เรื่องราวเบื้องหลัง Lazarus Group ผู้ริเริ่มการโจรกรรมครั้งใหญ่ที่สุดในประวัติศาสตร์ Web3

แหล่งที่มา: Wikipedia

การแปลต้นฉบับ: Yobo, Foresight News

เนื้อหาต่อไปนี้แปลมาจากรายการ Wikipedia "Lazarus Group":

กลุ่ม Lazarus (หรือที่รู้จักในชื่อ "Guardians" หรือ "Peace หรือ Whois Team") เป็นกลุ่มแฮกเกอร์ที่ประกอบด้วยผู้คนจำนวนไม่ทราบแน่ชัด โดยอ้างว่าถูกควบคุมโดยรัฐบาลเกาหลีเหนือ แม้ว่าจะยังมีข้อมูลน้อยมากเกี่ยวกับกลุ่มนี้ แต่ผู้วิจัยระบุว่าพวกเขาถูกโจมตีทางไซเบอร์หลายครั้งตั้งแต่ปี 2010

เดิมทีกลุ่มนี้เป็นกลุ่มอาชญากร แต่ปัจจุบันได้รับการระบุว่าเป็นกลุ่มที่ก่อภัยคุกคามอย่างต่อเนื่องขั้นสูง เนื่องมาจากเจตนาในการโจมตี ภัยคุกคามที่เกิดขึ้น และวิธีการหลากหลายที่ใช้ในการปฏิบัติการ หน่วยงานด้านความปลอดภัยทางไซเบอร์ได้ตั้งชื่อเล่นให้พวกเขา เช่น “Hidden Cobra” (ชื่อที่กระทรวงความมั่นคงแห่งมาตุภูมิของสหรัฐฯ ใช้เรียกกิจกรรมทางไซเบอร์อันเป็นอันตรายที่เปิดตัวโดยรัฐบาลเกาหลีเหนือ) และ “ZINC” หรือ “Diamond Sleet” (คำศัพท์ของ Microsoft) กลุ่มนี้เป็นที่รู้จักในเกาหลีเหนือในชื่อ “สำนักงานประสานงาน 414” ตามที่คิม กุกซอง ผู้แปรพักตร์จากประเทศนั้นกล่าว

กลุ่มลาซารัสมีความสัมพันธ์ใกล้ชิดกับเกาหลีเหนือ กระทรวงยุติธรรมของสหรัฐฯ กล่าวหาว่ากลุ่มดังกล่าวเป็นส่วนหนึ่งของกลยุทธ์ของรัฐบาลเกาหลีเหนือในการ "ทำลายความปลอดภัยทางไซเบอร์ระดับโลก...และสร้างรายได้ที่ผิดกฎหมายซึ่งละเมิดมาตรการคว่ำบาตร" เกาหลีเหนือได้รับประโยชน์มากมายจากการดำเนินการทางไซเบอร์ และจำเป็นต้องรักษาทีมงานขนาดเล็กไว้เพียงเท่านั้นเพื่อสร้างภัยคุกคามแบบไม่สมดุล "ระดับโลก" (โดยเฉพาะอย่างยิ่งต่อเกาหลีใต้)

ประวัติการพัฒนา

การโจมตีครั้งแรกสุดที่องค์กรเปิดตัวคือ "ปฏิบัติการทรอย" ตั้งแต่ปี 2009 ถึงปี 2012 นี่เป็นแคมเปญจารกรรมทางไซเบอร์ที่ใช้เทคนิคการปฏิเสธการให้บริการแบบกระจาย (DDoS) ที่ไม่ซับซ้อนเพื่อโจมตีรัฐบาลเกาหลีใต้ในกรุงโซล ในปี 2011 และ 2013 พวกเขาก็เปิดการโจมตีเช่นกัน แม้ว่าจะไม่สามารถยืนยันได้ แต่การโจมตีเกาหลีใต้เมื่อปี 2550 อาจเป็นฝีมือพวกเขาเอง การโจมตีที่น่าสังเกตครั้งหนึ่งของกลุ่มเกิดขึ้นในปี 2014 โดยมีเป้าหมายเป็นบริษัท Sony Pictures การโจมตีครั้งนี้ใช้เทคนิคที่ซับซ้อนมากขึ้นและแสดงให้เห็นว่ากลุ่มมีความเป็นผู้ใหญ่มากขึ้นตามกาลเวลา

ในปี 2558 มีรายงานว่ากลุ่ม Lazarus ขโมยเงิน 12 ล้านเหรียญสหรัฐจาก Banco Ostello ในเอกวาดอร์ และอีก 1 ล้านเหรียญสหรัฐจาก Pioneer Bank ในเวียดนาม พวกเขายังมุ่งเป้าไปที่ธนาคารในโปแลนด์และเม็กซิโกด้วย ในการโจรกรรมธนาคารเมื่อปี 2016 พวกเขาโจมตีธนาคารแห่งหนึ่งและขโมยเงินได้สำเร็จถึง 81 ล้านดอลลาร์ ซึ่งเชื่อกันว่าเป็นผลงานของกลุ่มนี้ด้วย ในปี 2017 มีรายงานว่ากลุ่ม Lazarus ขโมยเงิน 60 ล้านเหรียญจากธนาคาร Far Eastern International Commercial Bank ของไต้หวัน แม้ว่าจำนวนเงินที่ถูกขโมยไปจริงจะไม่ชัดเจน และเราสามารถกู้คืนเงินได้เกือบหมดแล้ว

