แฮกเกอร์ดัดแปลงปฏิทินของ MS365
แฮกเกอร์ดัดแปลงปฏิทินของ MS365 มาเป็นช่องทางส่งคำสั่งให้มัลแวร์
จากรายงานโดยเว็บไซต์ Cyber Security News ได้กล่าวถึงการตรวจพบช่องโหว่บนปฏิทิน Microsoft 365 Calendar ที่สามารถนำมาใช้เป็นช่องทางในการส่งทอดคำสั่ง (Command) ที่ได้รับมาจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ไปยังตัวมัลแวร์ และใช้เป็นตัวกลางในการสื่อสารจากมัลแวร์กลับไปยังเซิร์ฟเวอร์ เรียกได้ว่าเป็นเทคนิคการสื่อสาร 2 ทางแบบที่ไม่ต้องติดต่อกันโดยตรง (Dead Drop) ซึ่งคำสั่งที่รับส่งกันนั้นจะเนียนปลอมตัวเป็นคำเชิญ (Invite) สำหรับเข้าร่วมอีเวนท์บนปฏิทิน โดยทุกอีเวนท์นั้นถูกตั้งเวลาไว้อีก 24 ปีข้างหน้า ซึ่งโดยมากนั้นพบว่าถูกตั้งเวลาไว้เป็นวันที่ 13 พฤษภาคม ค.ศ. 2050 (พ.ศ. 2593) ทำให้มีความแนบเนียนจนผู้ใช้งานหลายรายไม่รู้ตัวเนื่องจากไม่พบอีเวนท์ปรากฏอยู่บนปฏิทินของเหยื่อ ทางทีมวิจัยจาก Group-IB บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์จากประเทศสิงคโปร์ระบุว่า มัลแวร์ที่เป็นประเด็นนี้ยังใช้งานช่องทางนี้ในการลอบส่งไฟล์ที่ขโมยจากเครื่องของเหยื่อ (Exfiltration) ในรูปแบบไฟล์ที่แนบไปกับคำเชิญอีกด้วย เรียกได้ว่าแนบเนียนจนร้ายกาจ
โดยมัลแวร์ที่เป็นประเด็นนี้มีชื่อว่า HOLLOWGRAPH ซึ่งเป็นมัลแวร์ที่ถูกสร้างขึ้นด้วยภาษา .NET ที่มีความสามารถในการใช้งานกุญแจ Microsoft Graph API หลังจากที่แฮกบัญชี Microsoft 365 ได้สำเร็จ ตัวมัลแวร์นี้มีการสนับสนุนการใช้งานคำสั่งเพียงแค่ 2 อย่าง คือ get และ send เท่านั้น เพื่อใช้งานในการรับส่งคำสั่งตามวิธีข้างต้น โดยข้อมูลทั้งหมดที่ถูกส่งผ่าน Microsoft Graph API นี้จะถูกเข้ารหัสอย่างแน่นหนาด้วยวิธีการเข้ารหัส (Encryption) แบบลูกผสมระหว่าง AES 256-GCM และ RSA จนเรียกได้ว่ามีความปลอดภัยจากการถูกตรวจจับที่สูง
นอกเหนือจากการใช้งานปฏิทินเป็นตัวกลางแล้ว ตัวมัลแวร์ HOLLOWGRAPH ยังได้มีการนำเอาเทคนิคอื่น ๆ มาใช้งานอีก นั่นคือ การสร้างช่องทางรับส่งข้อมูล (Tunnelling) ผ่าน DNS ด้วยวิธีการสอบถามระเบียน (Record Queries) ของ IPv6 AAAA ไปยังโดเมนชื่อว่า “cloudlanecdn[.]com” ซึ่งวิธีการดังกล่าวนี้จะช่ วยให้ตัวมัลแวร์สามารถอัปเดตข้อมูลรหัสการเข้าสู่ระบบ Microsoft Entra ID (Azure AD) ได้อย่างเงียบเชียบ แล้วทำการลักลอบจัดเก็บข้อมูลอัปเดตไว้ในไฟล์ที่ดูไม่มีพิษภัยชื่อ logAzure.txt
ทางทีมวิจัยได้ทำการสืบลึกลงไปจนมั่นใจค่อนข้างมากว่า มัลแวร์ HOLLOWGRAPH นั้นเป็นส่วนหนึ่งของเฟรมเวิร์กการเปิดประตูหลังของระบบ (Backdoor) ที่มีชื่อว่า Cavern ซึ่งเป็นชุดเครื่องมือสำหรับการควบคุมและสั่งการ (Command and Control Toolkit) แบบโมดูล ที่ทางทีมวิจัยจาก Check Point บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์อีกแห่งหนึ่งเคยบันทึกไว้ว่า ชุดเครื่องมือดังกล่าวมีความเกี่ยวข้องกับกลุ่มผู้ก่อการร้ายทางไซเบอร์จากประเทศอิหร่านชื่อว่า “Cavern Manticore” เนื่องจากตัว Syntax ของคำสั่ง และตัวโค้ดหลายอย่างนั้นมีความคล้ายคลึงกัน
