กลุ่ม Konni ของเกาหลีเหนือใช้ Google Find Hub และ KakaoTalk รีเซ็ตโทรศัพท์และแพร่มัลแวร์ในเกาหลีใต้

ปฏิบัติการของเกาหลีเหนือใช้แอปที่ผู้ใช้ไว้วางใจโจมตีชาวเกาหลีใต้ได้อย่างไร

ผู้ปฏิบัติการไซเบอร์ที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือดำเนินแคมเปญโจมตีอย่างประสานงาน โดยเปลี่ยนเครื่องมือที่ผู้คนใช้ในชีวิตประจำวันให้กลายเป็นช่องทางโจมตี ตามข้อมูลของนักนิติวิทยาศาสตร์ดิจิทัลในเกาหลีใต้ กลุ่มดังกล่าวเชื่อมโยงกับเครือข่าย Konni ของผู้ปฏิบัติการที่สนับสนุนเปียงยาง โดยขโมยข้อมูลรับรองบัญชี Google เข้าควบคุมโทรศัพท์และแท็บเล็ต Android จากระยะไกลผ่านบริการ Find Hub ของ Google จากนั้นยึดบัญชี KakaoTalk เพื่อส่งมัลแวร์ผ่านเครือข่ายผู้ติดต่อจริง นักวิจัยระบุว่านี่เป็นกรณีแรกที่ยืนยันได้ว่าปฏิบัติการที่เชื่อมโยงกับเกาหลีเหนือเจาะบัญชี Google เพื่อควบคุมอุปกรณ์อัจฉริยะจากระยะไกล โดยใช้ฟังก์ชันจัดการอุปกรณ์ที่มีอยู่ในระบบ

นักวิเคราะห์ความมั่นคงปลอดภัยจาก Genians Security Center ระบุว่า ผู้โจมตีเริ่มต้นด้วยการปลอมตัวเป็นเจ้าหน้าที่ภาษีเพื่อติดตั้งมัลแวร์ หลังเฝ้าติดตามอย่างเงียบ ๆ อยู่ระยะหนึ่ง ผู้บุกรุกก็เข้าสู่ระบบบัญชี Google ที่ขโมยมา แล้วใช้ Find Hub ซึ่งเป็นเครื่องมือความปลอดภัยสำหรับผู้บริโภคที่ช่วยให้เจ้าของค้นหาและปกป้องอุปกรณ์ที่สูญหาย เพื่อติดตามตำแหน่งโทรศัพท์และสั่งรีเซ็ตเป็นค่าโรงงานจากระยะไกล การล้างข้อมูลลบข้อมูลส่วนบุคคลและปิดเสียงการแจ้งเตือนชั่วคราว ซึ่งช่วยให้ขั้นตอนถัดไปสำเร็จ

เมื่อเป้าหมายไม่สามารถรับสายและการแจ้งเตือนได้ ปฏิบัติการก็หันไปใช้โปรแกรม KakaoTalk บนเดสก์ท็อปที่ยังคงเข้าสู่ระบบอยู่ ผู้โจมตีใช้ชื่อและประวัติการสนทนาที่ผู้คนคุ้นเคยของเหยื่อ ส่งไฟล์อันตรายที่ปลอมเป็นโปรแกรมคลายเครียดไปยังรายชื่อผู้ติดต่อ กลยุทธ์นี้ช่วยให้มัลแวร์แพร่ผ่านความไว้วางใจทางสังคม และทำให้ตรวจพบได้ช้าลง เพราะเหยื่อจำนวนมากเข้าใช้งานไม่ได้หรือกำลังวุ่นอยู่กับการกู้คืนโทรศัพท์

Google ระบุว่ากิจกรรมดังกล่าวอาศัยการเข้าถึงบัญชีที่ถูกต้องและฟีเจอร์ที่ใช้งานได้ตามปกติ ไม่ได้อาศัยช่องโหว่ใน Android หรือ Find Hub บริษัทแนะนำให้ผู้ใช้เปิดการยืนยันตัวตนสองขั้นตอนหรือใช้พาสคีย์ และผู้ที่มีความเสี่ยงสูงควรสมัครใช้ Advanced Protection