ยังไม่ชัดเจนว่าใครอยู่เบื้องหลังกลุ่มนี้ แต่รายงานสื่อระบุว่ากลุ่มนี้มีความสัมพันธ์ใกล้ชิดกับเกาหลีเหนือ ในปี 2017 Kaspersky Lab รายงานว่ากลุ่ม Lazarus มักจะเน้นไปที่การจารกรรมและการโจมตีทางไซเบอร์แบบแทรกซึม ในขณะที่องค์กรย่อยภายในกลุ่มที่ Kaspersky เรียกว่า "Bluenoroff" มีความเชี่ยวชาญด้านการโจมตีทางไซเบอร์ทางการเงิน Kaspersky ค้นพบการโจมตีหลายครั้งทั่วโลก และพบลิงก์ที่อยู่ IP โดยตรงระหว่าง Bluenoroff และประเทศนั้น

อย่างไรก็ตาม Kaspersky ยอมรับว่าการนำโค้ดมาใช้ซ้ำอาจเป็น "ปฏิบัติการหลอกลวง" ที่มุ่งเป้าไปที่การหลอกลวงผู้สืบสวนและทำให้เกาหลีเหนือต้องรับผิด เพราะการโจมตีทางไซเบอร์ด้วยเวิร์ม "WannaCry" ทั่วโลกนั้นก็ลอกเลียนเทคโนโลยีของหน่วยงานความมั่นคงแห่งชาติของสหรัฐฯ แรนซัมแวร์ใช้ประโยชน์จากช่องโหว่ EternalBlue ของ NSA ซึ่งเปิดเผยต่อสาธารณะในเดือนเมษายน 2017 โดยกลุ่มแฮกเกอร์ที่เรียกว่า Shadow Brokers ในปี 2017 Symantec รายงานว่าการโจมตี "WannaCry" น่าจะดำเนินการโดยกลุ่ม Lazarus

ปฏิบัติการทรอย 2009

เหตุการณ์แฮ็กครั้งใหญ่ครั้งแรกของกลุ่ม Lazarus เกิดขึ้นเมื่อวันที่ 4 กรกฎาคม 2009 ซึ่งถือเป็นจุดเริ่มต้นของปฏิบัติการทรอย การโจมตีใช้มัลแวร์ “MyDoomsday” และ “Bulldozer” ในการเปิดตัวการโจมตี DDoS ขนาดใหญ่แต่ไม่ซับซ้อนบนเว็บไซต์ในสหรัฐอเมริกาและเกาหลีใต้ การโจมตีครั้งนี้มีเป้าหมายที่เว็บไซต์ประมาณ 36 แห่ง และฝังข้อความ "การรำลึกวันประกาศอิสรภาพ" ไว้ในมาสเตอร์บูตเรคคอร์ด (MBR)

การโจมตีทางไซเบอร์ของเกาหลีใต้ในปี 2013 (ปฏิบัติการ 1/ดาร์กโซล)

เมื่อเวลาผ่านไป การโจมตีของกลุ่มก็ซับซ้อนมากขึ้น เทคนิคและเครื่องมือของพวกเขาก็สมบูรณ์แบบและมีประสิทธิภาพมากขึ้น การโจมตี “สิบวันแห่งฝน” ในเดือนมีนาคม พ.ศ. 2554 ซึ่งมุ่งเป้าไปที่สื่อ การเงิน และโครงสร้างพื้นฐานที่สำคัญของเกาหลีใต้ ใช้การโจมตี DDoS ที่ซับซ้อนมากขึ้น ซึ่งมีต้นทางมาจากคอมพิวเตอร์ที่ถูกบุกรุกภายในเกาหลีใต้ เมื่อวันที่ 20 มีนาคม พ.ศ. 2556 ได้มีการเปิดตัว Operation Dark Seoul ซึ่งเป็นการโจมตีเพื่อล้างข้อมูลซึ่งกำหนดเป้าหมายไปที่บริษัทโทรทัศน์ 3 แห่ง สถาบันการเงิน และผู้ให้บริการอินเทอร์เน็ต 1 แห่งในเกาหลีใต้ ในเวลานั้น มีกลุ่มอื่นอีกสองกลุ่มที่เรียกตัวเองว่า New Rome CyberLegion และทีม WhoIs อ้างว่ารับผิดชอบในการโจมตีครั้งนี้ แต่ผู้วิจัยไม่ทราบว่ากลุ่ม Lazarus อยู่เบื้องหลังเรื่องนี้ ปัจจุบันนักวิจัยทราบว่ากลุ่มลาซารัสอยู่เบื้องหลังการโจมตีทำลายล้างเหล่านี้

สิ้นปี 2014: Sony Pictures ถูกแฮ็ก

ในวันที่ 24 พฤศจิกายน 2014 การโจมตีของกลุ่มลาซารัสถึงจุดสุดยอด ในวันเดียวกัน มีโพสต์ปรากฏบน Reddit ระบุว่า Sony Pictures ถูกแฮ็กด้วยวิธีการที่ไม่ทราบแน่ชัด และผู้โจมตีเรียกตัวเองว่า “Guardians of Peace” ข้อมูลจำนวนมากถูกขโมยและรั่วไหลออกไปในช่วงไม่กี่วันหลังการโจมตี บุคคลที่อ้างตัวว่าเป็นสมาชิกกลุ่มดังกล่าวกล่าวในการสัมภาษณ์ว่าพวกเขาขโมยข้อมูลของ Sony มานานกว่าหนึ่งปีแล้ว

