กลุ่มแฮกเกอร์เกาหลีเหนือ Kimsuky ซุ่มพัฒนาAI Stack
กลุ่มแฮกเกอร์เกาหลีเหนือ Kimsuky ซุ่มพัฒนา AI Stack แบบ Offline มาช่วย Phishing และสร้างมัลแวร์ใหม่ ๆ
จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการที่ทางทีมวิจัยจากบริษัท Genians บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์จากประเทศเกาหลีใต้ ทำการตรวจพบเบื้องหลังการทำงานของปฏิบัติการต่าง ๆ ของกลุ่มแฮกเกอร์ Kimsuky ซึ่งเป็นกลุ่มแฮกเกอร์ที่ได้รับการหนุนหลังโดยตรงจากรัฐบาลเกาหลีเหนือ หลังจากที่ได้ทำการเก็บข้อมูลและวิเคราะห์โครงสร้างพื้นฐาน (Infrastucture) ต่าง ๆ ที่เชื่อมโยงกับทางกลุ่มแฮกเกอร์กลุ่มดังกล่าวมายาวนานนับแรมเดือน จนได้ข้อสรุปว่า ทางกลุ่มแฮกเกอร์นั้นได้มีการใช้งาน AI แบบออฟไลน์ (Offline) บนเซิร์ฟเวอร์แบบปิดของตนเอง โดยนำมาเชื่อมต่อกับเครื่องมือค้นหาข้อมูลต่าง ๆ ที่ทางกลุ่มมีอยู่ในครอบครอง รวมทั้งทำการรวบรวมชิ้นส่วนซอฟต์แวร์ (Software Parts) ที่จำเป็นเพื่อใช้ในการฝัง AI ลงไปในมัลแวร์
ซึ่งทางทีมวิจัยระบุว่า เท่าที่ทราบนั้นทางกลุ่มแฮกเกอร์ยังไม่ได้มีการฝึกฝน AI เพื่อพัฒนาโมเดล (Model) เฉพาะของกลุ่มตนเองแต่อย่างใด แต่ก็ไม่สามารถรับประกันความถูกต้องของความคาดเดานี้ได้อย่างเต็มร้อย โดยทางทีมวิจัยคาดการณ์ว่า ปัจจุบันกลุ่มแฮกเกอร์ Kimsuky นั้นอยู่ในช่วงของการวิจัยและหาความรู้ (Research and Knowledge Acquisition) ซึ่งเป็นการรวบรวมซอฟต์แวร์และเครื่องมือต่าง ๆ ที่มีอยู่แล้ว โดยจะนำไปสู่การพัฒนาให้ AI นั้นเข้าไปสอดแทรกในทุกขั้นตอนการทำงานของการสร้างมัลแวร์ตั้งแต่ขั้นตอนการเขียนพัฒนามัลแวร์ ไปจนถึงขั้นตอนของการวิเคราะห์ข้อมูล ซึ่งวิธีการทำงานในรูปแบบนี้จะช่วยให้การหลอกลวงแบบ Phishing เพื่อปล่อยมัลแวร์ลงระบบของเหยื่อนั้นมีประสิทธิภาพมากขึ้น โดยที่ระบบตรวจจับของเหยื่อนั้นทำงานได้ด้อยลงเรื่องจาก ความสามารถในการจับความไม่เนียนของข้อความนั้นจะทำได้ยากขึ้นกว่าเดิม ทำให้การที่จะตรวจจับได้นั้นจะต้องใช้วิธีการที่ยากกว่าอย่าง การตรวจจับผ่านทางการสังเกตพฤติกรรมของมัลแวร์แทน
สำหรับในส่วนของหลักฐานที่ทางทีมวิจัยพบว่าแฮกเกอร์นั้นมีการใช้งาน AI ในรูปแบบโมเดลภาษาขนาดใหญ่ (LLM หรือ Large Language Model) แบบออฟไลน์อยู่นั้น เนื่องจากมีการตรวจพบ AI ในรูปแบบดังกล่าว เช่น Ollama, GPT4All, และ Msty อยู่บนโครงสร้างพื้นฐานที่เชื่อมโยงกับแฮกเกอร์กลุ่มดังกล่าว โดยเครื่องมือในกลุ่มนี้นั้นมีการถูกใช้งานหรือถูกตั้งค่า (Configuration) ไว้เรียบร้อยแล้ว ซึ่ง Ollama มีการถูกตรวจพบว่าพึ่งถูกสร้างกุญแจ (Key) เพื่อเปิดใช้งานเป็นครั้งแรก, GPT4All มีการใช้ไฟล์ฐานข้อมูล (Database) ชื่อ localdocs_v3.db ซึ่งถูกตั้งค่าไว้เรียบร้อยแล้ว โดยฐานข้อมูลดังกล่าวนั้นเป็นฐานข้อมูลสำหรับฟีเจอร์ LocalDocs ที่มีชื่อว่า Retrieval-Augmented Generation (RAG) ซึ่งฟีเจอร์นี้เป็นฟีเจอร์ที่ใช้ในการประมวลผลและตอบคำถามโดยอาศัยข้อมูล เอกสารต่าง ๆ ที่ถูกเก็บไว้ส่วนตัว (Private) ซึ่งเป็นหลักฐานสำคัญว่าแฮกเกอร์พยายามเชื่อมโยงข้อมูลที่ตนมีเข้ากับระบบ AI แต่ยังไม่พบหลักฐานว่าข้อมูลเหล่านั้นเป็นข้อมูลที่ถูกขโมยมาหรือไม่
