หน่วยงานบังคับใช้กฎหมายเยอรมนี (BKA และ ZIT) ร่วมกับทางการสหรัฐฯ และอินโดนีเซีย ดำเนินปฏิบัติการ "Olympus Blade" รื้อถอนแพลตฟอร์ม Phishing-as-a-Service (PhaaS) ชื่อ Kratos ซึ่งพัฒนาต่อยอดมาจาก Sneaky2FA และถูกใช้ขโมยข้อมูลรับรองและ Session Token ของผู้ใช้งาน Microsoft 365 ในวงกว้าง แม้แพลตฟอร์มจะถูกปิดตัวลงแล้วในเดือนกรกฎาคม 2026 แต่เทคนิคที่ Kratos ใช้ยังมีความเสี่ยงที่จะถูกนำไปพัฒนาต่อในชุดเครื่องมือ Phishing อื่น
รายละเอียดแพลตฟอร์ม Kratos
Kratos เป็นวิวัฒนาการโดยตรงของ Sneaky2FA ซึ่งเป็นชุดเครื่องมือ Phishing แบบ Adversary-in-the-Middle (AiTM) ที่มุ่งเป้าโจมตีบัญชี Microsoft 365 มาตั้งแต่เดือนตุลาคม 2024 โครงสร้างพื้นฐานของ Kratos ยังพบว่ามีความเชื่อมโยงกับชุดเครื่องมือ AiTM รายใหญ่รายอื่น เช่น Tycoon, Flowerstorm และ EvilProxy สะท้อนว่าเบื้องหลังอาจใช้ระบบนิเวศ (Ecosystem) ร่วมกัน
ในช่วงพีคของการให้บริการ Kratos มีผู้ใช้งาน (Subscriber) มากกว่า 1,800 ราย ที่ร่วมกันปล่อยแคมเปญ Phishing ประมาณ 15,000 แคมเปญต่อเดือน
กลไกการโจมตี
Kratos ใช้บริการที่น่าเชื่อถือเป็นเหยื่อล่อ เช่น SharePoint, OneDrive, Microsoft Forms และ Canva เพื่อนำผู้ใช้งานไปยังหน้า Login ปลอมที่มีความสมจริงสูง โดยมีมาตรการป้องกันการตรวจจับหลายชั้น:
- ใช้ CAPTCHA และเทคนิค Anti-Bot เพื่อป้องกันไม่ให้เครื่องมือรักษาความปลอดภัยอัตโนมัติตรวจพบหน้า Phishing
- ใช้เทคนิค Adversary-in-the-Middle (AiTM) วางตัวเป็นตัวกลางระหว่างเหยื่อกับระบบยืนยันตัวตนจริงของ Microsoft
- ดักจับทั้ง Username, Password และ Session Token แบบเรียลไทม์ระหว่างกระบวนการ Login
- เนื่องจากดักข้อมูลหลัง Multi-Factor Authentication ผ่านไปแล้ว เทคนิคนี้จึงข้าม MFA ได้อย่างมีประสิทธิภาพ แม้บัญชีเป้าหมายจะเปิดใช้งาน MFA อยู่ก็ตาม
ผลกระทบเมื่อถูกโจมตีสำเร็จ
เมื่อผู้โจมตีได้ Session Token ของเหยื่อแล้ว สามารถ:
- เข้าถึง Email, SharePoint, Teams และ OneDrive ของบัญชีที่ถูกขโมย Session
- นำบัญชีที่ถูกยึดไปใช้ส่ง Phishing ต่อ ไปยังผู้ติดต่อภายในองค์กรเดียวกันหรือคู่ค้า เพิ่มความน่าเชื่อถือของแคมเปญ Phishing รอบถัดไป
- เข้าถึงข้อมูลองค์กรที่จัดเก็บอยู่ใน Microsoft 365 ซึ่งอาจรวมถึงเอกสารสำคัญ ข้อมูลลูกค้า หรือข้อมูลทางการเงิน
สถานะการรื้อถอนและความเสี่ยงที่เหลืออยู่
ปฏิบัติการ Olympus Blade สามารถปิดเซิร์ฟเวอร์ที่เกี่ยวข้องได้มากกว่า 200 เครื่อง และจับกุมผู้ต้องสงสัยที่เป็นผู้พัฒนาและผู้ดูแลระบบทางเทคนิคของ Kratos ได้สำเร็จ อย่างไรก็ตาม เนื่องจาก Kratos เป็นเพียงวิวัฒนาการหนึ่งของเทคนิค AiTM ที่มีอยู่ในระบบนิเวศร่วมกับชุดเครื่องมืออื่น เทคนิคการโจมตีลักษณะนี้ยังมีแนวโน้มถูกนำไปพัฒนาต่อในชุดเครื่องมือ Phishing ใหม่ แม้แพลตฟอร์มเดิมจะถูกปิดตัวลงแล้ว
