การปลอมตัวในโลกไซเบอร์: เมื่อผู้ร้ายแฝงกายเป็นโปรแกรมไร้พิษภัย
โลกของความปลอดภัยไซเบอร์มักจะเต็มไปด้วยกลโกงที่ซับซ้อน ผู้โจมตีมักจะพยายาม แฝงตัว หรือ ปลอมแปลง ตัวเองให้ดูเหมือนกระบวนการที่ถูกต้องตามกฎหมาย เพื่อหลบเลี่ยงการตรวจจับ
การโจมตีประเภท “Masquerade” นี้เป็นหนึ่งในเทคนิคที่แพร่หลาย พวกเขาอาจจะเปลี่ยนชื่อไฟล์ที่เป็นอันตรายให้เหมือนกับโปรแกรมที่เราคุ้นเคย เช่น calc.exe ซึ่งเป็นเครื่องคิดเลขปกติ ทำให้เราเข้าใจผิดคิดว่าไม่มีอะไรผิดปกติ แต่เบื้องหลังกลับซ่อนภัยร้ายที่พร้อมจะทำงานอยู่ตลอดเวลา
แกะรอยผู้บุกรุก: เมื่อของปลอมกลายเป็นของจริง
จินตนาการว่ามีผู้โจมตีสร้างโปรแกรมอันตรายขึ้นมา โดยใช้เครื่องมือที่เรียกว่า msfvenom ซึ่งสามารถสร้าง payload หรือโค้ดที่เป็นอันตรายได้ จากนั้นเปลี่ยนชื่อไฟล์ที่สร้างขึ้นให้กลายเป็น calc.exe โปรแกรมเครื่องคิดเลขธรรมดา และนำไปวางไว้ในเครื่องของเหยื่อ การกระทำนี้มักจะเกิดขึ้นหลังจากการเข้าถึงระบบได้ในระดับหนึ่งแล้ว
เมื่อโปรแกรมปลอมตัวนี้ถูกเรียกใช้งาน มันไม่ได้เปิดเครื่องคิดเลข แต่กลับสร้างการเชื่อมต่อกลับไปยังเซิร์ฟเวอร์ของผู้โจมตี ซึ่งเรียกว่า Reverse Shell การเชื่อมต่อนี้ทำให้ผู้โจมตีสามารถควบคุมเครื่องของเหยื่อจากระยะไกลได้
หลังจากนั้น เพื่อให้มั่นใจว่าการควบคุมยังคงอยู่แม้เหยื่อจะรีสตาร์ทเครื่อง ผู้โจมตีมักจะสร้างกลไก Persistence ขึ้นมา หนึ่งในวิธีที่พบบ่อยคือการสร้างสคริปต์ VBScript ขนาดเล็ก แล้วนำไปวางไว้ในโฟลเดอร์ Startup ของ Windows สคริปต์นี้จะทำหน้าที่เรียกใช้ calc.exe ปลอมในทุกครั้งที่ระบบเริ่มทำงาน เพื่อเปิดการเชื่อมต่อ Reverse Shell อีกครั้งอย่างต่อเนื่อง
ค้นหาความผิดปกติด้วย Windows Event Logs
หนึ่งในวิธีที่ดีที่สุดในการตรวจจับกิจกรรมที่น่าสงสัยคือการตรวจสอบ Windows Event Logs โดยเฉพาะอย่างยิ่ง Security logs ซึ่งบันทึกทุกเหตุการณ์ที่สำคัญในระบบ
ควรให้ความสนใจเป็นพิเศษกับ Event ID 4688 ซึ่งเป็นเหตุการณ์ที่บันทึกการสร้างกระบวนการ (Process Creation) ใหม่ๆ สิ่งสำคัญคือการตรวจสอบ Command Line ของแต่ละกระบวนการ เพราะมันจะแสดงให้เห็นว่าโปรแกรมถูกเรียกใช้งานด้วยคำสั่งอะไรและจากตำแหน่งใด หากพบว่า calc.exe กำลังทำงานจากตำแหน่งที่ไม่ใช่ C:\Windows\System32\ เช่น จาก C:\Users\THM-Analyst\Desktop\ นี่คือสัญญาณเตือนที่ชัดเจนว่าอาจมีการปลอมแปลงเกิดขึ้น
นอกจากนี้ การตรวจสอบการรันสคริปต์อย่าง VBScript ก็เป็นสิ่งสำคัญ หากพบสคริปต์ที่ถูกเรียกใช้จากโฟลเดอร์ Startup หรือจากตำแหน่งอื่น ๆ ที่ไม่คุ้นเคย การตรวจสอบเนื้อหาของสคริปต์นั้นอาจเปิดเผยกลไก Persistence ที่ผู้โจมตีติดตั้งไว้
เจาะลึกเครือข่าย: ตามล่าร่องรอยผ่านข้อมูล Packet
นอกจากการตรวจสอบ Event Logs แล้ว การวิเคราะห์ Network Traffic หรือข้อมูลการรับส่งบนเครือข่ายก็เป็นสิ่งจำเป็นอย่างยิ่ง เครื่องมืออย่าง Wireshark ช่วยให้เรามองเห็นข้อมูลทุกอย่างที่ผ่านเข้าออก
สิ่งที่เราควรมองหาคือ การเชื่อมต่อที่ไม่ปกติ หรือ การเชื่อมต่อไปยัง IP Address ที่ไม่รู้จัก การโจมตีแบบ Reverse Shell มักจะสร้างการเชื่อมต่อ HTTP หรือ HTTPS ไปยังเซิร์ฟเวอร์ของผู้โจมตี แม้จะดูเหมือนการท่องเว็บปกติ แต่ถ้าสังเกตดีๆ จะพบความผิดปกติ เช่น User-Agent ที่แปลกไป หรือ รูปแบบการรับส่งข้อมูล ที่ไม่สอดคล้องกับการใช้งานทั่วไป
การตรวจสอบ DNS requests ก็สามารถช่วยได้ หากพบการร้องขอโดเมนที่ไม่คุ้นเคยหรือไม่มีเหตุผลสมควร ก็อาจเป็นตัวบ่งชี้ถึงเซิร์ฟเวอร์ควบคุม (Command and Control) ของผู้โจมตี การวิเคราะห์แพ็กเก็ตอย่างละเอียดจะช่วยให้เราเห็นภาพรวมของสิ่งที่เกิดขึ้นในเครือข่ายและสามารถระบุแหล่งที่มาของการโจมตีได้
การป้องกันภัยคุกคามไซเบอร์ในยุคปัจจุบันต้องอาศัยการผสมผสานทั้งการวิเคราะห์บันทึกเหตุการณ์ภายในเครื่องและการตรวจสอบกิจกรรมบนเครือข่ายอย่างใกล้ชิด การสังเกตความผิดปกติเล็กๆ น้อยๆ และการเข้าใจพฤติกรรมของผู้โจมตี จะช่วยให้องค์กรสามารถสร้างกำแพงป้องกันที่แข็งแกร่งยิ่งขึ้น