เมื่อปีที่แล้ว เราเห็นกลุ่มทุน Symphony Technology Group (STG) เข้าซื้อบริษัทความปลอดภัย 2 แห่งคือ FireEye และ McAfee Enterprise พร้อมประกาศว่าจะควบรวมทั้งสองบริษัทเข้าด้วยกัน

Symphony Technology Group หรือ STG ประกาศแผนควบรวมกิจการบริษัทที่ซื้อมา ได้แก่ McAfee Enterprise และ FireEye โดยจะรวมเป็นบริษัทใหม่แห่งเดียว และแต่งตั้ง Bryan Palma อดีตผู้บริหาร BlackBerry และ Cisco ขึ้นเป็นซีอีโอของบริษัทใหม่นี้

บริษัทความปลอดภัย FireEye ประกาศขายกิจการส่วนของ FireEye เดิม (network, email, endpoint, cloud security) รวมถึงชื่อแบรนด์ FireEye ให้กับกลุ่มบริษัท Symphony Technology Group (STG) ในราคา 1.2 พันล้านดอลลาร์

หลังจากขายกิจการแล้ว FireEye เดิมจะเหลือส่วนธุรกิจวิเคราะห์ข้อมูลความปลอดภัย Mandiant ที่ซื้อกิจการมาในปี 2013 (และคาดว่าจะเปลี่ยนชื่อนิติบุคคลกลับมาเป็น Mandiant)

ซีอีโอคนปัจจุบันของ FireEye คือ Kevin Mandia ผู้ก่อตั้ง Mandiant นั่นเอง (รับตำแหน่งในปี 2016) ส่วนเหตุผลที่ต้องแบ่งครึ่งบริษัทเป็นเพราะธรรมชาติของธุรกิจทั้งสองปีกต่างกัน และมองว่า Mandiant มีโอกาสเติบโตมากกว่า จึงแยกบริษัทเพื่อให้โฟกัสกับ Mandiant เต็มที่

กรณี SolarWinds เป็นการแฮ็กครั้งใหญ่ที่สะเทือนหน่วยงานจำนวนมาก แถมยังตรวจจับได้ยากมาก เพราะมัลแวร์แฝงตัวมากับซอฟต์แวร์ที่ถูกเผยแพร่อย่างเป็นทางการ (แฮ็กตั้งแต่ระบบซัพพลายเชน) ล่าสุดยังมี MalwareBytes ที่โดนโจมตีจากแฮ็กเกอร์กลุ่มเดียวกัน

FireEye ในฐานะบริษัทที่ตรวจพบมัลแวร์ที่แอบใน SolarWinds ออกเครื่องมือช่วยตรวจจับการโจมตีของแฮ็กเกอร์กลุ่มนี้ (ถูกตั้งชื่อว่ากลุ่ม UNC2452) ที่หันมานิยมการโจมตีผ่านคลาวด์ Azure โดยเริ่มจากการขโมยโทเคนล็อกอิน Active Directory Federation Services ก่อน เมื่อเข้ามาได้แล้วจะฝังแบ็คดอร์ไว้บนแอพพลิเคชันภายในที่รันบน Microsoft 365 อีกที

จุดเริ่มต้นของการค้นพบว่า SolarWinds โดนแฮ็ก แล้วระบาดไปยังลูกค้าของบริษัท เริ่มจากบริษัทความปลอดภัยชื่อดัง FireEye โดนแฮ็กก่อน แล้วสอบสวนไปมาถึงค่อยพบว่าสาเหตุมาจากซอฟต์แวร์ SolarWinds Orion ฝังมัลแวร์เอาไว้

มาถึงตอนนี้เรารู้แล้วว่ามัลแวร์ Solorigate หรือ Sunburst ทำงานอย่างไร มีกระบวนการที่แนบเนียนมาก แต่ถ้ามองย้อนกลับไปถึงตอนแรกสุด การค้นพบของ FireEye ต้องเรียกได้ว่า "โชคช่วย" ค้นพบโดยบังเอิญ และถ้าไม่เกิดเหตุการณ์นี้ ป่านนี้ก็ยังไม่มีใครรู้ว่า Solorigate ฝังตัวอยู่ในหน่วยงานนับหมื่นแห่งด้วยซ้ำ