เกิดอะไรขึ้นในการโจมตี

ปฏิบัติการนี้ดำเนินเป็นขั้นตอน ผสมผสานการหลอกลวงผ่านอีเมล การขโมยบัญชี การควบคุมอุปกรณ์ผ่านระบบคลาวด์ และการใช้แอปส่งข้อความในทางที่ผิด นี่เป็นตัวอย่างของการโจมตีที่อาศัยเครื่องมือที่มีอยู่ในระบบ โดยบริการที่ติดตั้งมาให้และแอปที่ผู้ใช้ไว้วางใจกลายเป็นเครื่องมือของผู้โจมตี เหตุการณ์สองกรณีที่นักสืบสวนให้รายละเอียดไว้ รวมถึงกรณีเมื่อวันที่ 5 และ 15 กันยายน แสดงให้เห็นว่ามัลแวร์แพร่กระจายอย่างรวดเร็วในเครือข่ายส่วนตัวและที่ทำงานได้เพียงใด เมื่อบัญชีหนึ่งถูกเจาะ

ขั้นที่ 1: ฟิชชิงแบบเจาะจงและการบุกรุกเบื้องต้น

การบุกรุกเริ่มจากข้อความที่มุ่งเป้าหมายและปลอมเป็นกรมสรรพากรแห่งชาติเกาหลีใต้ เหยื่อถูกจูงใจให้เปิดไฟล์แนบหรือตัวติดตั้งที่ดูน่าเชื่อถือ รวมถึงไฟล์ที่บรรจุมาในรูปแบบตัวติดตั้ง MSI ที่มีลายเซ็นดิจิทัล เบื้องหลัง ไฟล์เหล่านี้เรียกใช้สคริปต์เพื่อติดตั้งกลไกคงอยู่ในระบบและดาวน์โหลดเครื่องมือเข้าถึงระยะไกล นักวิเคราะห์พบมัลแวร์หลายตระกูลที่เข้าควบคุมระบบ Windows ได้อย่างเต็มรูปแบบ ได้แก่ Lilith RAT, Remcos RAT, Quasar RAT และ RftRAT รวมถึงโปรแกรมโหลดมัลแวร์ที่ใช้ AutoIt มัลแวร์ตรวจสอบระบบ ขโมยข้อมูลรับรองที่บันทึกไว้ในเบราว์เซอร์ และเฝ้าติดตามกิจกรรม เพื่อเตรียมสภาพแวดล้อมสำหรับขโมยบัญชี

เป้าหมายรวมถึงผู้ที่ทำงานกับผู้แปรพักตร์จากเกาหลีเหนือและนักเคลื่อนไหวด้านสิทธิมนุษยชน ข้อความหลอกลวงบางส่วนอ้างว่าเป็นโปรแกรมช่วยคลายเครียด การปรับข้อความให้เข้ากับบทบาทและข้อกังวลของผู้รับช่วยเพิ่มโอกาสที่พวกเขาจะเปิดไฟล์ ซึ่งทำให้ผู้โจมตีเข้าถึงคอมพิวเตอร์ส่วนบุคคลได้