แฮกเกอร์สามารถเข้าถึงภาพยนตร์ที่ยังไม่ได้เผยแพร่ บทภาพยนตร์บางเรื่อง แผนการสร้างภาพยนตร์ในอนาคต ข้อมูลเงินเดือนของผู้บริหารบริษัท อีเมล และข้อมูลส่วนตัวของพนักงานประมาณ 4,000 คน

การสืบสวนในช่วงต้นปี 2559: “ปฏิบัติการบล็อคบัสเตอร์”

ภายใต้ชื่อรหัส “ปฏิบัติการบล็อคบัสเตอร์” กลุ่มพันธมิตรบริษัทด้านความปลอดภัยที่นำโดยโนเวตต้าได้วิเคราะห์ตัวอย่างมัลแวร์ที่พบในเหตุการณ์ทางไซเบอร์ต่างๆ ทีมงานได้ใช้ข้อมูลนี้วิเคราะห์วิธีการทำงานของแฮ็กเกอร์ พวกเขาเชื่อมโยงกลุ่ม Lazarus เข้ากับการโจมตีหลายประเภทผ่านรูปแบบการนำโค้ดมาใช้ซ้ำ ตัวอย่างเช่น พวกเขาใช้อัลกอริธึมการเข้ารหัสที่ไม่ค่อยมีใครรู้จักบนอินเทอร์เน็ต ซึ่งก็คือรหัส "Karacas"

คดีการโจรกรรมทางไซเบอร์ของธนาคารในปี 2559

คดีการโจรกรรมทางธนาคารเกิดขึ้นในเดือนกุมภาพันธ์ 2559 แฮกเกอร์ได้ส่งคำสั่งหลอกลวงจำนวน 35 รายการผ่านเครือข่าย Society for Worldwide Interbank Financial Telecommunication (SWIFT) เพื่อพยายามโอนเงินผิดกฎหมายเกือบ 1 พันล้านดอลลาร์จากบัญชีของธนาคารกลางแห่งหนึ่งในธนาคารกลางสหรัฐในนิวยอร์ก คำสั่งหลอกลวง 5 รายการจาก 35 รายการสามารถโอนเงินได้สำเร็จมูลค่า 101 ล้านเหรียญสหรัฐ รวมถึง 20 ล้านเหรียญสหรัฐไปยังศรีลังกา และ 81 ล้านเหรียญสหรัฐไปยังฟิลิปปินส์ ธนาคารกลางนิวยอร์กสั่งระงับธุรกรรมที่เหลืออีก 30 รายการ มูลค่า 850 ล้านดอลลาร์ หลังจากมีข้อสงสัยเกี่ยวกับคำสั่งที่สะกดผิด ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์กล่าวว่า Lazarus Group ซึ่งมีฐานอยู่ในประเทศอยู่เบื้องหลังการโจมตีครั้งนี้

การโจมตีด้วยแรนซัมแวร์ “WannaCry” ในเดือนพฤษภาคม 2017

การโจมตี “WannaCry” เป็นการโจมตีทางไซเบอร์ด้วยแรนซัมแวร์ขนาดใหญ่เมื่อวันที่ 12 พฤษภาคม 2017 ซึ่งส่งผลกระทบต่อสถาบันจำนวนมากทั่วโลก ตั้งแต่ระบบบริการสุขภาพแห่งชาติ (NHS) ของสหราชอาณาจักรไปจนถึงบริษัทโบอิ้งและแม้แต่บางมหาวิทยาลัยในประเทศจีน การโจมตีกินเวลานาน 7 ชั่วโมง 19 นาที ยูโรโพลประมาณการว่าการโจมตีครั้งนี้ส่งผลกระทบต่อคอมพิวเตอร์เกือบ 200,000 เครื่องใน 150 ประเทศ โดยภูมิภาคที่ได้รับผลกระทบหลักๆ ได้แก่ รัสเซีย อินเดีย ยูเครน และไต้หวัน นี่เป็นหนึ่งในการโจมตีด้วย crypto-worm ที่เก่าแก่ที่สุด Cryptoworms เป็นมัลแวร์ประเภทหนึ่งที่แพร่กระจายจากคอมพิวเตอร์เครื่องหนึ่งไปยังอีกเครื่องหนึ่งผ่านเครือข่าย โดยแพร่เชื้อไปยังคอมพิวเตอร์เครื่องอื่นโดยที่ผู้ใช้ไม่ได้ดำเนินการใดๆ โดยตรง ซึ่งในกรณีนี้คือใช้พอร์ต TCP 445 ไม่จำเป็นต้องคลิกลิงก์ที่เป็นอันตรายเพื่อติดไวรัสลงในคอมพิวเตอร์ เพราะมัลแวร์สามารถแพร่กระจายได้โดยอัตโนมัติ จากคอมพิวเตอร์เครื่องหนึ่งไปยังเครื่องพิมพ์ที่เชื่อมต่ออยู่ ไปยังคอมพิวเตอร์เครื่องอื่นๆ ที่อยู่ใกล้เคียงที่เชื่อมต่อกับเครือข่ายไร้สาย และอื่นๆ ช่องโหว่ในพอร์ต 445 ทำให้มัลแวร์แพร่กระจายได้อย่างอิสระภายในเครือข่ายภายใน ส่งผลให้คอมพิวเตอร์หลายพันเครื่องติดไวรัสอย่างรวดเร็ว การโจมตี WannaCry ถือเป็นการโจมตีครั้งแรกๆ ที่ใช้ crypto-worm ในระดับใหญ่

