Dev ระวัง แคมเปญ TrapDoor
Dev ระวัง แคมเปญ TrapDoor ซุกมัลแวร์ซ่อนตามเครื่องมือพัฒนาซอฟต์แวร์ มุ่งเล่นงาน Dev
จากรายงานโดยเว็บไซต์ CSO Online ได้กล่าวถึงการตรวจพบแคมเปญ Trapdoor ที่มุ่งเน้นโจมตีกลุ่มนักพัฒนาซอฟต์แวร์ ด้วยการซุกซ่อนมัลแวร์ไว้ในแพ็คเกจเครื่องมือสำหรับใช้ในระบบการพัฒนาซอฟต์แวร์ (Software Development Workflow) ตามคลังดิจิทัล (Repo หรือ Repository) ยอดนิยมในวงการและมักถูกใช้ในทุกขั้นตอนการทำงาน เช่น npm, PyPI, และ Crates.io ทำให้เหยื่อไว้วางใจและดาวน์โหลดไปติดตั้ง ซึ่งทางทีมวิจัยจาก Socket บริษัทผู้เชี่ยวชาญด้านการต่อต้านภัยจากการโจมตีห่วงโซ่อุปทาน (Supply Chain Attack) กล่าวว่า มีการตรวจพบแพ็คเกจแฝงมัลแวร์มากถึง 34 แพ็คเกจ โดยครอบคลุมมากกว่า 284 เวอร์ชัน และ Artifact เลยทีเดียว โดยมัลแวร์ภายในแพ็คเกจเหล่านี้ถูกออกแบบมาเพื่อการขโมยข้อมูลลับต่าง ๆ เช่น รหัสผ่านเข้าใช้งานบริการ AWS, Token สำหรับเข้าใช่งาน Github, ข้อมูลบนเว็บเบราว์เซอร์, ข้อมูลตัวแปรสภาพแวดล้อม (Environment Variables), ข้อมูลกระเป๋าเงินคริปโตเคอร์เรนซี, และข้อมูลการตั้งค่าบนเครื่อง (Local Configuration) ของนักพัฒนาที่ตกเป็นเหยื่อ
ทางทีมวิจัยระบุว่า ตัวมัลแวร์นั้นไม่ได้มีพฤติกรรมเหมือนกับมัลแวร์แบบฉวยโอกาส (Opportunistic Malware) อย่างมัลแวร์ทั่วไป แต่แทรกซึมเข้าไปยังส่วนต่าง ๆ ของ Workflow การทำงานของผู้พัฒนา เช่น
มัลแวร์บน npm นั้นจะใช้การทำงานของสคริปท์หลังจากติดตั้งเสร็จ (Postinstall Script)
มัลแวร์บน PyPi นั้นจะใช้วิธีการรันหลังโหลดแบบทันที (Import-Time Execution) เพื่อดึง (Fetch) และรัน JavaScript จากระยะไกล (Remote)
มัลแวร์บน Crates.io จะใช้สคริปท์ที่ถูกสร้างขึ้นมาด้วยภาษา Rust ที่จะทำงานระหว่างคอมไพล์ (Compilation)
นอกจากนั้นยังพบว่า มัลแวร์พยายามแทรกแซงเครื่องมือช่วยเขียนโค้ดแบบ AI (AI-Coding Tools) ด้วยการใช้คำสั่งแบบ Unicode (Unicode Instructions) เพื่อแก้ไขไฟล์ของเครื่องมือเหล่านี้ เช่น .cursorrules และ CLAUDE.md อีกด้วย ซึ่งทางทีมวิจัยคาดว่า เป็นความพยายามในการใช้เครื่องมือ AI ทำการสแกนระบบรักษาความปลอดภัยของเครื่องเหยื่อเพื่อหาช่องโหว่ในการเข้าขโมยข้อมูลลับและลักลอบส่งกลับ (Exfiltration) ไปให้กับแฮกเกอร์ที่อยู่เบื้องหลัง
ทางทีมวิจัยระบุว่าแคมเปญดังกล่าวนั้นเรียกได้ว่าเป็นแคมเปญที่ร้ายกาจมาก จากการที่ตัวมัลแวร์นั้นสามารถแทรกซึมเข้าไปในระดับ Workflow ทำให้การตรวจจับนั้นทำได้ยาก ไม่เพียงเท่านั้น ถ้ามัลแวร์เจาะเครื่องของเหยื่อได้แล้ว ยังมีความสามารถใช้การใช้เครื่องของเหยื่อเป็นทางผ่าน (Entry Point) เข้าไปยังโครงสร้างหลักของโครงการพัฒนาซอฟต์แวร์ อย่าง CI/CD Pipelines และ Build Infrastructure ได้เลยทีเดียว