ขั้นที่ 2: ยึดบัญชีและใช้ Find Hub ในทางที่ผิด

เมื่อวางมัลแวร์ไว้ในระบบแล้ว ผู้ปฏิบัติการก็ขโมยข้อมูลรับรองบัญชีของบริการต่าง ๆ เช่น Google และ Naver จากนั้นใช้ข้อมูลเข้าสู่ระบบ Google ที่ขโมยมาเข้าถึง Find Hub บริการนี้ให้เจ้าของอุปกรณ์ตรวจสอบตำแหน่งล่าสุดของโทรศัพท์และสั่งการต่าง ๆ ได้ เช่น ให้ส่งเสียงหรือรีเซ็ตอุปกรณ์เป็นค่าโรงงาน ผู้บุกรุกใช้การตรวจสอบตำแหน่งเพื่อดูว่าเป้าหมายไม่ได้กำลังใช้โทรศัพท์อยู่ แล้วจึงสั่งรีเซ็ตจากระยะไกล นักสืบสวนยังพบร่องรอยว่าในบางกรณีผู้โจมตีลบอีเมลแจ้งเตือนความปลอดภัยและล้างโฟลเดอร์ถังขยะในกล่องจดหมายเพื่อปกปิดร่องรอย มีการส่งคำสั่งรีเซ็ตหลายครั้งเพื่อขัดขวางการกู้คืนและลดหลักฐานในโทรศัพท์

เมื่ออุปกรณ์ถูกรีเซ็ต เจ้าของจะไม่เห็นการแจ้งเตือนใหม่ รวมถึงข้อความเร่งด่วนจากผู้ติดต่อที่ถามถึงไฟล์แปลก ๆ การล้างข้อมูลยังลบร่องรอยที่อาจเปิดโปงการบุกรุก ทำให้ผู้โจมตีมีเวลาดำเนินขั้นตอนถัดไปจากอุปกรณ์อีกเครื่องที่ยังเข้าสู่ระบบบัญชีของเหยื่ออยู่

ขั้นที่ 3: ใช้ KakaoTalk เป็นกระบอกเสียงแพร่มัลแวร์

KakaoTalk เป็นแอปที่แทบทุกคนในเกาหลีใต้ใช้ และผู้ใช้จำนวนมากยังคงเข้าสู่ระบบบนคอมพิวเตอร์ หลังรีเซ็ตโทรศัพท์ ผู้โจมตีก็เปลี่ยนไปใช้โปรแกรม KakaoTalk บนพีซีของเหยื่อเพื่อเผยแพร่ไฟล์อันตรายอย่างรวดเร็ว ข้อความถูกส่งออกไปในชื่อจริงและใช้รูปโปรไฟล์ของเหยื่อ มักมาพร้อมข้อความสั้น ๆ และไฟล์แนบ ผู้รับที่เชื่อใจผู้ส่งเปิดไฟล์ ทำให้ติดตั้งมัลแวร์และเพิ่มจำนวนเครื่องที่ถูกเจาะ หนึ่งกรณีมีการส่งข้อความถึงผู้ติดต่อมากกว่า 30 รายภายในไม่กี่นาที อีกกรณีหนึ่งเป็นการส่งไฟล์พร้อมกันในวงกว้างจากบัญชีที่ถูกเจาะอีกบัญชีหนึ่งในอีกสิบวันต่อมา

ใครอยู่เบื้องหลังแคมเปญนี้

กิจกรรมนี้ระบุว่าเป็นฝีมือของเครือข่าย Konni ซึ่งเป็นเครือข่ายจารกรรมไซเบอร์ที่เชื่อมโยงกับเกาหลีเหนือและมีส่วนทับซ้อนกับกลุ่มที่ติดตามกันอย่างแพร่หลายในชื่อ Kimsuky และ APT37 บริษัทความมั่นคงปลอดภัยแต่ละแห่งใช้ชื่อเรียกผู้ปฏิบัติการกลุ่มเดียวกันหรือกลุ่มพันธมิตรใกล้ชิดต่างกันไป เช่น Earth Imp, Opal Sleet, Osmium, TA406 และ Vedalia ทีมเหล่านี้ใช้โครงสร้างพื้นฐานและชุดเครื่องมือร่วมกันในแคมเปญที่มุ่งเป้าไปยังหน่วยงานรัฐบาลเกาหลีใต้ สถาบันการศึกษา สื่อ ภาคประชาสังคม และชุมชนคริปโทเคอร์เรนซี