วิธีการโจมตี: ไวรัสใช้ประโยชน์จากช่องโหว่ในระบบปฏิบัติการ Windows จากนั้นเข้ารหัสข้อมูลคอมพิวเตอร์ โดยเรียกร้องเงินเป็น Bitcoin มูลค่าประมาณ 300 ดอลลาร์สำหรับคีย์การถอดรหัส เพื่อกระตุ้นให้เหยื่อจ่ายเงิน ค่าไถ่จะเพิ่มเป็นสองเท่าหลังจากสามวัน และหากไม่ชำระเงินภายในหนึ่งสัปดาห์ มัลแวร์จะลบไฟล์ข้อมูลที่เข้ารหัส มัลแวร์ใช้ซอฟต์แวร์ถูกกฎหมายที่พัฒนาโดย Microsoft ที่เรียกว่า "Windows Crypto" เพื่อเข้ารหัสไฟล์ หลังจากการเข้ารหัสเสร็จสิ้น ชื่อไฟล์จะขึ้นต้นด้วย "Wincry" ซึ่งเป็นที่มาของชื่อ "WannaCry" Wincry เป็นพื้นฐานของการเข้ารหัส แต่มัลแวร์ยังใช้ประโยชน์จากช่องโหว่อื่นอีกสองช่อง ได้แก่ EternalBlue และ DoublePulsar ทำให้มันกลายเป็นเวิร์มเข้ารหัส “EternalBlue” สามารถแพร่กระจายไวรัสผ่านทางอินเทอร์เน็ตได้โดยอัตโนมัติ ในขณะที่ “Double Pulsar” จะกระตุ้นให้ไวรัสทำงานบนคอมพิวเตอร์ของเหยื่อ กล่าวอีกนัยหนึ่ง EternalBlue ส่งลิงก์ที่ติดไวรัสไปยังคอมพิวเตอร์ของคุณ และ Double Pulsar จะคลิกลิงก์นั้นให้กับคุณ

หลังจากได้รับตัวอย่างไวรัสจากเพื่อนที่บริษัทวิจัยด้านความปลอดภัย นักวิจัยด้านความปลอดภัย Marcus Hutchins ได้ค้นพบ "kill switch" ที่ถูกเขียนโค้ดแบบฮาร์ดโค้ดในไวรัส ซึ่งสามารถยุติการโจมตีได้ มัลแวร์จะตรวจสอบเป็นระยะๆ เพื่อดูว่ามีการลงทะเบียนโดเมนที่ระบุแล้วหรือไม่ และดำเนินการเข้ารหัสต่อเมื่อโดเมนนั้นยังไม่มีอยู่เท่านั้น ฮัทชินส์ค้นพบเช็คและจดทะเบียนโดเมนที่เกี่ยวข้องในเวลาต่อมาเมื่อเวลา 15:03 น. UTC มัลแวร์หยุดแพร่กระจายและแพร่ระบาดไปยังอุปกรณ์ใหม่ทันที สถานการณ์นี้ถือว่าน่าสนใจมากและยังมีเบาะแสสำหรับการติดตามผู้สร้างไวรัสอีกด้วย โดยปกติแล้วการบล็อกมัลแวร์ต้องใช้เวลาต่อสู้ไปมาระหว่างแฮกเกอร์และผู้เชี่ยวชาญด้านความปลอดภัยเป็นเวลานานหลายเดือน ดังนั้น ชัยชนะที่ได้มาอย่างง่ายดายเช่นนี้จึงถือว่าไม่ได้คาดคิดมาก่อน อีกลักษณะที่ผิดปกติของการโจมตีครั้งนี้คือไม่สามารถกู้คืนไฟล์ได้แม้จะจ่ายค่าไถ่แล้วก็ตาม แฮกเกอร์ได้รับเงินค่าไถ่มาเพียง 160,000 เหรียญสหรัฐเท่านั้น ซึ่งทำให้หลายคนเชื่อว่าพวกเขาไม่ได้มีวัตถุประสงค์ทางการเงิน

ความง่ายในการแคร็ก "สวิตช์ฆ่า" และการจ่ายเงินค่าไถ่เพียงเล็กน้อยทำให้หลายคนเชื่อว่าการโจมตีนั้นได้รับการสนับสนุนจากรัฐ แรงจูงใจไม่ใช่การชดเชยทางการเงิน แต่เพื่อสร้างความวุ่นวาย หลังการโจมตี ผู้เชี่ยวชาญด้านความปลอดภัยได้ติดตามจุดอ่อน Double Pulsar ไปจนถึงหน่วยงานความมั่นคงแห่งชาติของสหรัฐฯ ซึ่งเดิมทีถูกพัฒนามาเป็นอาวุธทางไซเบอร์ ต่อมากลุ่มแฮกเกอร์ "Shadow Brokers" ได้ขโมยช่องโหว่นี้ไปและพยายามประมูล แต่ล้มเหลว สุดท้ายพวกเขาก็เปิดเผยช่องโหว่นี้ต่อสาธารณะโดยไม่คิดค่าใช้จ่าย ต่อมา NSA ได้แจ้งให้ Microsoft ทราบถึงช่องโหว่ดังกล่าว และ Microsoft ก็ได้ออกการอัปเดตในวันที่ 14 มีนาคม 2017 ไม่ถึงหนึ่งเดือนหลังจากการโจมตี แต่นั่นยังไม่เพียงพอ เนื่องจากไม่จำเป็นต้องอัปเดต จนถึงวันที่ 12 พฤษภาคม คอมพิวเตอร์ส่วนใหญ่ที่มีช่องโหว่ดังกล่าวก็ยังไม่ได้รับการแก้ไข ส่งผลให้การโจมตีสร้างความเสียหายอย่างมหาศาล