SolarWinds ผู้ผลิตซอฟต์แวร์มอนิเตอร์เครือข่ายถูกแฮกเกอร์ฝังมัลแวร์เข้าไปยังอัพเดตซอฟต์แวร์สำหรับลูกค้าได้สำเร็จ ทำให้ผู้ใช้ที่ติดตั้งซอฟต์แวร์ SolarWinds Orion เวอร์ชั่น 2019.4 ไปจนถึง 2020.2.1 มีความเสี่ยงถูกโจมตี ล่าสุดทางบริษัทออกแพตช์ 2020.2.1 HF1 มาแล้ว ควรเร่งอัพเดตทันที

ทางด้าน FireEye ออกมารายงานถึงมัลแวร์ที่ฝังมาใน SolarWinds Orion โดยตั้งชื่อว่า SUNBURST เป็นมัลแวร์ที่พยายามหลบซ่อนตัวจากการตรวจจับ หลังเหยื่อหลงติดตั้งอัพเดตที่จริงๆ เป็นมัลแวร์แล้ว ตัวมัลแวร์จะไม่ทำอะไรอยู่ช่วงหนึ่งไม่เกินสองสัปดาห์ จากนั้นมัลแวร์จึงพยายามติดต่อกลับศูนย์ควบคุม แล้วพยายามส่งข้อมูลที่ดูคล้าย SolarWinds API

FireEye บริษัทความมั่นคงปลอดภัยไซเบอร์ชื่อดังเปิดเผยว่าบริษัทถูกแฮกจนสามารถขโมยเอาเครื่องมือแฮกของ Red Team ในบริษัทที่ปกติมีไว้เพื่อทดสอบความปลอดภัยเครือข่ายให้แก่ลูกค้า แม้ว่าเครื่องมือที่หลุดไปจะไม่มีช่องโหว่ 0-day หรือเทคนิคการแฮกที่ไม่เคยเปิดเผยมาก่อน แต่เครื่องมือเหล่านี้ก็จำลองกระบวนการแฮกของกลุ่มแฮกเกอร์ที่โจมตีในโลกความเป็นจริง ทางบริษัทปล่อยคอนฟิกไฟร์วอลล์และแอนตี้ไวรัสกว่า 300 รายการเพื่อลดผลกระทบหากคนร้ายนำเครื่องมือเหล่านี้ไปใช้งาน

บริษัทความปลอดภัย FireEye รายงานว่าค้นพบร่องรอยของแฮ็กเกอร์จากเกาหลีเหนือ (ที่ได้รับการสนับสนุนจากรัฐบาล) พยายามขโมย Bitcoin และสกุลเงินดิจิทัลจากเกาหลีใต้ เพื่อนำเงินทุนนี้ไปใช้งาน

FireEye พบหลักฐานตั้งแต่เดือนพฤษภาคม 2017 ว่าตลาดแลกเปลี่ยนเงินดิจิทัลของเกาหลีใต้อย่างน้อย 3 แห่ง ถูกโจมตีจากเกาหลีเหนือด้วยวิธีการส่งอีเมลล่อลวงพนักงาน และมีความพยายามขโมยเงินเหล่านี้ออกไป

FireEye ประเมินว่าเกาหลีเหนือถูกมาตรการปิดล้อมทางเศรษฐกิจอย่างหนักจากนานาชาติ ทำให้แฮ็กเกอร์เกาหลีเหนือหาทางออกด้วยการขโมยเงินดิจิทัล ที่นำไปขายเปลี่ยนมือได้ง่ายกว่าแทน

FireEye ออกรายงานวิเคราะห์มัลแวร์ RIPPER (ชื่อโครงการในตัวอย่างมัลแวร์ว่า ATMRIPPER) ถูกส่งไปวิเคราะห์บน VirusTotal เมื่อวันที่ 23 สิงหาคมที่ผ่านมาจากไอพีในประเทศไทย ก่อนการรายงานข่าวการแฮกตู้เอทีเอ็มของธนาคารออมสินเพียงไม่กี่นาที มีค่า MD5 เป็น 15632224b7e5ca0ccb0a042daf2adc13 โดยมัลแวร์มุ่งควบคุมระบบจ่ายธนบัตรในตู้เอทีเอ็ม และสามารถรับคำสั่งจากเจ้าของมัลแวร์หากตู้ได้รับบัตร EMV ที่กำหนดไว้

