Google เผยมีสายลับแฝงตัวในแก๊งแฮ็กซัพพลายเชน TeamPCP

Google เปิดเผยเบื้องหลังการสืบสวนกลุ่มแฮ็กเกอร์ TeamPCP ซึ่งถูกมองว่าเป็นหนึ่งในปฏิบัติการโจมตีซัพพลายเชนที่รุนแรงและสร้างความเสียหายมากที่สุดครั้งหนึ่งในประวัติศาสตร์ โดยกลุ่มนี้ถูกกล่าวหาว่าฝังมัลแวร์ลงในโปรแกรมโอเพนซอร์สจำนวนมาก ขโมยบัญชีนักพัฒนาเพื่อขยายการโจมตี และใช้เวิร์มที่แพร่กระจายตัวเองเพื่อเร่งการโจมตีแบบอัตโนมัติ จนท้ายที่สุดกระทบต่อองค์กรมากกว่าพันแห่ง

ประเด็นสำคัญของเรื่องนี้คือ Google ระบุว่าขณะ TeamPCP กำลังขยายการโจมตีอย่างรวดเร็ว บริษัทมีนักวิเคราะห์ที่ทำงานลับแฝงตัวเข้าไปอยู่ในวงในของกลุ่มได้ตั้งแต่ช่วงต้นของปฏิบัติการ ทำให้ Google สามารถติดตามพฤติกรรมของผู้โจมตีได้จากภายใน แจ้งเตือนเป้าหมายที่มีความเสี่ยง และช่วยขัดขวางความพยายามใช้ประโยชน์จากช่องโหว่ในเหยื่อบางรายได้ทันเวลา

ข้อมูลดังกล่าวถูกเปิดเผยโดย Austin Larsen นักวิจัยจาก Google Threat Intelligence Group ที่จะนำเสนอรายละเอียดในงานประชุมด้านความปลอดภัย LABScon ของ SentinelOne เขาระบุว่าการสืบสวนของ Google อาศัยทั้งการติดตามร่องรอยความผิดพลาดด้านการปกปิดตัวตนของผู้โจมตี การเชื่อมโยงหลักฐานกับผู้ต้องสงสัยชาวออสเตรเลียสองรายที่เพิ่งถูกจับกุมและถูกตั้งข้อหา และการส่งต่อข้อมูลระบุตัวตนที่สำคัญให้หน่วยงานบังคับใช้กฎหมาย

รายงานยังชี้ว่า Google ได้รับข้อมูลจาก ShinyHunters กลุ่มอาชญากรไซเบอร์อีกรายที่เคยร่วมมือกับ TeamPCP ก่อนจะหักหลังกันในภายหลัง ซึ่งช่วยเติมเต็มภาพการทำงานของเครือข่ายอาชญากรรมที่ซับซ้อนนี้ เหตุการณ์ดังกล่าวสะท้อนว่าการสืบสวนภัยคุกคามสมัยใหม่ไม่ได้อาศัยแค่การวิเคราะห์มัลแวร์หรือบันทึกการโจมตีเท่านั้น แต่ยังรวมถึงการทำข่าวกรองเชิงลึก การแฝงตัวในเครือข่ายผู้โจมตี และความร่วมมือระหว่างบริษัทเทคโนโลยีกับเจ้าหน้าที่รัฐ

กรณี TeamPCP ยังตอกย้ำว่าโจมตีซัพพลายเชนสามารถลุกลามได้รวดเร็วและกว้างขวางกว่าการโจมตีระบบเป้าหมายเดียวมาก เพราะเมื่อผู้โจมตีเข้าถึงบัญชีนักพัฒนาหรือช่องทางกระจายซอฟต์แวร์ ก็สามารถขยายผลไปยังผู้ใช้และองค์กรจำนวนมากในเวลาอันสั้น ขณะที่การมีทีมข่าวกรองเชิงรุกอย่าง Mandiant อยู่ในสนาม ก็ช่วยให้ผู้ป้องกันมีโอกาสเห็นการเคลื่อนไหวของฝ่ายโจมตีได้ก่อนที่จะเกิดความเสียหายมากไปกว่านี้