ผลกระทบที่ตามมา: ต่อมากระทรวงยุติธรรมของสหรัฐฯ และทางการอังกฤษได้ระบุว่าการโจมตี "WannaCry" ดำเนินการโดยกลุ่มแฮกเกอร์ชาวเกาหลีเหนือที่ชื่อว่า Lazarus Group

การโจมตีสกุลเงินดิจิทัลในปี 2560

ในปี 2561 Recorded Future ได้เผยแพร่รายงานที่เชื่อมโยงกลุ่ม Lazarus กับการโจมตีผู้ใช้สกุลเงินดิจิทัล Bitcoin และ Monero โดยมุ่งเป้าไปที่ผู้ใช้ชาวเกาหลีใต้เป็นหลัก รายงานระบุว่าการโจมตีเหล่านี้มีความคล้ายคลึงทางเทคนิคกับการโจมตีครั้งก่อนๆ ที่ใช้แรนซัมแวร์ WannaCry และการโจมตี Sony Pictures กลวิธีอย่างหนึ่งที่แฮกเกอร์กลุ่ม Lazarus ใช้คือการใช้ประโยชน์จากช่องโหว่ในซอฟต์แวร์ประมวลผลคำภาษาเกาหลี Hangul (พัฒนาโดย Hancom) กลวิธีอีกประการหนึ่งคือการส่งเหยื่อล่อฟิชชิ่งที่มีมัลแวร์ โดยกำหนดเป้าหมายเป็นนักเรียนชาวเกาหลีใต้และผู้ใช้งานเว็บแลกเปลี่ยนสกุลเงินดิจิทัล เช่น Coinlink

หากผู้ใช้เปิดมัลแวร์ ที่อยู่อีเมลและรหัสผ่านของพวกเขาอาจถูกขโมยได้ Coinlink ปฏิเสธว่าเว็บไซต์ของตนหรือที่อยู่อีเมลและรหัสผ่านของผู้ใช้ถูกแฮ็ก รายงานสรุปว่า “การโจมตีชุดดังกล่าวในช่วงปลายปี 2560 แสดงให้เห็นว่าประเทศยังคงให้ความสนใจในสกุลเงินดิจิทัล ซึ่งปัจจุบันเราทราบแล้วว่าสกุลเงินดิจิทัลเหล่านี้ครอบคลุมถึงกิจกรรมต่างๆ มากมาย เช่น การขุด การโจมตีด้วยแรนซัมแวร์ และการโจรกรรมโดยตรง...” นอกจากนี้ รายงานยังระบุด้วยว่าประเทศใช้การโจมตีสกุลเงินดิจิทัลเหล่านี้เพื่อหลีกเลี่ยงการคว่ำบาตรทางการเงินระหว่างประเทศ

ในเดือนกุมภาพันธ์ พ.ศ. 2560 แฮกเกอร์จากประเทศหนึ่งได้ขโมยเงิน 7 ล้านเหรียญสหรัฐจากแพลตฟอร์มการซื้อขายสกุลเงินดิจิทัล Bithumb ของเกาหลีใต้ Youbit ซึ่งเป็นเว็บแลกเปลี่ยน Bitcoin อีกเว็บหนึ่งของเกาหลีใต้ ถูกโจมตีในเดือนเมษายน 2017 และต้องยื่นฟ้องล้มละลายในเดือนธันวาคมของปีเดียวกัน หลังจากทรัพย์สินถูกขโมยไป 17% กลุ่ม Lazarus และแฮกเกอร์ชาวจีนถูกกล่าวหาว่าอยู่เบื้องหลังการโจมตีครั้งนี้ ในเดือนธันวาคม 2017 ตลาดการขุดสกุลเงินดิจิทัลบนคลาวด์ Nicehash สูญเสีย Bitcoin ไปมากกว่า 4,500 เหรียญ การสอบสวนล่าสุดเปิดเผยว่าการโจมตีมีความเชื่อมโยงกับกลุ่ม Lazarus

การโจมตีในเดือนกันยายน 2019

ในช่วงกลางเดือนกันยายน 2019 สหรัฐอเมริกาได้ออกการแจ้งเตือนสาธารณะเกี่ยวกับการค้นพบมัลแวร์ชนิดใหม่ที่เรียกว่า "ElectricFish" นับตั้งแต่ต้นปี 2562 ตัวแทนจากประเทศหนึ่งได้ดำเนินการโจรกรรมทางไซเบอร์ครั้งใหญ่ไปแล้ว 5 ครั้งทั่วโลก รวมถึงการโจรกรรมเงิน 49 ล้านเหรียญสหรัฐฯ จากสถาบันแห่งหนึ่งในคูเวตที่ประสบความสำเร็จ