FireEye รายงานถึงการสำรวจความเสี่ยงการถูกโจมตีทางไซเบอร์ (รายงานใช้คำว่า exposed) โดยสำรวจจากลูกค้าของบริษัทเอง พบว่าลูกค้าในไทยมีความเสี่ยงสูงถึง 43% สูงที่สุดในภูมิภาคเอเชียตะวันออกเฉียงใต้ที่เฉลี่ยเพียง 27% เท่าๆ กับเอเชียแปซิฟิค

ทางบริษัทระบุว่าไทยมีความพร้อมในการรับมือภัยคุกคามทางไซเบอร์ที่ต่ำเมื่อเทียบกับ สิงคโปร์, มาเลเซีย, เวียดนาม, หรือ บรูไน สาเหตุหนึ่งเป็นเพราะเราไม่มีกฎหมายที่บริษัทผู้ที่ถูกโจมตีต้องเปิดเผยความเสียหายของการโจมตี รวมไปถึงการรับผิดชอบความเสียหายที่เกิดขึ้นต่อผู้ใช้ ในกรณีที่ข้อมูลรั่วไหล

บริษัทความปลอดภัยเครือข่าย FireEye ซื้อกิจการ iSIGHT Partners บริษัทด้านข้อมูลภัยคุกคามไซเบอร์ (cyber threat intelligence) ที่เน้นตลาดองค์กร ด้วยมูลค่า 275 ล้านดอลลาร์

รูปแบบธุรกิจของ iSIGHT คือมอนิเตอร์ภัยคุกคามใหม่ๆ ที่เกิดขึ้นตลอดเวลาทั่วโลก บริษัทมีนักวิเคราะห์ข้อมูล 250 คนใน 17 ประเทศ และขายบริการข้อมูลแบบจ่ายค่าสมาชิก (subscription) หลังขายให้ FireEye แล้ว ลูกค้าของ iSIGHT ยังใช้บริการได้ต่อไปดังเดิม แต่ FireEye ก็เตรียมขยายบริการข้อมูลเจาะเป็นรายอุตสาหกรรมมากขึ้น

Project Zero ของกูเกิลแจ้งเตือนว่าเซิร์ฟเวอร์ตรวจสอบข้อมูลของ FireEye มีช่องโหว่ทำให้แฮกเกอร์สามารถส่งโค้ดขึ้นไปรันบนเซิร์ฟเวอร์ได้ ช่องโหว่นี้มีความร้ายแรงสูงและทาง FireEye ปล่อยอัพเดตตั้งแต่ไม่กี่ชั่วโมงหลังได้รับแจ้ง หากใครไม่ได้เปิดระบบอัพเดตอัตโนมัติไว้ควรเร่งอัพเดต

ช่องโหว่อยู่ในส่วนการตรวจสอบไฟล์ .jar ของ FireEye ที่ดีคอมไพล์โค้ดออกมาตรวจสอบ และหากพบว่าโค้ดมีความพยายามซ่อนสตริง ตัวดีคอมไพล์จะพยายามรันโค้ดเพื่อดึงเอาสตริงออกมา แนวทางนี้กลายเป็นช่องทางให้แฮกเกอร์สามารถสร้างไฟล์ jar เพื่อกระตุ้นให้ FireEye รันโค้ดที่ต้องการ

มัลแวร์ XcodeGhost ถูกค้นพบมาไม่กี่วัน แม้แอปเปิลจะเร่งถอนแอปเหล่านี้ออกจาก App Store ไปแล้วหลายร้อยตัว ทาง FireEye ก็ออกมาระบุว่าตอนนี้พบแอปที่ติดมัลแวร์เฉพาะใน App Store แล้วมากกว่า 4,000 รายการ

ทาง FireEye เตือนว่า แม้ว่าตอนนี้เซิร์ฟเวอร์สั่งการของ XcodeGhost จะถูกปิดไปแล้ว แต่ตัวมัลแวร์ก็ยังยิง HTTP ออกอินเทอร์เน็ตเพื่อรับคำสั่ง จึงมีความเสี่ยงที่การเชื่อมต่อถูกดักโดยแฮกเกอร์แล้วยิงคำสั่งเข้าสวมรอยแทน ตอนนี้องค์กรควรอัพเดตไฟร์วอลให้แจ้งเตือนเมื่อมีเครื่องในองค์กรติดมัลแวร์และพยายามติดต่อกลับ ในกรณีของ FireEye คือ FireEye NX สามารถตรวจสอบการเชื่อมต่อได้แล้ว

