ThaiCERT เตือนแพ็กเกจ npm และ Go ฝังมัลแวร์ขโมยข้อมูล
ภัยคุกคามด้าน Cyber Security ยังคงพัฒนาอย่างต่อเนื่อง โดยล่าสุดมีการตรวจพบการโจมตีแบบ Supply Chain Attack ที่มุ่งเป้าไปยังนักพัฒนาซอฟต์แวร์ผ่านแพ็กเกจบน npm และภาษา Go ซึ่งอาจส่งผลให้ข้อมูลสำคัญของผู้ใช้งานและองค์กรรั่วไหลโดยไม่รู้ตัว
จากการแจ้งเตือนของ ThaiCERT พบว่าผู้โจมตีได้ซ่อนโค้ดอันตรายไว้ภายในโปรเจกต์ เพื่อรอจังหวะให้เครื่องมือพัฒนา เช่น VS Code เรียกใช้งานคำสั่งอัตโนมัติ ก่อนติดตั้งมัลแวร์สำหรับขโมยข้อมูลสำคัญออกจากเครื่องนักพัฒนา
รายละเอียดของภัยคุกคาม
การโจมตีครั้งนี้แตกต่างจากมัลแวร์บน npm ที่เคยพบในอดีต เพราะไม่ได้อาศัยการรันโค้ดทันทีระหว่างติดตั้งแพ็กเกจ
แต่ผู้โจมตีเลือกซ่อนคำสั่งอันตรายไว้ภายในไฟล์ของโปรเจกต์ เมื่อผู้พัฒนาเปิดโฟลเดอร์ดังกล่าวด้วยเครื่องมือที่รองรับการรันคำสั่งอัตโนมัติ และอนุญาตให้ Workspace ทำงาน คำสั่งอันตรายจึงเริ่มทำงานโดยที่ผู้ใช้แทบไม่ทันสังเกต
จากนั้นมัลแวร์จะเชื่อมต่อไปยังเซิร์ฟเวอร์ของผู้โจมตี เพื่อดาวน์โหลดและติดตั้งโปรแกรมสำหรับขโมยข้อมูลสำคัญจากเครื่องของเหยื่อ
แพ็กเกจที่ได้รับผลกระทบ
ThaiCERT ระบุว่ามีการตรวจพบ
- แพ็กเกจ npm จำนวน 2 รายการ
- แพ็กเกจภาษา Go อีก 16 รายการ
แม้แพ็กเกจ npm ที่ถูกรายงานจะถูกนำออกจาก Registry แล้ว แต่ผู้ที่เคยติดตั้งหรือใช้งานเวอร์ชันดังกล่าวยังคงมีความเสี่ยง และควรตรวจสอบโปรเจกต์ของตนเองทันที
ข้อมูลใดที่เสี่ยงถูกขโมย
หากเครื่องของนักพัฒนาถูกโจมตี ผู้ไม่หวังดีอาจเข้าถึงข้อมูลสำคัญ เช่น
- Username และ Password
- Browser Cookies
- Authentication Token
- GitHub Token
- Git Credentials
- SSH Keys
- API Keys
- Cloud Credentials
- ข้อมูลจาก Password Manager
- ข้อมูลใน Browser
- กระเป๋าเงิน Cryptocurrency
ข้อมูลเหล่านี้สามารถนำไปใช้เพื่อโจมตีระบบขององค์กรต่อได้ ทำให้เหตุการณ์ลุกลามจากเครื่องนักพัฒนาไปยังระบบ Cloud, Infrastructure, Datacenter และบริการสำคัญของธุรกิจได้
ผลกระทบต่อองค์กร
สำหรับองค์กรที่มีทีม Developer ภายใน หรือใช้บริษัทพัฒนาซอฟต์แวร์ภายนอก ความเสี่ยงไม่ได้จำกัดอยู่เพียงเครื่องคอมพิวเตอร์ของนักพัฒนาเท่านั้น
หาก Credential หรือ Token สำคัญรั่วไหล อาจส่งผลให้
การเข้าถึงระบบโดยไม่ได้รับอนุญาต
ผู้โจมตีสามารถเข้าสู่ระบบ Git Repository, Cloud Platform หรือระบบภายในองค์กรได้
การโจมตีแบบ Supply Chain
มัลแวร์อาจถูกส่งต่อไปยังโปรเจกต์อื่น หรือแพร่กระจายผ่านกระบวนการพัฒนาและ Deployment
ความเสียหายต่อธุรกิจ
อาจเกิดการรั่วไหลของข้อมูลลูกค้า ความล่าช้าในการพัฒนาระบบ และส่งผลต่อความน่าเชื่อถือขององค์กร
แนวทางป้องกัน
ผู้ดูแลระบบและทีมพัฒนาควรดำเนินการดังต่อไปนี้
- ตรวจสอบว่ามีการใช้งานแพ็กเกจที่ได้รับผลกระทบหรือไม่
- อัปเดต Dependency ให้เป็นเวอร์ชันล่าสุด
- ตรวจสอบ Source Code และไฟล์ Configuration ของโปรเจกต์
- จำกัดการรันคำสั่งอัตโนมัติภายใน Workspace
- ใช้หลัก Least Privilege สำหรับการเข้าถึงระบบ
- หมุนเวียน API Key และ Access Token หากสงสัยว่ามีการรั่วไหล
- เฝ้าติดตามพฤติกรรมผิดปกติของระบบอย่างต่อเนื่อง
- ใช้เครื่องมือสแกนช่องโหว่และตรวจสอบ Software Supply Chain ในกระบวนการ CI/CD
มุมมองของผู้เชี่ยวชาญ
เหตุการณ์นี้สะท้อนให้เห็นว่า การโจมตีแบบ Software Supply Chain กำลังกลายเป็นหนึ่งในความเสี่ยงสำคัญขององค์กรยุคดิจิทัล
องค์กรไม่ควรให้ความสำคัญเฉพาะการป้องกัน Network หรือ Server เท่านั้น แต่ควรเพิ่มมาตรการด้านการตรวจสอบ Dependency การบริหารสิทธิ์ของนักพัฒนา และการเฝ้าระวังตลอดวงจรการพัฒนาซอฟต์แวร์ เพื่อยกระดับความมั่นคงปลอดภัยของระบบโดยรวม
บทสรุป
การตรวจพบแพ็กเกจ npm และ Go ที่ถูกฝังโค้ดอันตรายครั้งนี้ เป็นอีกตัวอย่างของการโจมตีที่อาศัยความไว้วางใจในระบบนิเวศของนักพัฒนา หากองค์กรมีทีมพัฒนาโปรแกรม หรือใช้งานระบบที่พึ่งพา Open Source ควรตรวจสอบแพ็กเกจที่ใช้งานอยู่ทันที พร้อมเสริมมาตรการด้าน Cyber Security, IT Solution, IT Support และ IT Maintenance เพื่อป้องกันความเสียหายที่อาจส่งผลกระทบต่อธุรกิจในระยะยาว
