดิมที่ใช้เวลานานหลายชั่วโมงมาก สิ่งที่น่าสนใจคือเทคนิค SEO Poisoning ที่แฮกเกอร์ใช้ในการล่อเหยื่อ โดยปลอมแปลงเว็บไซต์ให้เหมือนของจริง ชื่อ Claude Code แล้วใช้กลยุทธ์นี้เพื่อหลอกให้คนดาวน์โหลดมัลแวร์ Dropper ที่เป็นจุดเริ่มต้นของการฝังมัลแวร์ Amos หรือบางครั้งก็ Banshee ลงเครื่อง macOS หลังจากนั้นมัลแวร์จะซ่อนตัวด้วยวิธี Obfuscation แบบหลายชั้น เพื่อขโมยข้อมูลสำคัญ ตั้งแต่รหัสผ่านใน Keychain, Session Telegram, โปรไฟล์ VPN ไปจนถึงข้อมูลกระเป๋าเงินคริปโตที่อยู่ในส่วนเสริมของเบราว์เซอร์ได้ถึง 250 ตัว แคมเปญนี้ยังใช้มัลแวร์ประเภท Backdoor เขียนด้วย C++ ซึ่งมีความสามารถในการหลบเลี่ยงระบบ Sandbox และทำให้มันทนทานสามารถเชื่อมต่อและควบคุมระยะไกลได้อย่างต่อเนื่อง สิ่งนี้สะท้อนให้เห็นว่าเทคโนโลยี AI สามารถเป็นได้ทั้งเครื่องมือในการโจมตีและการป้องกัน หากผู้ใช้งานทั่วไปและองค์กรต่าง ๆ เริ่มนำ AI มาช่วยวิเคราะห์ความปลอดภัยไซเบอร์อย่างจริงจัง จะสามารถลดความเสี่ยงและรับมือกับภัยคุกคามได้ดีขึ้น ดังนั้น การเพิ่มความรู้เรื่อง AI ในการรักษาความปลอดภัยและการอัพเดตมาตรการป้องกันอย่างสม่ำเสมอเป็นสิ่งจำเป็นสำหรับผู้ใช้ทุกคนในยุคดิจิทัลนี้
