UNC6671 ตบโจมตีกองทุนเฮดจ์ฟันด์ด้วยกลยุทธ์ Double Extortion ของ BlackFile

การโจมตีไซเบอร์รูปแบบใหม่ที่มุ่งเป้าไปยัง กองทุนเฮดจ์ฟันด์ และบริษัทเอกชนด้านการลงทุนได้ถูกเชื่อมโยงกับกลุ่มอ extortion ที่เรียกว่า UNC6671 ซึ่งตามรายงานของนักวิจัยความปลอดภัย มีความสัมพันธ์กับแคมเปญ BlackFile กลยุทธ์การโจมตีที่ใช้เทคนิคกดขี่และขโมยข้อมูลทำให้ภาคการเงินต้องเร่งปรับมาตรการป้องกันเพื่อรักษาความเชื่อมั่นของนักลงทุน

Overview

กลุ่ม UNC6671 เริ่มแสดงกิจกรรมอย่างต่อเนื่องตั้งแต่ต้นไตรมาสแรกของปีนี้ โดยมุ่งโจมตีองค์กรในภาคการเงินที่มีฐานข้อมูลลูกค้าและทรัพย์สินมูลค่าสูง การกระทำดังกล่าวมักจะเริ่มจากการเจาะระบบเครือข่ายภายในผ่านช่องโหว่หรือฟิชชิง แล้วดำเนินการเข้ารหัสไฟล์สำคัญพร้อมกับขโมยข้อมูลที่อาจนำไปใช้ต่อในการกดขี่

นักวิจัยระบุว่าแคมเปญ BlackFile เป็นกลุ่มกิจกรรมก่อนหน้าที่ใช้ซอฟต์แวร์รันโค้ดอิสระเพื่อทำลายไฟล์และเรียกร้องค่าไถ่ การเชื่อมโยงกับ UNC6671 แสดงให้เห็นถึงการพัฒนาขั้นต่อไปของวิธีการโจมตีที่รวมการขโมยข้อมูลเข้ากับการบังคับใช้ค่าไถ่ (double extortion) อย่างเป็นระบบ

ผลกระทบแรกเริ่มปรากฏในหลายกองทุนเฮดจ์ฟันด์ชั้นนำของสหรัฐอเมริกาและยุโรป ซึ่งต้องหยุดดำเนินการบางส่วนเพื่อประเมินความเสียหายและตรวจสอบว่าข้อมูลใดบ้างที่อาจถูกเปิดเผยต่อสาธารณะ การกระทำเหล่านี้ส่งผลให้ค่าใช้จ่ายในการตอบโต้และกู้คืนข้อมูลเพิ่มขึ้นอย่างมีนัยสำคัญ

Threat Actor Profile

UNC6671 ถูกจัดประเภทเป็นกลุ่ม Threat Actor ระดับกลางถึงสูงตามมาตรฐาน ATT&CK เนื่องจากความสามารถในการพัฒนามัลแวร์เฉพาะกิจและการใช้เครื่องมือเปิดเผย (open‑source tools) เช่น Cobalt Strike เพื่อทำการสแกนระบบและสร้างช่องทางเข้าถึงที่มั่นคง

ประวัติของกลุ่มนี้บ่งชี้ว่าพวกเขาอาจมีฐานปฏิบัติงานในหลายภูมิภาค ซึ่งทำให้การติดตามแหล่งกำเนิดของการโจมตีเป็นเรื่องท้าทาย นักวิจัยบางส่วนเชื่อว่า UNC6671 อาจเป็นกลุ่มย่อยหรือพันธมิตรของเครือข่ายอาชญากรรมไซเบอร์ที่เคยใช้ชื่อ BlackFile ในอดีต

ตามข้อมูลจากบริษัทความปลอดภัยทางไซเบอร์ การสื่อสารระหว่างผู้กระทำการกับเหยื่อมักเกิดขึ้นผ่านช่องทางเข้ารหัส เช่น TOR หรือแพลตฟอร์มแชทส่วนตัว ซึ่งช่วยให้พวกเขาเก็บรักษาความเป็นนิรนามและหลีกเลี่ยงการตรวจจับจากหน่วยงานบังคับใช้กฎหมาย

Attack Methodology

กระบวนการโจมตีของ UNC6671 มักแบ่งออกเป็นหลายขั้นตอนสำคัญ ได้แก่

• Reconnaissance – การสแกนพอร์ตและเก็บข้อมูลเกี่ยวกับโครงสร้างเครือข่ายของเป้าหมายโดยใช้เครื่องมืออัตโนมัติ
• Initial Access – ใช้วิธีฟิชชิงหรือช่องโหว่ในซอฟต์แวร์ที่ไม่ได้รับการอัปเดตเพื่อเข้าสู่ระบบแรกเริ่ม
• Lateral Movement – การขยายการเข้าถึงภายในโดยใช้ credential dumping และการบังคับใช้งาน Remote Desktop Protocol (RDP)