Kristian Hermansen นักวิจัยความปลอดภัย โพสช่องโหว่ของ FireEye Appliance ที่เปิดเผยไฟล์ในระบบ พร้อมกับระบุว่ายังมีช่องโหว่อื่นที่ทำให้แฮกเกอร์สามารถส่งคำสั่งขึ้นไปรันได้ในกรณีที่ล็อกอินแล้ว และพร้อมจะขายช่องโหว่เหล่านี้

เขาอ้างว่า FireEye ไม่มีกระบวนการรับแจ้งช่องโหว่จากภายนอก แต่ที่จริงแล้ว FireEye แจ้งกระบวนการรายงานช่องโหว่ไว้ใน Fire Bounty ทาง FireEye ออกแถลงการณ์ระบุขอบคุณนักวิจัยที่ลงแรงหาช่องโหว่และช่วย FireEye ปรับปรุงสินค้า แต่ทางบริษัทสนับสนุนให้การเปิดเผยช่องโหว่อย่างรับผิดชอบ

มัลแวร์เข้ารหัสไฟล์เรียกค่าไถ่ (ransomware) มีหลายตัวระบาดทั่วโลกและมักดัดแปลงต่อๆ กันมาเป็นตระกูลต่างๆ ทีมงานของ FireEye เข้าใช้งานเว็บถอดรหัสไฟล์ของมัลแวร์ TesaCrypt พบว่าหน้าเว็บพยายามล่อให้เหยื่อของมัลแวร์จ่ายเงินด้วยการเปิดบริการถอดรหัสฟรีหนึ่งไฟล์ขนาดไม่เกิน 512KB ที่สำคัญคือมีหน้าเว็บ Message Center ให้บริการถามตอบกับเหยื่อ

เหยื่อจำนวนมากเข้าไปด่าทอคนร้ายซึ่งมักไม่ได้อะไรนอกจากคำด่ากลับมา บางคนยังไม่เข้าใจว่าเกิดอะไรขึ้นกับเครื่องของตัวเอง คนจำนวนหนึ่งพยายามต่อรองค่าไถ่บางคนสามารถต่อรองได้ถึง 150 ดอลลาร์ บางคนกลับต่อรองได้เพียง 250 ดอลลาร์ ทาง FireEye ระบุว่ามีกรณีที่จ่ายราคาเต็ม 1,000 ดอลลาร์ถึง 19 คน

FireEye รายงานการโจมตีของกลุ่ม APT 28 ที่มีฐานอยู่ในรัสเซีย เจาะเครื่องของเหยื่อเพื่อเข้าควบคุมเครื่องในระดับสิทธิสูงสุด (System Level Privileges) ด้วยช่องโหว่ CVE-2015-1701 ที่ยังไม่เปิดเผยข้อมูลและยังไม่มีแพตช์ในตอนนี้

แฮกเกอร์กลุ่มนี้ เริ่มจากส่งลิงก์ให้เหยื่อผ่านทางเว็บที่ทางกลุ่มควบคุมได้ จากนั้นใช้ HTML และจาวาสคริปต์ส่งไฟล์แฟลชที่เจาะช่องโหว่ CVE-2015-3043 เข้ามารันในเครื่องก่อนแล้วจึงรัน shellcode จากนั้นจึงดาวน์โหลดโปรแกรมเพื่อเจาะ CVE-2015-1701

ช่องโหว่ CVE-2015-3043 นั้นมีแพตช์แล้วทำให้กลุ่มนี้ไม่สามารถเจาะเครื่องที่แพตช์เต็มรูปแบบได้ แต่การที่ทางกลุ่มสามารถเจาะช่องโหว่ที่ยังไม่มีข้อมูลได้ก็แสดงว่าเป็นกลุ่มแฮกเกอร์ที่มีประสิทธิภาพสูง

FireEye ออกรายงานถึงกลุ่มแฮกเกอร์ที่ทางบริษัทตั้งชื่อให้ว่า APT 30 เป็นกลุ่มที่ใช้มัลแวร์ระดับสูงเจาะข้อมูลจากเครือข่ายรัฐบาลชาติอาเซียนและเอเชียใต้ ปฎิบัติการเริ่มมาตั้งแต่ปี 2004