การโจมตีบริษัทเภสัชกรรมในช่วงปลายปี 2020

เนื่องจากการระบาดของ COVID-19 ยังคงแพร่กระจาย บริษัทเภสัชกรรมจึงกลายเป็นเป้าหมายหลักของ Lazarus Group สมาชิกกลุ่ม Lazarus ใช้เทคนิคการฟิชชิ่งแบบเจาะจง โดยแอบอ้างตัวเป็นเจ้าหน้าที่สาธารณสุข และส่งลิงก์ที่เป็นอันตรายไปยังพนักงานของบริษัทเภสัชกรรม เชื่อกันว่าบริษัทเภสัชกรรมขนาดใหญ่หลายแห่งตกเป็นเป้าหมาย แต่จนถึงขณะนี้มีเพียงบริษัท AstraZeneca สัญชาติอังกฤษ-สวีเดนเท่านั้นที่ได้รับการยืนยัน ตามรายงานของรอยเตอร์ พนักงานหลายคนตกเป็นเป้าหมาย โดยหลายคนมีส่วนเกี่ยวข้องกับการพัฒนาวัคซีนป้องกันไวรัสโคโรนาสายพันธุ์ใหม่ ยังไม่ชัดเจนว่าจุดประสงค์ของกลุ่ม Lazarus ในการเปิดฉากโจมตีครั้งนี้คืออะไร แต่จุดประสงค์นั้นอาจรวมถึงการขโมยข้อมูลที่ละเอียดอ่อนเพื่อแสวงหาผลกำไร ดำเนินการกรรโชกทรัพย์ และเปิดโอกาสให้รัฐบาลต่างประเทศเข้าถึงงานวิจัยที่เป็นกรรมสิทธิ์ที่เกี่ยวข้องกับโคโรนาไวรัสได้ บริษัท AstraZeneca ยังไม่ได้แสดงความคิดเห็นใดๆ เกี่ยวกับเหตุการณ์ดังกล่าว และผู้เชี่ยวชาญเชื่อว่าไม่มีข้อมูลละเอียดอ่อนใดๆ รั่วไหลออกมา

การโจมตีนักวิจัยด้านความปลอดภัยทางไซเบอร์ในเดือนมกราคม 2021

ในเดือนมกราคม 2021 ทั้ง Google และ Microsoft ได้รายงานต่อสาธารณะว่ากลุ่มแฮกเกอร์จากประเทศหนึ่งได้เปิดฉากโจมตีนักวิจัยด้านความปลอดภัยทางไซเบอร์โดยใช้กลวิธีทางโซเชียล Microsoft ระบุอย่างชัดเจนว่าการโจมตีครั้งนี้ดำเนินการโดยกลุ่ม Lazarus

แฮกเกอร์สร้างโปรไฟล์ผู้ใช้หลายรายการบนแพลตฟอร์ม เช่น Twitter, GitHub และ LinkedIn โดยแอบอ้างตัวเป็นนักวิจัยช่องโหว่ของซอฟต์แวร์ที่ถูกต้องตามกฎหมาย และโต้ตอบกับโพสต์และเนื้อหาที่โพสต์โดยผู้อื่นในชุมชนนักวิจัยด้านความปลอดภัย จากนั้นพวกเขาจะติดต่อกับนักวิจัยด้านความปลอดภัยโดยตรง โดยแอบอ้างว่าเป็นผู้ร่วมงานวิจัย และหลอกเหยื่อให้ดาวน์โหลดไฟล์ที่มีมัลแวร์ หรือเยี่ยมชมโพสต์บล็อกในเว็บไซต์ที่แฮกเกอร์ควบคุม

เหยื่อบางรายที่เข้าไปเยี่ยมชมโพสต์ในบล็อกดังกล่าวกล่าวว่าคอมพิวเตอร์ของตนถูกบุกรุก แม้ว่าจะใช้เบราว์เซอร์ Google Chrome ที่ได้รับการแก้ไขอย่างครบถ้วนแล้วก็ตาม ซึ่งแสดงให้เห็นว่าแฮกเกอร์อาจใช้ประโยชน์จากช่องโหว่ zero-day ของ Chrome ที่ไม่เคยพบมาก่อน อย่างไรก็ตาม ในเวลาที่มีรายงานว่า Google กล่าวระบุว่าไม่สามารถระบุวิธีการบุกรุกที่เจาะจงได้

Axie Infinity โจมตีเกมบล็อคเชนในเดือนมีนาคม 2022

ในเดือนมีนาคม 2022 Lazarus Group ถูกกล่าวหาว่าขโมยสกุลเงินดิจิทัลมูลค่า 620 ล้านดอลลาร์จากเครือข่าย Ronin ที่ใช้โดยเกม Axie Infinity เอฟบีไอระบุว่า "จากการสืบสวนของเรา เราพบว่า Lazarus Group และ APT38 (ผู้ก่ออาชญากรรมทางไซเบอร์ที่เกี่ยวข้องกับเกาหลีเหนือ) อยู่เบื้องหลังการโจรกรรมครั้งนี้"

การโจมตี Horizon Bridge ในเดือนมิถุนายน 2022

เอฟบีไอยืนยันว่ากลุ่มผู้ก่ออาชญากรรมทางไซเบอร์ที่เป็นอันตรายจากเกาหลีเหนือ Lazarus Group (หรือเรียกอีกอย่างว่า APT38) อยู่เบื้องหลังการโจรกรรมสกุลเงินดิจิทัลมูลค่า 100 ล้านดอลลาร์จาก Horizon Bridge ของ Harmony ซึ่งมีการรายงานเมื่อวันที่ 24 มิถุนายน 2022