ผู้ปฏิบัติการเกาหลีเหนือมีประวัติมุ่งเป้าโจมตีอุปกรณ์มือถือ ตัวอย่างเช่น นักวิจัยเคยบันทึกสปายแวร์ Android ที่ปลอมเป็นแอปอรรถประโยชน์หรือแอปความปลอดภัย โดยมีความสามารถบันทึกเสียง จับภาพหน้าจอ และขโมยไฟล์ สิ่งที่ทำให้แคมเปญครั้งนี้แตกต่างคือการใช้ระบบจัดการอุปกรณ์ที่ผูกกับบัญชีในทางที่ผิดเพื่อล้างข้อมูลโทรศัพท์ แล้วเปลี่ยนไปใช้เซสชันแอปส่งข้อความบนเดสก์ท็อปทันทีเพื่อแพร่กระจายต่อ การผสานวิธีเหล่านี้ชี้ถึงการประสานงานที่ซับซ้อนระหว่างหลายแพลตฟอร์ม ไม่ใช่มัลแวร์สายพันธุ์เดียวที่ทำงานลำพัง

เหตุใดการใช้ Find Hub ในทางที่ผิดจึงเป็นจุดเปลี่ยน

กลุ่มที่เชื่อมโยงกับเกาหลีเหนือใช้มัลแวร์ที่พัฒนาขึ้นเองควบคู่กับข้อมูลรับรองที่ขโมยมาและเครื่องมือที่ใช้งานได้ตามปกติมานานหลายปี การใช้ Find Hub ในทางที่ผิดยกระดับความเสี่ยง เพราะเปลี่ยนฟีเจอร์ความปลอดภัยสำหรับผู้บริโภคให้กลายเป็นเครื่องมือล้างข้อมูลจากระยะไกลและสร้างความไขว้เขว การรีเซ็ตทำให้โทรศัพท์ใช้การไม่ได้ ลบร่องรอยข้อมูลจารกรรม และปิดกั้นคำเตือนผ่านช่องทางอื่นในช่วงเวลาที่สำคัญที่สุด เปิดทางให้ใช้เซสชันเดสก์ท็อปที่ยังเข้าสู่ระบบอยู่เพื่อเผยแพร่ไฟล์ได้อย่างรวดเร็ว

วิธีการนี้ยังทำให้การรับมือเหตุการณ์ซับซ้อนขึ้น ข้อมูลเทเลเมทรีและหลักฐานบางส่วนที่อยู่ในโทรศัพท์จะหายไปเมื่อมีการรีเซ็ต กิจกรรมที่เกี่ยวข้องกระจายอยู่ระหว่างอุปกรณ์ บัญชีคลาวด์ และโปรแกรมบนเดสก์ท็อป ผู้ป้องกันต้องรวบรวมข้อมูลจากทั้งสามส่วนเพื่อสร้างลำดับเหตุการณ์ขึ้นมาใหม่ให้ครบถ้วน นักวิเคราะห์ของ Genians เรียกวิธีนี้ว่าเป็นจุดเปลี่ยนสำคัญของปฏิบัติการขั้นสูงที่เชื่อมโยงกับเกาหลีเหนือ

ในรายงานกรณีนี้ Genians Security Center ระบุว่า:

การผสานการทำให้อุปกรณ์ใช้การไม่ได้เข้ากับการแพร่กระจายผ่านบัญชี เป็นสิ่งที่ไม่เคยพบในกรณี APT ที่ได้รับการสนับสนุนจากรัฐซึ่งเป็นที่รู้จักมาก่อน

ผลกระทบต่อเหยื่อและความเสียหายต่อชีวิตผู้คน

ผู้บุกรุกไม่ได้เลือกเป้าหมายแบบสุ่ม นักสืบสวนระบุว่าโทรศัพท์ของนักจิตวิทยาที่ให้คำปรึกษาแก่นักเรียนผู้แปรพักตร์จากเกาหลีเหนือถูกรีเซ็ตเมื่อวันที่ 5 กันยายน ในช่วงเวลาไม่นานหลังจากนั้น บัญชี KakaoTalk ของนักจิตวิทยารายนี้ถูกใช้ส่งไฟล์ที่ระบุว่าเป็นโปรแกรมคลายเครียดให้แก่ผู้รับคำปรึกษา เมื่อผู้รับหลายรายเปิดไฟล์ เครื่องของพวกเขาก็ติดมัลแวร์ การเลือกใช้ทั้งแอปส่งข้อความและเนื้อหาข้อความอาศัยความไว้วางใจและความเกี่ยวข้องกับชีวิตของผู้รับ

สิบวันต่อมา นักเคลื่อนไหวด้านสิทธิมนุษยชนที่ทำงานเกี่ยวกับเกาหลีเหนือก็เผชิญเหตุคล้ายกัน อุปกรณ์ Android ของเขาถูกรีเซ็ตจากระยะไกลผ่าน Find Hub จากนั้นบัญชี KakaoTalk ของนักเคลื่อนไหวก็ส่งไฟล์อันตรายไปยังคนรู้จัก 36 ราย ในทั้งสองกรณี โทรศัพท์ของเหยื่อรับสายหรือการแจ้งเตือนไม่ได้ในช่วงชั่วโมงแรกที่สำคัญ ทำให้คำเตือนจากผู้ติดต่อที่สงสัยว่ามีสิ่งผิดปกติล่าช้าออกไป

สำหรับเหยื่อบางราย การล้างข้อมูลทำให้ภาพถ่าย เอกสาร รายชื่อผู้ติดต่อ และผลงานที่ทำไว้สูญหาย นักสืบสวนยังพบโมดูลมัลแวร์ที่ควบคุมเว็บแคมและไมโครโฟนได้ในพีซีที่ติดมัลแวร์ ทำให้เกิดข้อกังวลว่าอาจมีการใช้กล้องตรวจสอบว่าเหยื่ออยู่ในสถานที่จริงหรือไม่ก่อนสั่งรีเซ็ต ผู้ที่ทำงานกับผู้แปรพักตร์และกลุ่มภาคประชาสังคมในเกาหลีใต้เผชิญความเสี่ยงเฉพาะอยู่แล้ว แคมเปญนี้แสดงให้เห็นว่าชีวิตดิจิทัลในแต่ละวันสามารถถูกนำมาใช้โจมตีพวกเขา จนก่อให้เกิดความเสียหายทั้งส่วนตัวและในอาชีพได้อย่างไร

การตอบสนองจากผู้เชี่ยวชาญและเจ้าหน้าที่

ตำรวจเกาหลีใต้เปิดการสอบสวนเหตุการณ์สองกรณีในเดือนกันยายนแล้ว นักวิเคราะห์ระบุว่าโค้ดและเทคนิคสอดคล้องกับรูปแบบที่เคยเชื่อมโยงกับกลุ่มที่สนับสนุนเกาหลีเหนือ นักสืบสวนเรียกร้องให้ผู้ที่อาจตกเป็นเป้าหมาย รวมถึงนักจิตวิทยาและนักเคลื่อนไหว ตรวจสอบสภาพแวดล้อมทั้งบนเดสก์ท็อปและมือถืออย่างละเอียดเพื่อหาการยึดบัญชี

ทีมความมั่นคงปลอดภัยชี้ว่า ผู้โจมตีไม่จำเป็นต้องอาศัยข้อบกพร่องในการเขียนโปรแกรมของ Android หรือ Find Hub แต่ต้องมีข้อมูลรับรองที่ถูกต้องและเข้าถึงแอปที่ผู้ใช้ไว้วางใจ นักวิจัยแนะนำให้ผู้ให้บริการเพิ่มขั้นตอนยืนยันแบบเรียลไทม์สำหรับการดำเนินการที่มีความอ่อนไหว เช่น การรีเซ็ตจากระยะไกล และให้แอปส่งข้อความแจ้งเตือนอย่างชัดเจนขึ้นหรือหน่วงการส่ง เมื่อโปรแกรมบนเดสก์ท็อปพยายามส่งไฟล์ปฏิบัติการให้ผู้ติดต่อจำนวนมากในช่วงเวลาสั้น ๆ

วิธีปกป้องบัญชี Google และ KakaoTalk

แคมเปญนี้อาศัยข้อมูลเข้าสู่ระบบที่ถูกขโมย เซสชันเดสก์ท็อปที่เปิดค้างไว้ และฟีเจอร์ที่ผู้ใช้ไว้วางใจตามปกติ ขั้นตอนต่อไปนี้ช่วยลดความเสี่ยงและทำให้การใช้บัญชีในทางที่ผิดทำได้ยากขึ้น:

• เปิดการยืนยันตัวตนสองขั้นตอนสำหรับบัญชี Google ควรใช้พาสคีย์หรือกุญแจความปลอดภัย ผู้ที่มีความเสี่ยงสูง เช่น นักเคลื่อนไหวและนักข่าว ควรสมัครใช้ Google’s Advanced Protection Program
• เปิดการตั้งค่าบัญชี Google แล้วเรียกใช้การตรวจสอบความปลอดภัย ลบอุปกรณ์และเซสชันที่ไม่รู้จัก เพิกถอนสิทธิ์ของแอปภายนอกที่ไม่คุ้นเคย และตรวจสอบหมายเลขโทรศัพท์กับอีเมลสำหรับกู้คืนบัญชี
• ตรวจสอบรายชื่ออุปกรณ์ที่ผูกกับบัญชีใน Find Hub หรือ Find My Device และยืนยันว่ารู้จักอุปกรณ์ทุกรายการ ตรวจสอบให้แน่ใจว่าอุปกรณ์แต่ละเครื่องล็อกด้วย PIN ที่รัดกุม และการรีเซ็ตจากระยะไกลต้องผ่านการยืนยันตัวตนของคุณ
• ตรวจสอบความปลอดภัยของอีเมล มองหาตัวกรอง กฎการส่งต่อ หรือสิทธิ์การเข้าถึงที่มอบหมายใน Gmail ซึ่งดูน่าสงสัย ผู้โจมตีอาจเพิ่มกฎเพื่อซ่อนการแจ้งเตือน
• หลีกเลี่ยงการบันทึกรหัสผ่านไว้ในเบราว์เซอร์บนพีซีที่ใช้ร่วมกันหรือไม่มีการจัดการ ใช้โปรแกรมจัดการรหัสผ่านที่เชื่อถือได้และล็อกด้วยรหัสผ่านหลักหรือกุญแจความปลอดภัย
• อัปเดต Android, Windows, macOS และ KakaoTalk ให้เป็นรุ่นล่าสุด ตรวจสอบการตั้งค่า KakaoTalk เพื่อดูว่าพีซีเครื่องใดเข้าสู่ระบบบัญชีของคุณอยู่ และออกจากระบบทุกเครื่องที่ไม่รู้จัก
• ตรวจสอบไฟล์หรือตัวติดตั้งแอปที่ได้รับโดยไม่คาดคิดอย่างรอบคอบ แม้จะส่งมาจากผู้ติดต่อที่ไว้ใจได้ก็ตาม ยืนยันกับผู้ส่งผ่านช่องทางอื่น เช่น โทรศัพท์ ก่อนเปิดไฟล์
• สำรองภาพถ่ายและเอกสารสำคัญไว้ในอุปกรณ์ออฟไลน์ การรีเซ็ตจะไม่กระทบข้อมูลสำรองภายนอกที่ถอดการเชื่อมต่อไว้เมื่อไม่ได้ใช้งาน
• เปิดการแจ้งเตือนเมื่อมีการเข้าสู่ระบบและอ่านอย่างละเอียด หากได้รับการแจ้งเตือนที่น่าสงสัย อย่าคลิกลิงก์ในข้อความ ให้เปิดหน้าต่างเบราว์เซอร์ใหม่และไปที่การตั้งค่าบัญชีโดยตรงเพื่อตรวจสอบกิจกรรม