ด้านการระบาดนั้น ทางทีมวิจัยระบุว่าพบเครื่องที่ติดมัลแวร์ ตัวนี้เพียงแค่ 12 เครื่องเท่านั้น ทำให้ยังถือว่าการระบาดยังไม่เข้าขั้นสเกลใหญ่ จนน่าจะเป็นการโจมตีแบบเฉพาะเจาะจงมากกว่า นอกจากนั้นยังแนะนำวิธีการตรวจสอบว่าเครื่องติดมัลแวร์หรือยัง ? ด้วยการค้นหาอีเวนท์บนปฏิทิน Microsoft 365 Calendar บนวันที่ 2050-05-13 ที่มีหัวข้ออีเวนท์เป็นหัวข้อที่แบบ GUID เปล่า ๆ หรือมีรูปแบบการตั้งชื่อแบบ “Event ID:” และ “Boss{..}ID{..}” ร่วมกับไฟล์แนบที่มีชื่อ File{n}.txt ซึ่งถ้ามีทั้งหมดนี้อยู่แปลว่าระบบนั้นติดมัลแวร์แล้ว
จากประสบการณ์ส่วนตัวที่ติดตามข่าวสารด้านความปลอดภัยไซเบอร์มาโดยตลอด เหตุการณ์ที่แฮกเกอร์ใช้ Microsoft 365 Calendar เป็นช่องทางสื่อสารกับมัลแวร์นั้นถือว่าน่าสนใจและท้าทายความสามารถในการตรวจจับมาก เพราะปฏิทินอีเมลเป็นฟีเจอร์ที่ผู้ใช้งานทั่วไปมักไม่ระมัดระวัง ส่วนใหญ่มองว่าเป็นแค่ปฏิทินนัดหมายปกติเท่านั้น เทคนิค Dead Drop ที่มัลแวร์ HOLLOWGRAPH ใช้อาศัยคำเชิญในปฏิทินที่ถูกตั้งไว้ในวันที่ 13 พฤษภาคม 2050 อายุกว่า 24 ปีข้างหน้า ทำให้คำเชิญเหล่านี้ไม่แสดงขึ้นในปฏิทินทันทีกับผู้ใช้จริง ๆ จึงยากต่อการตรวจจับในเชิงการใช้งานปกติ นอกจากนี้ การส่งไฟล์แนบที่ขโมยมาด้วยในรูปแบบไฟล์ข้อความที่แนบมากับคำเชิญยังแฝงตัวได้ดีและดูเหมือนไม่เป็นอันตรายเลย อีกความแยบยลคือการใช้ DNS tunneling ส่งข้อมูลผ่านการสอบถามระเบียน IPv6 AAAA ไปยังโดเมน "cloudlanecdn[.]com" ซึ่งวิธีนี้ทำให้มัลแวร์สามารถอัปเดตข้อมูลรหัสผ่าน Microsoft Entra ID (Azure AD) ได้อย่างลับ ๆ โดยเก็บข้อมูลในไฟล์ logAzure.txt ที่ดูไม่มีพิษภัย สำหรับผมแล้วถือเป็นข้อเตือนใจที่สำคัญว่าการตั้งค่าความปลอดภัยและการตรวจสอบระบบในองค์กรจำเป็นต้องครอบคลุมถึงทุกฟีเจอร์ แม้กระทั่งส่วนที่เคยคิดว่าไม่น่าจะถูกโจมตี วิธีการตรวจสอบว่ามีมัลแวร์นี้แฝงตัวอยู่หรือไม่ ด้วยการค้นหาอีเวนท์ในปฏิทิน Microsoft 365 Calendar วันที่ 2050-05-13 ที่ใช้ชื่ออีเวนท์แบบ GUID สลับกับรูปแบบ "Event ID:" หรือ "Boss{..}ID{..}" พร้อมไฟล์แนบที่ชื่อ File{n}.txt เป็นอีกหนึ่งขั้นตอนที่ผู้ดูแลระบบควรทำอย่างสม่ำเสมอเพื่อป้องกันการแทรกซึม สุดท้ายนี้ ผมขอแนะนำให้ผู้ใช้งานและแอดมินระบบ Microsoft 365 ทุกคนเพิ่มความระมัดระวังในการตรวจสอบการตั้งค่าการแชร์และสิทธิ์การเข้าถึง Microsoft Graph API และติดตามข่าวสารช่องโหว่ใหม่ ๆ อย่างใกล้ชิด เพราะเทคนิคที่แฮกเกอร์นำมาใช้เปลี่ยนแปลงไปตลอดเวลา เราไม่อาจประมาท แม้แต่ฟีเจอร์พื้นฐานอย่างปฏิทินก็มีโอกาสถูกใช้เป็นช่องโหว่ในการโจมตีได้เช่นกัน
พอจะมีคู่มือช่วยสอนเรื่องของโค้ด ค่าตัวแปรต่างๆ ไวยากรณ์ต่างๆได้ไหมครับ อยากศึกษาแบบจริงจัง