การโจมตีสกุลเงินดิจิทัลอื่นๆ ที่เกี่ยวข้องในปี 2023

รายงานที่เผยแพร่โดยแพลตฟอร์มความปลอดภัยบล็อคเชน Immunefi ระบุว่าเหตุการณ์การแฮ็กสกุลเงินดิจิทัลของ Lazarus Group ในปี 2023 ทำให้เกิดความสูญเสียมากกว่า 300 ล้านเหรียญสหรัฐ คิดเป็น 17.6% ของความสูญเสียทั้งหมดในปีนั้น

การโจมตี Atomic Wallet ในเดือนมิถุนายน 2023: ในเดือนมิถุนายน 2023 ผู้ใช้บริการ Atomic Wallet ถูกขโมยสกุลเงินดิจิทัลมูลค่ากว่า 100 ล้านดอลลาร์ ซึ่งในเวลาต่อมา FBI ก็ได้ยืนยันเหตุการณ์นี้

การแฮ็ก Stake.com ในเดือนกันยายน 2023: ในเดือนกันยายน 2023 FBI ได้ยืนยันว่ามีการขโมยสกุลเงินดิจิทัลมูลค่า 41 ล้านดอลลาร์จากแพลตฟอร์มคาสิโนออนไลน์และการพนัน Stake.com และผู้กระทำความผิดก็คือ Lazarus Group

มาตรการคว่ำบาตรของสหรัฐฯ

เมื่อวันที่ 14 เมษายน 2022 สำนักงานควบคุมทรัพย์สินต่างประเทศ (OFAC) ของกระทรวงการคลังสหรัฐฯ ได้เพิ่ม Lazarus Group ลงในรายชื่อบุคคลที่ได้รับมอบหมายเป็นพิเศษ (SDN List) ตามมาตรา 510.214 ของระเบียบบังคับการคว่ำบาตรของประเทศใดประเทศหนึ่ง

การโจมตีสกุลเงินดิจิทัลในปี 2024

ตามรายงานของสื่ออินเดีย พบว่ามีการโจมตีการแลกเปลี่ยนสกุลเงินดิจิทัลในท้องถิ่นที่ชื่อว่า WazirX โดยองค์กรดังกล่าว และทรัพย์สินดิจิทัลมูลค่า 234.9 ล้านเหรียญสหรัฐฯ ถูกขโมยไป

การฝึกอบรมบุคลากร

ตามข่าวลือ แฮกเกอร์ชาวเกาหลีเหนือจำนวนหนึ่งจะถูกส่งไปที่เมืองเสิ่นหยาง ประเทศจีน เพื่อเข้ารับการฝึกอบรมระดับมืออาชีพ เพื่อเรียนรู้วิธีการฝังมัลแวร์ประเภทต่างๆ ลงในคอมพิวเตอร์ เครือข่ายคอมพิวเตอร์ และเซิร์ฟเวอร์ ภายในเกาหลีเหนือ มหาวิทยาลัยเทคโนโลยีคิมแชก มหาวิทยาลัยคิมอิลซุง และมหาวิทยาลัยมังยองแด มีหน้าที่รับผิดชอบงานด้านการศึกษาที่เกี่ยวข้อง มหาวิทยาลัยเหล่านี้คัดเลือกนักศึกษาที่ดีที่สุดจากทั่วประเทศและให้การศึกษาพิเศษแก่พวกเขาเป็นเวลา 6 ปี นอกจากการศึกษาระดับมหาวิทยาลัยแล้ว “โปรแกรมเมอร์ที่เก่งที่สุดบางคน...ยังถูกส่งไปศึกษาต่อที่มหาวิทยาลัย Mangyongdae หรือวิทยาลัย Mirim”

สาขาขององค์กร

เชื่อกันว่ากลุ่ม Lazarus มีสองสาขา

·BlueNorOff

BlueNorOff (หรือที่รู้จักในชื่อ APT38, “Starry Sky”, “BeagleBoyz”, “NICKEL GLADSTONE”) เป็นกลุ่มที่มีแรงจูงใจทางการเงินซึ่งดำเนินการโอนเงินผิดกฎหมายโดยการปลอมแปลงคำสั่งของ Society for Worldwide Interbank Financial Telecommunication (SWIFT) Mandiant เรียกว่า APT38 ในขณะที่ Crowdstrike เรียกว่า "Star Maxima"

ตามรายงานของกองทัพสหรัฐในปี 2020 BlueNorOff มีสมาชิกประมาณ 1,700 รายซึ่งมุ่งเน้นไปที่การประเมินระยะยาวและการใช้ประโยชน์จากจุดอ่อนและระบบของเครือข่ายศัตรู รวมถึงมีส่วนร่วมในกิจกรรมอาชญากรรมทางไซเบอร์ทางการเงินเพื่อให้ได้รับผลประโยชน์ทางเศรษฐกิจสำหรับระบอบการปกครองของประเทศหรือระบบที่เกี่ยวข้องในการควบคุม ระหว่างปี 2557 ถึง 2564 เป้าหมายของพวกเขาครอบคลุมสถาบัน 16 แห่งในอย่างน้อย 13 ประเทศ รวมถึงบังกลาเทศ ชิลี อินเดีย เม็กซิโก ปากีสถาน ฟิลิปปินส์ เกาหลีใต้ ไต้หวัน ตุรกี และเวียดนาม เชื่อกันว่ารายได้ที่ได้มาอย่างผิดกฎหมายนั้นถูกนำไปใช้เป็นทุนสำหรับพัฒนาเทคโนโลยีขีปนาวุธและนิวเคลียร์ของประเทศ