ขั้นตอนเร่งด่วนหากคิดว่าตกเป็นเป้าหมาย

• ใช้อุปกรณ์ที่สะอาดและอยู่ในการควบคุมของคุณ เปลี่ยนรหัสผ่าน Google และ KakaoTalk จากนั้นเปิดการยืนยันตัวตนสองขั้นตอนหรือใช้พาสคีย์
• เปิดบัญชี Google ตรวจสอบเหตุการณ์ความปลอดภัยล่าสุด และออกจากระบบเซสชันอื่นทั้งหมด เพิกถอนโทเคนของแอปที่ไม่รู้จัก
• ใน Gmail ให้ลบตัวกรองหรือกฎการส่งต่อที่ผิดปกติ ใน KakaoTalk บังคับให้ออกจากระบบจากพีซีทุกเครื่อง แล้วอนุญาตเฉพาะเครื่องที่คุณใช้งาน
• หากโทรศัพท์ถูกรีเซ็ต ให้ถือว่าเป็นอุปกรณ์เครื่องใหม่ ก่อนกู้คืนข้อมูล ให้เปลี่ยนรหัสผ่านบัญชีและตรวจสอบข้อมูลสำหรับกู้คืน กู้คืนข้อมูลจากข้อมูลสำรองที่เชื่อถือได้เท่านั้น
• แจ้งผู้ติดต่อว่าข้อความจากคุณอาจเป็นอันตราย ขอให้พวกเขาอย่าเปิดไฟล์ที่ได้รับและสแกนตรวจสอบความปลอดภัย
• เก็บรักษาหลักฐานไว้เท่าที่ทำได้ อย่าล้างข้อมูลพีซี จับภาพหน้าจอบันทึกกิจกรรมที่น่าสงสัย แล้วติดต่อหน่วยปราบปรามอาชญากรรมไซเบอร์ในพื้นที่หรือทีมความมั่นคงปลอดภัยที่เชื่อถือได้

องค์กรควรทำอะไรในตอนนี้

องค์กรที่มีพนักงานอยู่ในเกาหลีใต้หรือเกี่ยวข้องกับงานด้านเกาหลีเหนือควรถือว่าตนเป็นเป้าหมายที่น่าสนใจ โปรแกรมที่มุ่งเน้นและผสานการรักษาความปลอดภัยด้านตัวตนเข้ากับการตรวจสอบอุปกรณ์ปลายทางจะช่วยลดความเสี่ยงและเร่งการรับมือ

• บังคับใช้การยืนยันตัวตนหลายปัจจัยกับบัญชี Google Workspace และบัญชีผู้ให้บริการด้านตัวตนทั้งหมด ใช้วิธีที่ต้านทานฟิชชิง เช่น พาสคีย์หรือกุญแจความปลอดภัยแบบฮาร์ดแวร์
• เพิ่มความปลอดภัยให้เบราว์เซอร์และปิดการบันทึกรหัสผ่านอัตโนมัติในสภาพแวดล้อมที่ไม่มีการจัดการ จัดหาโปรแกรมจัดการรหัสผ่านระดับองค์กรให้พนักงาน
• ติดตั้งระบบตรวจจับและตอบสนองบนอุปกรณ์ปลายทาง พร้อมกฎที่อิงพฤติกรรมสำหรับโปรแกรมเรียกใช้ AutoIt การใช้สคริปต์ผ่าน MSI ในทางที่ผิด และมัลแวร์ RAT ที่รู้จัก รวมถึง Lilith RAT, Remcos RAT, Quasar RAT และ RftRAT
• บล็อกหรือกักกันไฟล์แนบที่เรียกใช้ได้และตัวติดตั้ง MSI จากผู้ส่งภายนอกที่เกตเวย์อีเมลและแอปส่งข้อความเมื่อทำได้
• ตรวจสอบบันทึกการตรวจสอบบนคลาวด์เพื่อหาการกระทำที่น่าสงสัย รวมถึงกิจกรรมรีเซ็ตจากระยะไกลและการตรวจสอบตำแหน่งซ้ำ ๆ ผ่านบริการจัดการอุปกรณ์ที่ผูกกับบัญชีผู้ใช้
• จัดการจำลองฟิชชิงเป็นประจำ โดยปรับให้เข้ากับข้อความหลอกลวงในพื้นที่ เช่น การแจ้งเตือนจากหน่วยงานภาษี จัดอบรมพนักงานที่ทำงานละเอียดอ่อนร่วมกับผู้แปรพักตร์และนักเคลื่อนไหวในเวลาที่เหมาะสม
• จัดทำแนวทางรับมือกรณีถูกยึดบัญชีอย่างรวดเร็ว ครอบคลุมบัญชี Google โปรแกรม KakaoTalk บนเดสก์ท็อป และการรีเซ็ตอุปกรณ์มือถือ ฝึกใช้แนวทางดังกล่าวผ่านการซ้อมบนโต๊ะ
• จัดช่องทางให้ผู้ติดต่อรายงานข้อความและไฟล์น่าสงสัยที่ดูเหมือนส่งมาจากพนักงาน ถือว่ารายงานเหล่านี้เป็นเรื่องเร่งด่วน