จากความซับซ้อนในการทำงานของมัลแวร์ต่าง ๆ บนแคมเปญนี้ ทำให้การป้องกันภัยจากมัลแวร์ทำได้ยุ่งยากตามไปด้วย เนื่องจากแค่การล็อกไฟล์ หรือ การใช้เครื่องมือรักษาความปลอดภัยอุปกรณ์ปลายทาง (EDR หรือ Endpoint Detection and Response) นั้นไม่เพียงพอด้ว ยเหตุผลที่กล่าวมาข้างต้น การที่ตัวระบบทั้งโครงสร้างจะปลอดภัยจากมัลแวร์ตัวนี้ได้นั้นจะต้องมีการใช้นโยบายความปลอดภัยในหลากส่วน เช่น การควบคุมการติดตั้งใช้งาน Dependency ต่าง ๆ อย่างเข้มงวด, การสแกนทุกไฟล์ก่อนอนุญาตให้ติดตั้ง, และ การให้สิทธิ์ที่น้อยที่สุด (Least-Privilege Access) ให้กับนักพัฒนาต่าง ๆ เป็นต้น ถึงจะมั่นใจได้ว่าตัวระบบจะปลอดภัยจากมัลแวร์ต่าง ๆ บนแคมเปญนี้
จากประสบการณ์การทำงานในสายพัฒนาซอฟต์แวร์ ต้องบอกเลยว่าแคมเปญมัลแวร์แบบ TrapDoor ที่แฝงอยู่ในแพ็คเกจเครื่องมือพัฒนาเป็นภัยที่น่ากังวลอย่างมาก เพราะเป็นช่องทางที่มักถูกมองข้าม โดยปกติแล้วนักพัฒนาจะใช้ npm, PyPI หรือ Crates.io กันอย่างแพร่หลาย และมักเชื่อถือแพ็คเกจจากรีโพซิทอรีเหล่านี้โดยตรง ซึ่งแคมเปญ TrapDoor ใช้ประโยชน์จากความไว้วางใจนี้แอบแฝงมัลแวร์ในหลายเวอร์ชันแพ็คเกจ การทำงานของมัลแวร์ในแต่ละแพลตฟอร์มนั้นแยบยล เช่น การเรียกใช้สคริปต์หลังติดตั้ง หรือรันโค้ดในเวลาที่โหลด และการแทรกซึมในช่วงคอมไพล์โค้ด ความน่ากลัวอีกอย่างคือมัลแวร์นี้ไม่ได้ทำแค่ขโมยข้อมูลปกติ แต่มันสามารถดึงข้อมูลลับต่างๆ เช่น รหัสผ่าน AWS, โทเคน GitHub, ข้อมูลเบราว์เซอร์, ตัวแปรแวดล้อม, กระเป๋าคริปโต หรือแม้แต่ไฟล์ตั้งค่าบนเครื่องของนักพัฒนา นอกจากนี้ยังมีพฤติกรรมแฝงที่พยายามแทรกแซงกับเครื่องมือช่วยเขียนโค้ด AI โดยใช้คำสั่ง Unicode แก้ไขไฟล์ เช่น .cursorrules และ CLAUDE.md เพื่อหาและฝังช่องโหว่รอแฮกเกอร์ ผมเองเคยประสบปัญหาเมื่อต้องสแกนงานโค้ดที่ติดตั้ง dependencies จำนวนมากในโปรเจกต์ พบว่าการสแกนแบบทั่วไปไม่สามารถจับพฤติกรรมซับซ้อนของมัลแวร์เหล่านี้ได้เลย ต้องลงทุนใช้เครื่องมือเฉพาะที่สามารถตรวจสอบการทำงานของ workflow และสคริปต์หลังติดตั้งอย่างละเอียด คำแนะนำสำหรับนักพัฒนาที่ผมอยากแชร์คือ ควรมีการบริหารจัดการสิทธิ์ (Least-Privilege Access) อย่างเข้มงวด ไม่ดาวน์โหลดแพ็คเกจจากแหล่งที่ไม่น่าเชื่อถือ พร้อมทั้งสแกนไฟล์ทุกตัวก่อนใช้งาน นอกจากนี้ควรตรวจสอบ CI/CD pipeline อย่างสม่ำเสมอ เพื่อหาช่องโหว่หรือพฤติกรรมแปลกปลอมในระบบของตัวเอง สุดท้ายนี้ การตระหนักรู้และความระมัดระวังต่อภัยคุกคามในรูปแบบใหม่ๆ เช่น TrapDoor จะช่วยให้นักพัฒนาและองค์กรหลีกเลี่ยงความเสียหายทั้งในด้านข้อมูลและชื่อเสียงได้อย่างมาก