การโจมตีที่ฉาวโฉ่ที่สุดของ BlueNorOff คือการขโมยธนาคารในปี 2016 ซึ่งพวกเขาพยายามโอนเงินเกือบ 1 พันล้านดอลลาร์จากบัญชีธนาคารกลางของประเทศหนึ่งที่ธนาคารกลางสหรัฐในนิวยอร์กผ่านเครือข่าย SWIFT อย่างผิดกฎหมาย หลังจากทำธุรกรรมบางส่วนสำเร็จลุล่วง (เงิน 20 ล้านดอลลาร์สหรัฐฯ ตกไปอยู่ที่ศรีลังกา และ 81 ล้านดอลลาร์สหรัฐฯ ตกไปอยู่ที่ฟิลิปปินส์) ธนาคารกลางสหรัฐในนิวยอร์กเริ่มเกิดความสงสัยเนื่องจากมีการสะกดผิดในคำสั่ง และได้บล็อกธุรกรรมส่วนที่เหลือ

มัลแวร์ที่เกี่ยวข้องกับ BlueNorOff ได้แก่: "DarkComet", "Mimikatz", "Nestegg", "Macktruck", "WannaCry", "Whiteout", "Quickcafe", "Rawhide", "Smoothride", "TightVNC", "Sorrybrute", "Keylime", "Snapshot", "Mapmaker", "net.exe", "sysmon", "Bootwreck", "Cleantoad", "Closeshave", "Dyepack", "Hermes", "Twopence", "Electricfish", "Powerratankba" และ "Powerspritz"

วิธีการทั่วไปของ BlueNorOff ได้แก่ การฟิชชิ่ง การตั้งค่าแบ็กดอร์ การใช้ประโยชน์จากช่องโหว่ การโจมตีแบบ watering hole การใช้ Apache Struts 2 เวอร์ชันที่ล้าสมัยและไม่ปลอดภัยในการรันโค้ดบนระบบ การแฮ็กเข้าไปในเว็บไซต์อย่างมีกลยุทธ์ และการเข้าถึงเซิร์ฟเวอร์ Linux มีรายงานว่าบางครั้งพวกเขาทำงานร่วมกับแฮกเกอร์ที่เป็นอาชญากร

· AndAriel

AndAriel หรือที่สะกดว่า Andarial หรือที่รู้จักกันในชื่อ Silent Chollima, Dark Seoul, Rifle และ Wassonite มีลักษณะเฉพาะที่ชัดเจนคือมุ่งเป้าไปที่เกาหลีใต้ ชื่อเล่นของแอนดริล "Silent Maxima" มาจากธรรมชาติที่เก็บความลับของกลุ่ม[70] สถาบันใดๆ ในเกาหลีใต้ก็สามารถถูกโจมตีโดย Andril ได้ รวมไปถึงหน่วยงานของรัฐ หน่วยงานป้องกันประเทศ และหน่วยงานสำคัญทางเศรษฐกิจต่างๆ

ตามรายงานของกองทัพสหรัฐอเมริกาในปี 2020 กองทัพ Andril มีสมาชิกประมาณ 1,600 นาย ซึ่งมีภารกิจในการลาดตระเวน ประเมินจุดอ่อนของเครือข่าย และทำแผนที่เครือข่ายของศัตรูเพื่อดูการโจมตีที่อาจเกิดขึ้น นอกจากเกาหลีใต้แล้ว พวกเขายังโจมตีรัฐบาล โครงสร้างพื้นฐาน และธุรกิจในประเทศอื่นๆ ด้วย วิธีโจมตี ได้แก่ การใช้ประโยชน์จากตัวควบคุม ActiveX, ช่องโหว่ซอฟต์แวร์ของเกาหลี, การโจมตีแบบ Watering Hole, การฟิชชิ่งแบบเจาะจง (วิธีการใช้มาโครไวรัส), การโจมตีผลิตภัณฑ์การจัดการไอที (เช่นซอฟต์แวร์ป้องกันไวรัส, ซอฟต์แวร์การจัดการโครงการ) และการโจมตีผ่านห่วงโซ่อุปทาน (โปรแกรมติดตั้งและโปรแกรมอัปเดต) มัลแวร์ที่ใช้ได้แก่ Aryan, Gh0st RAT, Rifdoor, Phandoor และ Andarat

การดำเนินคดีผู้ที่เกี่ยวข้อง

ในเดือนกุมภาพันธ์ 2021 กระทรวงยุติธรรมของสหรัฐฯ ได้ฟ้องเจ้าหน้าที่สำนักงานข่าวกรองทหารของเกาหลีเหนือจำนวน 3 ราย ได้แก่ ปาร์ค จินฮยอก, จอน ชางฮยอก และคิม อิล ปาร์ค ในข้อหามีส่วนเกี่ยวข้องกับกิจกรรมแฮ็กเกอร์หลายรายการของกลุ่มลาซารัส (Lazarus) ปาร์คจินฮยอกถูกตั้งข้อกล่าวหาตั้งแต่เดือนกันยายน 2018 ขณะนี้ผู้ต้องสงสัยไม่มีใครถูกควบคุมตัวอยู่ในสหรัฐฯ นอกจากนี้ ชาวแคนาดา 1 คนและชาวจีน 2 คน ยังถูกตั้งข้อหาเป็นผู้ส่งเงินและฟอกเงินให้กับกลุ่ม Lazarus อีกด้วย

ลิงค์ต้นฉบับ

ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:

กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats

กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App

บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia