แฮกเกอร์จากเกาหลีเหนือได้จัดทำรายชื่อเซิร์ฟเวอร์ 216 เครื่องในวันที่ 24 ตุลาคม ห้าวันก่อนที่ Binance จะสูญเสีย 6.3 พันล้าน USD โดยสหรัฐอเมริกาติดอันดับเป้าหมายสูงสุด มีทั้งสิ้น 49 รายการ
อย่างไรก็ตาม ยังไม่ทราบแน่ชัดว่าเซิร์ฟเวอร์ใดถูกเจาะระบบหรือไม่ แฮกเกอร์กล่าวว่าโดนเจาะแล้ว ส่วนบริษัทที่จับพวกเขาบอกว่าหลักฐานชี้แค่เป้าหมายเท่านั้น
มีอะไรอยู่ในรายชื่อเป้าหมายของเกาหลีเหนือบ้าง?
บริษัทด้านความมั่นคงไซเบอร์ Cyfirma ได้ข้อมูลบันทึกแชทจากช่องส่วนตัวของแฮกเกอร์เหล่านี้ โดยเชื่อมโยงด้วย “ความมั่นใจสูง” ว่าเป็นกลุ่ม Lazarus Group ซึ่งเป็นเครือข่ายแฮกเกอร์ของรัฐที่มีชื่อเสียงที่สุดของเกาหลีเหนือ
ประเทศญี่ปุ่นตามมาด้วยเซิร์ฟเวอร์ 47 เครื่อง อินเดียมี 31 เครื่อง และเกาหลีใต้มี 30 เครื่อง ซึ่งมีรายงาน ออกมาเมื่อวันอาทิตย์
กลุ่มนี้มุ่งเป้าไปที่เซิร์ฟเวอร์ที่รัน PHP ซึ่งเป็นซอฟต์แวร์เบื้องหลังเว็บไซต์ประมาณ 69% ตามข้อมูลของ W3Techs ที่ Tenable อ้างถึง มีช่องโหว่ร้ายแรง 2 จุดหรือ PHP2Shell ที่เปิดทางให้ผู้ไม่หวังดีเข้ายึดเครื่องที่ยังไม่ได้อัปเดตแพตช์ได้
PHP ได้ออกแพตช์แก้ไขช่องโหว่ในวันที่ 21 ตุลาคม และห้าวันต่อมา หน่วยงานไซเบอร์ของสหรัฐฯ อย่าง CISA ได้จัดให้ช่องโหว่ทั้งสองนี้อยู่ในกลุ่มที่ถูกโจมตีอย่างต่อเนื่อง
บันทึกแชทเผยถึงความต้องการของแฮกเกอร์เหล่านี้
เราต้องการผลประโยชน์ทางการเงินและอะไรก็ตามที่นำไปสู่ทรัพย์สินเกี่ยวกับการเงิน เทรดดิ้ง หรือกระเป๋าเงิน ตามที่ Operator 1 กล่าวในแชทที่ Cyfirma เปิดเผย
เซิร์ฟเวอร์ของสหรัฐฯ ถูกแฮกหรือไม่?
แฮกเกอร์คุยว่าเซิร์ฟเวอร์ 216 เครื่อง ส่วนใหญ่นั้น “ได้ฝังอะไรบางอย่างไว้แล้ว” และอ้างว่ารายชื่อนั้นขยายเป็น 581 เครื่อง แต่ทาง Cyfirma ไม่สามารถยืนยันได้กับสองกรณีดังกล่าว
การอยู่ในรายชื่อแสดงถึงการถูกเลือกเป็นเป้าหมาย ไม่ใช่การเจาะเข้าระบบ
คำแนะนำในรายงานนี้ไม่ได้ระบุผู้เสียหายที่ได้รับการยืนยัน และยังไม่ได้เปิดเผยว่าเซิร์ฟเวอร์ 49 เครื่องของสหรัฐฯ อยู่ในภาคส่วนใด
รายชื่อเป้าหมายเกี่ยวข้องกับการแฮ็ก Binance หรือไม่?
คำแนะนำของ Cyfirma ไม่มีการกล่าวถึง Binance โดย FBI แยกต่างหากได้โทษเกาหลีเหนือสำหรับการขโมยครั้งนั้น และอัยการสหรัฐกำลังดำเนินการยึด USD 1.2 พันล้านจากคดีนี้
ก่อนหน้านี้ Chainalysis ได้ชี้ว่า การขโมย USD 387 ล้านจาก Bitget ก็เกิดจากแฮ็กเกอร์เกาหลีเหนือเช่นกัน
คำแนะนำของ Cyfirma นั้นสั้นมาก คือผู้ใช้ควรอัปเดต PHP เอง จากนั้นรีสตาร์ททุกกระบวนการของ PHP แต่การอัปเดตเฉพาะเว็บไซต์จะยังคงเปิดโอกาสให้เกิดปัญหาอยู่