หลังจากนั้นมักจะทำการ Data Exfiltration เพื่อดึงข้อมูลสำคัญออกไปก่อนการเข้ารหัสไฟล์ด้วยรันโค้ดที่พัฒนาเอง การกระทำนี้ทำให้เหยื่อเผชิญกับความเสี่ยงสองด้าน คือ ไม่สามารถใช้ข้อมูลได้และอาจต้องเสียค่าไถ่เพื่อกู้คืนไฟล์

เทคนิค double extortion ที่ UNC6671 ใช้ ทำให้พวกเขาไม่ได้แค่ขู่เข้ารหัสไฟล์ แต่ยังคุกคามจะเผยแพร่ข้อมูลที่ถูกขโมยสู่สาธารณะหรือขายต่อในตลาดมืด ซึ่งเป็นแรงจูงใจหลักที่ทำให้องค์กรต้องเจรจากับผู้โจมตี

Impact on Financial Sector

การโจมตีครั้งนี้ส่งผลโดยตรงต่อความเชื่อมั่นของนักลงทุนและลูกค้าในอุตสาหกรรมการเงิน เนื่องจากข้อมูลส่วนบุคคลและรายละเอียดการลงทุนมีค่าอย่างสูง การเปิดเผยข้อมูลดังกล่าวอาจทำให้เกิดความเสียหายด้านกฎหมายและค่าปรับจากหน่วยงานกำกับดูแล

หลายองค์กรที่เป็นเป้าหมายได้ประกาศหยุดการทำธุรกรรมบางรายการเพื่อป้องกันการกระจายของมัลแวร์และตรวจสอบระบบอย่างละเอียด ซึ่งส่งผลให้เกิดความล่าช้าในกระบวนการชำระเงินและอาจทำให้พอร์ตโฟลิโอของลูกค้าถูกผันผวน

นอกจากนี้ การสูญเสียข้อมูลเชิงธุรกิจยังทำให้บริษัทต้องเผชิญกับค่าใช้จ่ายในการสืบสวนเหตุการณ์ (forensic investigation) และการเสริมสร้างระบบความปลอดภัยใหม่ ซึ่งตามรายงานเบื้องต้นอาจเกินหลายล้านดอลลาร์ต่อกรณี

Response and Mitigation

หน่วยงานกำกับดูแลด้านการเงินในหลายประเทศได้ออกคำแนะนำเร่งด่วนให้สถาบันทางการเงินตรวจสอบและปรับระดับการปกป้องข้อมูล โดยเน้นที่การอัปเดตแพทช์ซอฟต์แวร์อย่างต่อเนื่องและเสริมสร้างระบบตรวจจับพฤติกรรมผิดปกติ

นักวิจัยความปลอดภัยเสนอแนะแนวทางปฏิบัติหลายประการ เช่น การใช้ Zero Trust Architecture เพื่อลดระดับสิทธิ์ของผู้ใช้, การแยกเครือข่ายสำคัญออกจากส่วนที่เข้าถึงได้ง่าย รวมถึงการฝึกอบรมพนักงานให้ระมัดระวังต่ออีเมลฟิชชิงอย่างสม่ำเสมอ

บางบริษัทเลือกที่จะไม่จ่ายค่าไถ่และใช้บริการกู้คืนข้อมูลจากผู้เชี่ยวชาญภายนอก ซึ่งตามประสบการณ์ที่ผ่านมา การปฏิเสธการจ่ายเงินอาจทำให้กลุ่มผู้โจมตียุติการคุกคาม แต่ก็ต้องแลกกับระยะเวลาการฟื้นตัวที่นานกว่า

Summary

การเชื่อมโยงระหว่างแคมเปญ BlackFile กับกลุ่ม extortion UNC6671 แสดงให้เห็นถึงความซับซ้อนและอันตรายของภัยไซเบอร์ต่อภาคการเงิน การโจมตีแบบ double extortion ทำให้องค์กรต้องเผชิญกับความเสี่ยงด้านข้อมูลและค่าใช้จ่ายในการฟื้นตัวอย่างสูง ผู้บริหารควรเร่งดำเนินมาตรการป้องกันตามแนวทางที่แนะนำเพื่อลดโอกาสเป็นเป้าหมายในอนาคต.