แฮกเกอร์ระดับสูงของรัสเซียหันใช้กลลวง Clickfix โจมตียูเครน

ศูนย์ตอบสนองเหตุฉุกเฉินทางคอมพิวเตอร์ของยูเครน (CERT-UA) เตือนว่ากลุ่มแฮ็กเกอร์ระดับแนวหน้าของรัสเซียอย่าง Sandworm ซึ่งเชื่อมโยงกับหน่วยข่าวกรองทหาร GRU ได้เริ่มนำเทคนิคโจมตีที่เรียกว่า Clickfix มาใช้เพื่อเจาะอุปกรณ์ขององค์กรสำคัญในยูเครน แม้ Clickfix เดิมจะถูกมองว่าเป็นวิธีที่อาชญากรไซเบอร์ที่หวังผลทางการเงินนิยมใช้มากกว่า แต่ปัจจุบันกลับถูกยกระดับมาเป็นเครื่องมือในปฏิบัติการด้านข่าวกรองและสงครามไซเบอร์ด้วย

Clickfix อาศัยการหลอกผู้ใช้ด้วยหน้าตาเหมือน CAPTCHA หรือการยืนยันว่าเป็นมนุษย์ โดยให้คัดลอกข้อความชุดหนึ่งแล้วนำไปวางในเทอร์มินัลหรือหน้าคำสั่ง บทสคริปต์ที่ซ่อนอยู่ในข้อความนั้นจะถูกเรียกทำงานทันทีเมื่อผู้ใช้ทำตามขั้นตอน ส่งผลให้เครื่องติดมัลแวร์หรือข้อมูลสำคัญรั่วไหล วิธีนี้ได้ผลเพราะอาศัยการให้เหยื่อเป็นคน “เปิดประตู” เอง แทนที่จะพยายามเจาะระบบจากภายนอกโดยตรง

CERT-UA ระบุว่าการโจมตีลักษณะนี้เกิดขึ้นต่อเนื่องตั้งแต่ช่วงฤดูใบไม้ผลิถึงฤดูร้อน โดยพบเว็บไซต์ที่อยู่ภายใต้การควบคุมของผู้โจมตีอย่างน้อย 10 แห่งที่แสดงคำสั่ง PowerShell ปลอมเป็นส่วนหนึ่งของ CAPTCHA ปลอม ความพยายามดังกล่าวนำไปสู่การยึดเครือข่ายของอย่างน้อยหนึ่งองค์กร หลังตรวจพบอุปกรณ์ที่เชื่อมต่ออยู่ติดมัลแวร์ FreakyPoll ซึ่งเป็นหนึ่งในชุดมัลแวร์เฉพาะทางของ Sandworm

รายงานยังชี้ให้เห็นว่าการที่กลุ่มแฮ็กเกอร์ระดับรัฐหันมาใช้เทคนิคที่พบได้บ่อยในโลกอาชญากรรมไซเบอร์ สะท้อนให้เห็นการผสมผสานระหว่างเครื่องมือโจมตีที่ทำได้ง่าย ราคาถูก และมีประสิทธิภาพสูง เข้ากับภารกิจที่มีเป้าหมายเชิงยุทธศาสตร์มากขึ้น สำหรับหน่วยงานในยูเครน ความเสี่ยงไม่ได้มาจากมัลแวร์เพียงอย่างเดียว แต่รวมถึงวิธีหลอกล่อผู้ใช้งานปลายทางให้เผลอรันคำสั่งอันตรายด้วย

ในภาพรวม เหตุการณ์นี้ตอกย้ำว่าภัยคุกคามไซเบอร์สมัยใหม่ไม่ได้พึ่งพาการเจาะช่องโหว่เชิงเทคนิคอย่างเดียว แต่ใช้การหลอกทางจิตวิทยาและพฤติกรรมผู้ใช้เป็นจุดอ่อนสำคัญ องค์กรที่เป็นเป้าหมายจึงจำเป็นต้องยกระดับการอบรมผู้ใช้ การตรวจจับพฤติกรรมผิดปกติ และการควบคุมสิทธิ์บนอุปกรณ์ปลายทางควบคู่กันไป เพื่อรับมือกับแคมเปญที่อาจถูกดัดแปลงและนำกลับมาใช้ซ้ำได้ง่าย