ผู้ไม่หวังดีได้ร้องขอโค้ดเพื่อทดสอบการรับส่งข้อมูลที่เข้ารหัส (HTTPS, TLS) สำหรับการตรวจสอบแบบ Beacon-style โดยได้ร่างโค้ดในภาษา Go และ PowerShell เพื่อการระบุโปรเซส การยุติด้วยชื่อไฟล์ หรือการรวบรวมรายละเอียดสภาพแวดล้อม และนำเครื่องมือสแกนทั่วไปมาใช้กับ bash/PowerShell wrappers
กิจกรรมเหล่านี้แสดงถึงการทำงานต้นแบบของ Command-and-Control ที่มีความซับซ้อนระดับต่ำถึงกลาง ซึ่งรวมถึงลูป Keep-alive, การสั่งงานผ่าน HTTP(S) ขั้นต่ำ และการใช้ JSON สำหรับการส่ง/รับภารกิจ ซึ่งคล้ายกับการทำงานเพื่อทำให้กระบวนการ Phishing เป็นไปโดยอัตโนมัติ เช่น การวิเคราะห์เนื้อหาเว็บเพื่อสร้างรายชื่อเป้าหมายและเนื้อหาที่น่าสนใจสำหรับแต่ละเป้าหมาย
ผู้โจมตีพยายามใช้โมเดลของเราในการวางแผนและปรับปรุงส่วนประกอบ C2 ที่เข้ารหัส, ขั้นตอนการรันคำสั่งระยะไกล และการเข้าถึงกลุ่มเป้าหมายตามบริบททางวัฒนธรรม โดยให้ความสำคัญกับความเร็วและการแปลท้องถิ่นมากกว่าความสามารถในการโจมตีใหม่ๆ
การป้องกันการรับส่งข้อมูลและการปรับปรุง OPSEC ในคำขอต่างๆ ได้รวมถึงโค้ดสำหรับการเปลี่ยนจาก WebSockets ธรรมดาเป็นแบบปลอดภัย (wss://) และจาก HTTP เป็น HTTPS, การปิดการตรวจสอบใบรับรองในบางการทดสอบ และการผสมผสานทราฟฟิกผ่าน CDN/TLS frontend เพื่อจัดการข้อความขนาดใหญ่โดยไม่ทำให้ไคลเอนต์ล่ม
ข้อได้เปรียบทางเทคนิคที่ได้จากการใช้โมเดลคือความคล่องแคล่วทางภาษา การแปลให้เข้ากับท้องถิ่น และความต่อเนื่องในการโจมตี ซึ่งช่วยให้การโจมตีมีข้อผิดพลาดทางภาษาน้อยลง โค้ดเชื่อมต่อรวดเร็วกว่า และปรับตัวได้เร็วกว่าเมื่อเกิดข้อผิดพลาด
ศัพท์ที่ควรรู้
- HTTPS/TLS – โปรโตคอลที่ใช้ในการรักษาความปลอดภัยการสื่อสาร ทำให้ข้อมูลที่ส่งไปนั้นถูกเข้ารหัสและปลอดภัย
- Beacon-style polling – เทคนิคการส่งสัญญาณเล็กๆ น้อยๆ เป็นระยะๆ เพื่อตรวจสอบสถานะหรือการตอบสนองจากเซิร์ฟเวอร์
- Command-and-Control (C2) – ระบบที่ผู้โจมตีใช้ในการสั่งการและควบคุมมัลแวร์ที่ติดอยู่ในระบบเป้าหมาย
- WebSockets – โปรโตคอลที่ช่วยให้การสื่อสารระหว่างไคลเอนต์และเซิร์ฟเวอร์สามารถเกิดขึ้นได้แบบสองทางและต่อเนื่อง
- CDN/TLS frontend – การใช้เครือข่ายการส่งเนื้อหา (CDN) และการเข้ารหัส TLS เป็นส่วนหน้าเพื่อซ่อนและจัดการทราฟฟิกการโจมตี
ที่มา: OpenAI