นักวิจัยด้าน Threat Intelligence เปิดเผยเครื่องมือโจมตีตัวใหม่ชื่อ NULLZEREPTOOL ซึ่งใช้ Telegram Bot เป็นศูนย์ควบคุมการโจมตีแบบ Distributed Denial of Service (DDoS) ได้มากถึง 20 รูปแบบ พร้อมระบบหมุนเวียน Proxy อัตโนมัติเพื่อหลบเลี่ยงการบล็อกตาม IP
จุดที่ทำให้ NULLZEREPTOOL น่ากังวลเป็นพิเศษคือการนำ Telegram ซึ่งเป็นแอปพลิเคชันสื่อสารที่ใช้งานทั่วไป มาทำหน้าที่เป็นแผงควบคุมการโจมตี (Command and Control Panel) ทำให้ผู้ไม่หวังดีที่มีความรู้ทางเทคนิคไม่มากก็สามารถสั่งการโจมตีได้ทันทีผ่านการพิมพ์คำสั่งในแชท โดยไม่ต้องพึ่งพา Infrastructure ของตนเองในการควบคุม
NULLZEREPTOOL คืออะไร
NULLZEREPTOOL เป็นเฟรมเวิร์ก DDoS ที่เขียนด้วยภาษา Python ออกแบบมาให้ผู้ควบคุมสั่งการผ่าน Telegram Bot แทนการใช้แผงควบคุมเว็บหรือ Command-line แบบดั้งเดิม ทำให้ใช้งานง่ายและเข้าถึงได้จากทุกที่ที่มีแอป Telegram
กลไกการควบคุมผ่าน Telegram
- เครื่องมือผูกการทำงานกับ Telegram ผ่าน BOT_TOKEN ที่ฝังไว้ในโค้ด และตรวจสอบ ADMIN_ID เพื่อยืนยันว่าผู้สั่งการเป็นผู้ดูแลระบบตัวจริง
- ผู้ควบคุมต้องผ่านขั้นตอน /login ก่อน จึงจะปลดล็อกคำสั่งอื่นๆ ได้ เช่น /attacks (เริ่มการโจมตี), /proxy (จัดการ Proxy), /key และ /cvv
- เมื่อเข้าสู่ระบบแล้ว ผู้ควบคุมสามารถเริ่ม Flood การโจมตี ปรับจำนวน Worker และรับสถานะการโจมตีแบบเรียลไทม์ผ่านข้อความในแชทได้โดยตรง
ความสามารถในการโจมตี
- รองรับการโจมตีหลายรูปแบบ ได้แก่ HTTP GET Flood, UDP Flood, TCP Handshake Flood และโหมด Combo ที่รวมหลายเทคนิคเข้าด้วยกันเพื่อเพิ่มความรุนแรง
- คำสั่ง /key และ /cvv ที่พบในโค้ดของเครื่องมือ บ่งชี้ว่านอกจากความสามารถด้าน DDoS แล้ว อาจมีการต่อยอดให้มีฟังก์ชันเกี่ยวข้องกับการขโมยข้อมูลบัตรหรือ Credential ร่วมด้วย
- เวอร์ชันที่พบใหม่เริ่มมีโค้ดสำหรับความสามารถเพิ่มเติม เช่น WiFi Deauthentication, Bluetooth Jamming และการสั่งการ Botnet แบบลำดับชั้น (Hierarchical Botnet Tasking) แม้ความสามารถเหล่านี้จะยังไม่พบการใช้งานจริงในการโจมตี เนื่องจากขาดส่วน Client ที่รองรับ แต่สะท้อนทิศทางการพัฒนาต่อของเครื่องมือ
โครงสร้าง Proxy และการหลบเลี่ยงการตรวจจับ
NULLZEREPTOOL เก็บรวบรวม Proxy แบบ HTTP ฟรีจากแหล่งข้อมูลอัตโนมัติถึง 7 แหล่ง เช่น api.proxyscrape.com และ proxylist.geonode.com จากนั้นตรวจสอบความใช้งานได้และหมุนเวียนใช้งาน Proxy เหล่านี้ในการโจมตี ทำให้ Traffic ที่ยิงเข้าเป้าหมายกระจายมาจาก IP Address จำนวนมากและเปลี่ยนแปลงตลอดเวลา ส่งผลให้มาตรการป้องกันแบบ Rate Limiting หรือ IP Blocking ทั่วไปมีประสิทธิภาพลดลง
ผลกระทบที่อาจเกิดขึ้น
- บริการออนไลน์หยุดชะงัก จากการถูก Flood ด้วย Traffic ปริมาณมากผ่าน Proxy ที่หมุนเวียนตลอดเวลา
- มาตรการป้องกันแบบเดิมมีประสิทธิภาพลดลง เนื่องจาก Traffic กระจายมาจาก IP จำนวนมากและเปลี่ยนแปลงต่อเนื่อง ทำให้ IP Blocking แบบ Static ใช้ไม่ได้ผล