กลุ่ม APT 30 จะปฎิบัติการมากขึ้นในช่วงการประชุมอาเซียน, ช่วงที่มีเหตุการณ์พิพาทด้านเขตแดนระหว่างจีน, อินเดีย, และชาติอาเซียนอื่น

มัลแวร์หลักของกลุ่มนี้คือ BACKSPACE ถูกพัฒนาอย่างเป็นระบบ มีโมดูลตั้งแต่ความสามารถพื้นฐาน เช่น การเรียกกลับศูนย์, ระบบอัพเดต, และฟีเจอร์อื่นๆ ที่ใส่เข้าไปเพิ่มเติมได้ นอกจากนี้ยังมีเครื่องมืออื่นๆ ที่ FireEye ระบุว่ามาจากกลุ่มเดียวกัน ได้แก่ SHIPSHAPE, SPACESHIP, และ FLASHFLOOD เครื่องมือเหล่านี้ออกแบบมาสำหรับการดึงข้อมูลจากเครือข่ายที่แยกออกจากอินเทอร์เน็ต

บริษัทความปลอดภัย FireEye รายงานสถิติการโจมตีบนเว็บว่าเริ่มเห็นทราฟฟิกของมัลแวร์ การแฮ็กระบบ รวมถึง DDoS ที่ใช้ช่องโหว่ "Shellshock" ช่องโหว่ร้ายแรงใน Bash Shell ที่ถูกค้นพบเมื่อสัปดาห์ก่อน รูปแบบการโจมตีที่พบคือแฮ็กเกอร์ไล่สแกนดูเครื่องเซิร์ฟเวอร์ต่างๆ ว่ามีช่องโหว่นี้หรือไม่ โดย FireEye พบว่าทราฟฟิกมักมาจากรัสเซีย และคาดเดาว่าการโจมตีชุดนี้เป็นแค่การ "ลองของ" ก่อนจะยิงชุดใหญ่กว่านี้อีกมากในภายหลัง

ส่วนบริษัทความปลอดภัย Incapsula เก็บสถิติแล้วพบว่าอัตราการโจมตีเฉลี่ยอยู่ราวชั่วโมงละ 725 ครั้ง และมีเว็บไซต์ประมาณ 1,800 โดเมนโดนโจมตีไป ส่วนการโจมตีกระจายมาจากหมายเลขไอพี 400 ชุด และทราฟฟิกส่วนใหญ่มาจากจีน-สหรัฐ

บริษัทความปลอดภัย FireEye วิเคราะห์แอพยอดนิยม 1,000 ตัวแรกบน Google Play และพบว่าแอพประมาณ 68% มีปัญหาช่องโหว่ SSL บางประการ โดยปัญหาที่พบมี 3 รูปแบบใหญ่ๆ คือ

เหตุการณ์แฮกเครื่องรับจ่ายเงิน (POS) ของห้าง Target ผ่านไปสามเดือนกว่าแล้วตอนนี้เข้าสู่ช่วง "เก็บกวาด" ก็มีข้อมูลให้ปะติดปะต่อเรื่องราวกันมากขั้น รายงานล่าสุดจาก Bloomberg ระบุว่ากลุ่มแฮกเกอร์ได้บุกเข้ามาวางมัลแวร์ตั้งแต่วันที่ 27 พฤศจิกายน โดยซอฟต์แวร์ FireEye ที่ห้าง Target ซื้อมาสามารถแจ้งเตือนได้ตั้งแต่วันที่ 30 พฤศจิกายน ทีมงานที่ดูแลการแจ้งเตือนในอินเดียแจ้งเตือนกลับมายังทีมงานความปลอดภัยในสหรัฐฯ แต่ปรากฎว่าไม่มีใครตอบรับการแจ้งเตือนแต่อย่างใด

แฮกเกอร์กลับมาอีกครั้งในวันที่ 2 ธันวาคมเพื่อติดตั้งมัลแวร์รุ่นใหม่ ทาง FireEye และทีมงานในอินเดียก็แจ้งเตือนกลับมาอีกครั้ง แต่ทีมงานก็ยังคงเงียบ