แฮกเกอร์ลูบคมวงการ Security! เจาะ Checkmarx และ Bitwarden ผ่าน Supply Chain

เทคโนโลยี

2 ครั้ง

0 ความเห็น

3 นาที

Photo by Lucas Andrade on Pexels

By Suphansa Makpayab29 เมษายน 2569 21:27

แชร์บทความ

TL;DR

บริษัทด้านความปลอดภัย Checkmarx และ Bitwarden ตกเป็นเหยื่อการโจมตีแบบ Supply Chain Attack ที่เริ่มต้นจากช่องโหว่ของ Trivy ทำให้แฮกเกอร์สามารถฝังมัลแวร์และขโมยข้อมูลไปปล่อยบน Dark Web ชี้ให้เห็นเทรนด์ใหม่ที่แฮกเกอร์พุ่งเป้าโจมตีเครื่องมือ Security เพื่อใช้เป็นทางผ่านไปหาเหยื่อรายอื่น

ช่วงเดือนที่ผ่านมาถือเป็นฝันร้ายของวงการ Cybersecurity เมื่อบริษัทผู้เชี่ยวชาญด้านความปลอดภัยอย่าง Checkmarx ต้องเผชิญกับการโจมตีแบบ Supply Chain Attack อย่างต่อเนื่อง แถมยังลามไปถึงบริษัทจัดการรหัสผ่านชื่อดังอย่าง Bitwarden อีกด้วย งานนี้ทำเอาหลายคนตั้งคำถามว่า เมื่อผู้พิทักษ์ถูกเจาะระบบเสียเอง แล้วผู้ใช้งานตาดำ ๆ จะเหลือความเชื่อมั่นได้อย่างไร

จุดเริ่มต้นของมหากาพย์นี้เกิดขึ้นเมื่อวันที่ 19 มีนาคมที่ผ่านมา เมื่อกลุ่มแฮกเกอร์ที่ใช้ชื่อว่า TeamPCP ซึ่งเป็นกลุ่ม Access Broker (นายหน้าค้าการเข้าถึงระบบ) ได้เจาะบัญชี GitHub ของ Trivy ซึ่งเป็นเครื่องมือสแกนหาช่องโหว่ยอดนิยม จากนั้นได้ปล่อยมัลแวร์แฝงไปกับการอัปเดตเพื่อขโมย Token, สัญญาณกุญแจ SSH และข้อมูลยืนยันตัวตนอื่น ๆ ซึ่งหนึ่งในเหยื่อที่ติดกับดักนี้ก็คือ Checkmarx

สถานการณ์ของ Checkmarx เลวร้ายลงอย่างรวดเร็ว โดยมีลำดับเหตุการณ์ดังนี้:

23 มีนาคม: บัญชี GitHub ของ Checkmarx ถูกแฮกเกอร์ควบคุม และเริ่มปล่อยมัลแวร์ไปยังผู้ใช้งานของบริษัท แม้จะมีการตรวจพบและพยายามแก้ไขแล้วก็ตาม
22 เมษายน: บัญชี GitHub เดิมกลับมาปล่อยมัลแวร์ระลอกใหม่อีกครั้ง รวมถึงมีการพบแพ็กเกจอันตรายบน Docker Hub อย่างเป็นทางการของ Checkmarx ด้วย ชี้ให้เห็นว่าการกำจัดแฮกเกอร์ในรอบแรกนั้นล้มเหลว
สัปดาห์ล่าสุด: ข้อมูลภายในของ Checkmarx ถูกนำไปปล่อยทิ้งบน Dark Web โดยกลุ่มแฮกเกอร์ที่ชื่อว่า Lapsu$ ซึ่งข้อมูลดังกล่าวมีประทับตราวันที่ 30 มีนาคม คาดว่า TeamPCP น่าจะนำสิทธิ์การเข้าถึงที่ขโมยมาได้ไปขายต่อให้กับกลุ่มนี้เพื่อทำการรีดไถ

ผลกระทบจากช่องโหว่ของ Trivy ไม่ได้หยุดอยู่แค่ Checkmarx เท่านั้น ข้อมูลจากบริษัทวิจัยด้านความปลอดภัย Socket ระบุว่า Bitwarden ก็ตกเป็นเหยื่อของการโจมตีแบบ Supply Chain ในแคมเปญเดียวกันนี้ด้วย โดยพบว่ามัลแวร์ที่ฝังตัวอยู่ใช้โครงสร้างพื้นฐานและจุดเชื่อมต่อ C2 (Command and Control) แบบเดียวกับที่ใช้โจมตี Checkmarx

Feross Aboukhadijeh ซีอีโอของ Socket ให้ความเห็นที่น่าสนใจว่า ปัจจุบันแฮกเกอร์มองเครื่องมือด้านความปลอดภัยเป็นทั้ง "เป้าหมาย" และ "กลไกในการส่งมอบ" มัลแวร์ เนื่องจากซอฟต์แวร์เหล่านี้มักจะได้รับสิทธิ์การเข้าถึงระดับสูงและถูกใช้งานอย่างแพร่หลายในองค์กร การเจาะระบบเครื่องมือ Security ได้เพียงครั้งเดียว จึงเปรียบเสมือนการได้กุญแจผีที่เปิดประตูไปสู่เหยื่อรายอื่น ๆ ได้อีกมหาศาล

เหตุการณ์นี้ถือเป็นกรณีศึกษาชิ้นโตที่ย้ำเตือนว่า ในโลกไซเบอร์ไม่มีใครปลอดภัยแบบร้อยเปอร์เซ็นต์ แม้แต่บริษัทที่ขายความปลอดภัยเป็นอาชีพหลักก็ตาม การตรวจสอบเครื่องมือที่ใช้ป้องกันระบบอย่างสม่ำเสมอ จึงกลายเป็นเรื่องที่ละเลยไม่ได้อีกต่อไป