นอกจากนั้นทางทีมวิจัยยังได้ตรวจพบการพยายามสั่งงาน AI เพื่อวิเคราะห์ชุดข้อมูลต่าง ๆ เช่น ข้อมูลของกระเป๋าเงินคริปโตเคอร์เรนซี (Cryptocurrency Wallet), ข้อมูลรหัสผ่านสำหรับเข้าใช้งาน Gmail, และข้อมูลการลงทะเบียนบนเว็บไซต์ต่าง ๆ พร้อมลงท้ายว่า "The more detailed the analysis, the better. Please do not do it haphazardly." เพื่อย้ำเตือนให้ตัว AI นั้นทำการวิเคราะห์ให้ละเอียดที่สุด อย่าทำลวก ๆ เพื่อให้ผลลัพธ์ออกมาตามที่แฮกเกอร์คาดหวังไว้อีกด้วย
ไม่เพียงแต่การใช้เครื่องมือสำเร็จรูปที่มีอยู่แล้วเท่านั้น ทางทีมวิจัยยังตรวจพบเครื่องมือสำหรับการพัฒนาซอฟต์แวร์ใหม่ อย่างไลบรารี่ของนักพัฒนา (Developer Libraries) ไม่ว่าจะเป็น LLaMaSharp, Semantic Kernel ของไมโครซอฟท์, และ Microsoft.Agents.AI ซึ่งเป็นองค์ประกอบ (Components) สำหรับการสอดไส้ AI ลงไปในซอฟต์แวร์ที่เขียนด้วยภาษา C# และ .NET นอกจากนั้นยังมีการตรวจพบเครื่องมือที่ใช้แปลงเสียงเป็นข้อความ (Speech-to-Text) ของทาง OpenAI อย่าง Whisper และเครื่องมือเขียนและแก้ไขโค้ดด้วย AI อย่าง Cursor บนโครงสร้างพื้นฐานนี้อีกด้วย ซึ่งเป็นหลักฐานชั้นดีว่า แฮกเกอร์กลุ่มนี้มีการใช้งานเครื่องมือ AI ในระดับชุดเครื่องมือ (Stack) เพื่อสอดแทรก AI ลงไปในทุกขั้นตอนตั้งแต่ต้นน้ำยันปลายน้ำของการโจมตีเลยทีเดียว
#ติดเทรนด์ #lemon8ไดอารี่ #เกาหลีเหนือ #kimsuky #freedomhack
ในฐานะผู้ที่ติดตามข่าวสารเกี่ยวกับความปลอดภัยไซเบอร์มาอย่างใกล้ชิด ผมเห็นว่าการที่กลุ่มแฮกเกอร์ Kimsuky ใช้ AI Stack แบบ Offline ในการพัฒนาเครื่องมือโจมตีถือเป็นอีกก้าวหนึ่งที่สำคัญของโลกไซเบอร์ โดยเฉพาะอย่างยิ่งการผนวกเทคโนโลยี AI อย่าง Large Language Model (LLM) เข้ามาช่วยในการสร้างมัลแวร์และการโจมตีแบบ Phishing ซึ่งทำให้วิธีการโจมตีมีความซับซ้อนและมีประสิทธิภาพมากขึ้น ผมสังเกตว่า การใช้ฐานข้อมูล LocalDocs ที่มี Retrieval-Augmented Generation (RAG) ซึ่งช่วยให้ AI วิเคราะห์ข้อมูลเอกสารส่วนตัวและความลับในเครื่องมือของตนเองได้ ทำให้การโจมตีเจาะระบบหรือขโมยข้อมูลมีความแม่นยำและละเอียดมากขึ้น โดยสามารถวิเคราะห์ข้อมูลตั้งแต่รหัสผ่าน Gmail จนถึงข้อมูลคริปโตเคอร์เรนซีได้อย่างมีประสิทธิภาพ นอกจากนี้ การนำเครื่องมือพัฒนา AI อย่าง LLaMaSharp และ Semantic Kernel ที่พัฒนาโดยไมโครซอฟท์ มาใช้งานร่วมกับการเขียนโปรแกรมด้วย C# และ .NET ช่วยให้แฮกเกอร์สามารถผสมผสาน AI ลงในซอฟต์แวร์มัลแวร์ตั้งแต่ต้นน้ำถึงปลายน้ำ ที่เห็นอย่างชัดเจนคือการใช้เทคโนโลยีแปลงเสียงเป็นข้อความ (Speech-to-Text) จาก OpenAI เช่น Whisper รวมถึงเครื่องมือช่วยเขียนโค้ดอย่าง Cursor ซึ่งทั้งหมดนี้แสดงถึงความตั้งใจของกลุ่ม Kimsuky ในการสร้าง AI Stack ที่ครบวงจรเพื่อเสริมทัพไซเบอร์ให้น่าเกรงขามมากขึ้น จากประสบการณ์ส่วนตัวในการติดตามข่าวโจมตีทางไซเบอร์ ผมเห็นว่าสิ่งนี้สะท้อนให้เห็นว่าองค์กรและผู้ใช้ทั่วไปต้องตื่นตัวและเตรียมพร้อมรับมือกับภัยคุกคามที่เปลี่ยนรูปแบบเร็วขึ้นเรื่อยๆ การเสริมความรู้เรื่อง AI ในวงการไซเบอร์และการใช้เครื่องมือป้องกันที่เน้นพฤติกรรมและการวิเคราะห์ AI อย่างรอบด้าน รวมทั้งติดตามเทรนด์ต่างๆ อย่างใกล้ชิด จะช่วยลดความเสี่ยงจากการโจมตีรูปแบบใหม่ๆ ที่ซ่อนตัวอยู่ในยุค AI มากขึ้นเรื่อยๆ อย่างแน่นอน