สรุปประเด็นสำคัญ

• นักสืบสวนเชื่อมโยงแคมเปญโจมตีชาวเกาหลีใต้ครั้งใหม่กับเครือข่าย Konni ที่สนับสนุนเกาหลีเหนือ
• ผู้โจมตีขโมยข้อมูลรับรอง Google ใช้ Find Hub ติดตามและรีเซ็ตอุปกรณ์ Android เป็นค่าโรงงาน จากนั้นใช้เซสชัน KakaoTalk บนเดสก์ท็อปในทางที่ผิดเพื่อแพร่มัลแวร์ไปยังผู้ติดต่อ
• กรณีที่พบรวมถึงนักจิตวิทยาที่ให้คำปรึกษาแก่นักเรียนผู้แปรพักตร์จากเกาหลีเหนือและนักเคลื่อนไหวด้านสิทธิมนุษยชน โดยมีการส่งข้อความมัลแวร์ถึงผู้ติดต่อมากกว่า 30 รายในเหตุการณ์หนึ่ง และ 36 รายในอีกเหตุการณ์
• ปฏิบัติการใช้ฟิชชิงแบบเจาะจงที่ปลอมเป็นกรมสรรพากรแห่งชาติ ตัวติดตั้ง MSI ที่มีลายเซ็น สคริปต์ AutoIt และเครื่องมือเข้าถึงระยะไกล รวมถึง Lilith RAT, Remcos RAT, Quasar RAT และ RftRAT
• นักวิจัยระบุว่านี่เป็นกรณีแรกที่ยืนยันได้ว่าผู้ปฏิบัติการซึ่งเชื่อมโยงกับเกาหลีเหนือใช้บัญชี Google ที่ถูกเจาะเพื่อสั่งการอุปกรณ์จากระยะไกลผ่าน Find Hub
• Google ระบุว่ากิจกรรมนี้อาศัยฟีเจอร์บัญชีที่ใช้งานได้ตามปกติและข้อมูลรับรองที่ถูกขโมย ไม่ได้ใช้ช่องโหว่ของ Android หรือ Find Hub พร้อมแนะนำให้ใช้การยืนยันตัวตนสองขั้นตอนหรือพาสคีย์
• ตำรวจเกาหลีใต้กำลังสอบสวน ขณะที่ทีมความมั่นคงปลอดภัยแนะนำให้เพิ่มการป้องกันด้านตัวตน เสริมความปลอดภัยของอุปกรณ์ และตรวจสอบไฟล์ที่ได้รับผ่านแอปส่งข้อความอย่างรอบคอบ
• ผู้ใช้ที่มีความเสี่ยงสูงควรสมัครใช้ Advanced Protection ตรวจสอบอุปกรณ์ที่เข้าสู่ระบบบัญชี Google และ KakaoTalk และสำรองข้อมูลไว้ออฟไลน์เพื่อลดความเสียหายจากการรีเซ็ต