สิ่งที่องค์กรควรทำ
- เฝ้าระวังลิงก์เข้าสู่ระบบที่ผิดปกติ โดยเฉพาะที่แอบอ้างเป็นบริการ Microsoft 365 อย่าง SharePoint, OneDrive หรือ Microsoft Forms
- เพิกถอน Active Sessions และ Refresh Tokens เป็นประจำ โดยเฉพาะสำหรับบัญชีที่มีความเสี่ยงสูงหรือมีสิทธิ์เข้าถึงข้อมูลสำคัญ
- ตรวจสอบกิจกรรมบัญชีที่น่าสงสัย เช่น การ Login จากตำแหน่งหรืออุปกรณ์ที่ไม่คุ้นเคย หรือรูปแบบการใช้งานที่ผิดปกติ
- ให้ความรู้พนักงานเกี่ยวกับเทคนิค AiTM Phishing ที่สามารถข้าม MFA ได้ เนื่องจากพนักงานจำนวนมากยังเข้าใจผิดว่าการเปิด MFA เพียงพอต่อการป้องกันแล้ว
แนวทางลดความเสี่ยงระยะยาว
1. พิจารณาใช้ Phishing-Resistant MFA เช่น FIDO2/Passkeys
แทนการใช้ MFA แบบ OTP หรือ Push Notification ที่ยังมีความเสี่ยงถูกดักผ่านเทคนิค AiTM
2. ตั้งค่า Conditional Access Policy ใน Microsoft 365
เพื่อจำกัดการ Login จากอุปกรณ์หรือตำแหน่งที่ไม่น่าเชื่อถือ และตรวจจับสัญญาณการใช้งาน Session ที่ผิดปกติ
3. ตรวจสอบ Session Token Anomaly ผ่านเครื่องมือ Identity Protection
เพื่อตรวจจับการใช้งาน Token เดียวกันจากหลายตำแหน่งหรืออุปกรณ์ในเวลาใกล้เคียงกัน ซึ่งเป็นสัญญาณของการโจมตีแบบ AiTM
4. ทำ Security Awareness Training ที่ครอบคลุมเทคนิค Phishing ยุคใหม่อย่างสม่ำเสมอ
เนื่องจากหน้า Phishing ปัจจุบันมีความสมจริงสูงมาก จนยากต่อการสังเกตด้วยตาเปล่า
วิเคราะห์ในมุมมองจาก TXEC
การรื้อถอน Kratos เป็นข่าวดีในแง่การบังคับใช้กฎหมาย แต่ TXEC มองว่าองค์กรไม่ควรตีความว่าความเสี่ยงจากเทคนิค AiTM Phishing ลดลงตามไปด้วย เพราะ Kratos เป็นเพียงหนึ่งในหลายแพลตฟอร์มที่ใช้เทคนิคเดียวกันและมีโครงสร้างพื้นฐานเชื่อมโยงกับชุดเครื่องมืออื่น การปิดตัวของ Kratos อาจเป็นเพียงการเปิดช่องให้ผู้ใช้งานย้ายไปใช้แพลตฟอร์มอื่นในระบบนิเวศเดียวกันแทน
ประเด็นสำคัญที่สุดที่ TXEC อยากเน้นย้ำคือ MFA แบบดั้งเดิมไม่เพียงพอต่อการป้องกันเทคนิค AiTM อีกต่อไป องค์กรที่ยังใช้ MFA แบบ OTP หรือ Push Notification ควรเร่งประเมินการเปลี่ยนไปใช้ Phishing-Resistant MFA อย่าง Passkeys หรือ FIDO2 โดยเฉพาะสำหรับบัญชีผู้บริหารและบัญชีที่มีสิทธิ์เข้าถึงข้อมูลสำคัญขององค์กร เนื่องจากแนวโน้มของ Phishing Kit ประเภทนี้จะยังคงพัฒนาต่อเนื่องแม้แพลตฟอร์มต้นทางจะถูกปิดไปแล้วก็ตาม
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: The Hacker News, Trend Micro, CyberSecurityNews, GBHackers, CyberPress ]