- ความเสี่ยงขยายวงกว้างขึ้น หากเครื่องมือถูกพัฒนาต่อให้มีความสามารถขโมยข้อมูลบัตรหรือ Credential ควบคู่กับ DDoS ตามที่บ่งชี้จากคำสั่ง /key และ /cvv
- อุปสรรคในการสืบสวนหาต้นตอ เนื่องจากผู้โจมตีสั่งการผ่านแอป Telegram ที่ใช้งานทั่วไป ทำให้ยากต่อการเชื่อมโยงกลับไปยังผู้ควบคุมตัวจริง
- ความเสี่ยงในอนาคตจากฟีเจอร์ WiFi/Bluetooth หากมีการพัฒนาส่วน Client ให้สมบูรณ์ อาจขยายขอบเขตการโจมตีไปถึงระดับเครือข่ายไร้สายในพื้นที่
สิ่งที่องค์กรควรทำ
- ตรวจสอบ Traffic ที่ผิดปกติจาก IP Proxy สาธารณะจำนวนมาก ในลักษณะ Flood ที่พุ่งเข้าสู่ระบบพร้อมกันในช่วงเวลาสั้น
- เตรียมมาตรการ DDoS Mitigation หรือ Rate Limiting ที่รองรับการโจมตีแบบหมุนเวียน Proxy ไม่พึ่งพา IP Blocking แบบ Static เพียงอย่างเดียว
- ทำงานร่วมกับผู้ให้บริการ CDN หรือ DDoS Protection Service เพื่อกรอง Traffic ก่อนถึงระบบจริง โดยเฉพาะบริการที่ต้องเปิดให้เข้าถึงจากอินเทอร์เน็ตสาธารณะ
- ติดตามพัฒนาการของเครื่องมือกลุ่มนี้อย่างต่อเนื่อง เนื่องจากมีแนวโน้มเพิ่มความสามารถขโมยข้อมูลควบคู่กับ DDoS ในอนาคต
แนวทางลดความเสี่ยงระยะยาว
1. ใช้บริการ DDoS Protection ระดับ Network และ Application Layer
เพื่อรองรับการโจมตีทั้งแบบ Volumetric และแบบที่มุ่งเป้าไปยังแอปพลิเคชันโดยตรง
2. ออกแบบระบบให้รองรับการขยายตัว (Scalability) ในช่วงที่มี Traffic ผิดปกติ
ลดผลกระทบต่อผู้ใช้งานจริงหากเกิดการโจมตีก่อนที่มาตรการป้องกันจะทำงานเต็มรูปแบบ
3. ตั้ง Baseline และ Alert สำหรับ Traffic ผิดปกติ
เพื่อให้ทีม Security ตรวจพบสัญญาณการโจมตีได้ตั้งแต่ระยะเริ่มต้น ก่อนที่จะกระทบต่อการให้บริการ
4. ติดตามข่าวสารเกี่ยวกับเครื่องมือ DDoS-as-a-Service ที่ควบคุมผ่านช่องทางสื่อสารทั่วไป
เนื่องจากแนวโน้มการใช้ Telegram หรือแพลตฟอร์มสื่อสารอื่นเป็น C2 กำลังเพิ่มขึ้นในหลายมัลแวร์และเครื่องมือโจมตี
5. ทบทวนแผน Incident Response สำหรับเหตุการณ์ DDoS โดยเฉพาะ
ให้ครอบคลุมขั้นตอนการประสานงานกับผู้ให้บริการอินเทอร์เน็ตและผู้ให้บริการ Protection ภายนอก
วิเคราะห์ในมุมมองจาก TXEC
NULLZEREPTOOL สะท้อนแนวโน้มที่น่าสนใจของเครื่องมือโจมตียุคใหม่ คือการลดความซับซ้อนในการใช้งานลงจนผู้ที่มีความรู้ทางเทคนิคไม่มากก็สามารถสั่งการโจมตีระดับ DDoS ได้ผ่านแอปพลิเคชันสื่อสารทั่วไปอย่าง Telegram แทนที่จะต้องดูแล Infrastructure ของตนเอง สิ่งนี้ลดต้นทุนในการเข้าถึงเครื่องมือโจมตีของผู้ไม่หวังดีลงอย่างมาก และอาจทำให้ปริมาณการโจมตี DDoS ในภาพรวมเพิ่มขึ้น
อีกประเด็นที่ TXEC มองว่าสำคัญไม่แพ้กันคือคำสั่ง /key และ /cvv ที่ปรากฏในโค้ด ซึ่งบ่งชี้ว่าเครื่องมือกลุ่มนี้ไม่ได้จำกัดตัวเองอยู่แค่การโจมตี DDoS แต่มีแนวโน้มจะรวมความสามารถด้านการขโมยข้อมูลเข้าไว้ด้วยกัน องค์กรที่พึ่งพาบริการออนไลน์เป็นหลักควรเตรียมมาตรการป้องกัน DDoS ที่รองรับ Traffic จาก Proxy หมุนเวียนจำนวนมาก ควบคู่ไปกับการเฝ้าระวังสัญญาณการรั่วไหลของข้อมูลที่อาจเกิดขึ้นพร้อมกัน
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CyberSecurityNews, Flare ]