เอ็กซ์พลอยต์ชนิดซีโร่คลิก

การแสวงหาประโยชน์ หรือ การใช้ประโยชน์ หรือ เอ็กซ์พลอยต์ (อังกฤษ: exploit) เป็นวิธีการหรือโค้ดที่ใช้ประโยชน์จากช่องโหว่ในซอฟต์แวร์ แอปพลิเคชัน เครือข่ายคอมพิวเตอร์ ระบบปฏิบัติการ หรือฮาร์ดแวร์ โดยปกติแล้วเพื่อจุดประสงค์ร้าย คำภาษาอังกฤษมาจากคำกริยาว่า "to exploit" ซึ่งหมายความว่า "การใช้สิ่งใดสิ่งหนึ่งเพื่อประโยชน์ของตนเอง" เอ็กซ์พลอยต์ออกแบบให้สามารถระบุข้อบกพร่อง หลีกเลี่ยงมาตรการรักษาความปลอดภัย เข้าถึงระบบโดยไม่ได้รับอนุญาต เข้าควบคุมระบบ ติดตั้งมัลแวร์ หรือขโมยข้อมูลสำคัญ แม้เอ็กซ์พลอยต์เพียงอย่างเดียวอาจไม่ใช่มัลแวร์ แต่ก็เป็นพาหนะส่งมัลแวร์โดยการละเมิดความปลอดภัย

เอ็กซ์พลอยต์มีเป้าหมายอยู่ที่ช่องโหว่ ซึ่งโดยพื้นฐานแล้วคือข้อบกพร่องหรือจุดอ่อนในระบบป้องกัน เป้าหมายทั่วไปรวมถึงระบบปฏิบัติการ เว็บเบราว์เซอร์ และแอปต่าง ๆ ช่องโหว่ที่ซ่อนอยู่สามารถถูกใช้ประโยชน์เพื่อทำลายความเที่ยงตรงและความมั่นคงของคอมพิวเตอร์ เอ็กซ์พลอยต์สามารถก่อพฤติกรรมที่ไม่ได้ตั้งใจหรือไม่คาดคิดในระบบ แล้วอาจละเมิดความปลอดภัยอย่างร้ายแรง

เอ็กซ์พลอยต์หลายตัวออกแบบเพื่อให้เข้าถึงระบบคอมพิวเตอร์ได้ในระดับผู้ดูแลระบบ ผู้โจมตีอาจใช้เอ็กซ์พลอยต์หลายตัวเป็นลำดับเพื่อเข้าถึงระบบในระดับต่ำก่อน จากนั้นจึงยกระดับสิทธิ์ซ้ำแล้วซ้ำอีกจนถึงระดับผู้ดูแลระบบสูงสุด ซึ่งมักเรียกว่า "รูต" เทคนิคการเชื่อมโยงเอ็กซ์พลอยต์หลายตัวเข้าด้วยกันเพื่อใช้โจมตีเรียกว่า เอ็กซ์พลอยต์เชน (ห่วงโซ่เอ็กซ์พลอยต์)

เอ็กซ์พลอยต์ที่ยังไม่มีใครรู้จักนอกจากคนที่ได้ค้นพบและพัฒนาขึ้นเรียกว่า ซีโร่เดย์ หรือการใช้ประโยชน์ซีโร่เดย์ (zero-day exploit, 0day) หลังจากที่ผู้พัฒนาซอฟต์แวร์รู้ถึงเอ็กซ์พลอยต์แล้ว ก็มักจะแพตช์ช่องโหว่คือแก้ไขทำให้เอ็กซ์พลอยต์ใช้ไม่ได้อีกต่อไป นั่นคือเหตุผลว่าทำไมแฮ็กเกอร์ผู้ร้าย (ที่เรียกว่า แฮ็กเกอร์หมวกดำ) บางคนรวมทั้งของหน่วยทหารหรือข่าวกรอง จึงไม่เผยแพร่เอ็กซ์พลอยต์ที่ตนรู้แต่เก็บไว้เป็นความลับ วิธีทำผลประโยชน์อย่างหนึ่งก็คือ การขายเอ็กซ์พลอยต์โดยเป็นบริการ (exploit as a service)

นักวิจัยประมาณว่าการใช้เอ็กซ์พลอยต์แบบมุ่งร้ายทำให้เศรษฐกิจโลกเสียหายมากกว่า 450,000 ล้านดอลลาร์สหรัฐต่อปี (ประมาณ 15.8 ล้านล้านบาท) ดังนั้น องค์กรต่าง ๆ จึงเริ่มใช้ข่าวกรองภัยคุกคามทางไซเบอร์ (cyber threat intelligence) เพื่อช่วยหาช่องโหว่แล้วป้องกันไว้ก่อนเพื่อไม่ให้ถูกแฮ็ก

การจำแนกประเภท

การจำแนกเอ็กซ์พลอยต์มีหลายวิธี ที่พบมากที่สุดคือ จำแนกตามการสื่อสารกับซอฟต์แวร์ที่มีช่องโหว่

เอ็กซ์พลอยต์ระยะไกล (remote exploit) ทำงานผ่านเครือข่ายและใช้ช่องโหว่ด้านความปลอดภัยโดยไม่ต้องเข้าถึงระบบที่มีช่องโหว่มาก่อน เอ็กซ์พลอยต์ที่เครื่อง (local exploit) ต้องอาศัยการเจาะเข้าเครื่องที่ทำมาก่อนแล้วหรือการเข้าถึงเครื่องได้จริง ๆ โดยมักจะเพิ่มสิทธิ์แก่บุคคลผู้เรียกใช้เอ็กซ์พลอยต์ให้สูงกว่าที่ผู้ดูแลระบบมอบให้

เอ็กซ์พลอยต์ที่โจมตีแอปไคลเอนต์ก็มีอยู่ โดยมักใช้เซิร์ฟเวอร์ที่ถูกดัดแปลงให้ส่งเอ็กซ์พลอยต์เมื่อแอปไคลเอนต์เข้าใช้บริการ รูปแบบสามัญของเอ็กซ์พลอยต์โจมตีแอปไคลเอนต์ก็คือการใช้ประโยชน์จากเบราว์เซอร์ การใช้ประโยชน์จากไคลเอนต์อาจต้องมีการโต้ตอบกับผู้ใช้ ดังนั้นจึงอาจมีการหลอกลวงทางวิศวกรรมสังคม

การจำแนกอีกแบบหนึ่งคือตามการกระทำต่อระบบที่มีช่องโหว่รวมทั้งการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต การเรียกใช้โค้ดตามอำเภอใจ หรือ

การโจมตีด้วยเอ็กซ์พลอยต์มักจะจัดประเภทและตั้งชื่อ ตามประเภทของช่องโหว่ที่ใช้ประโยชน์ ไม่ว่าจะเป็นแบบในเครื่อง/ระยะไกล และผลลัพธ์ของการเรียกใช้เอ็กซ์พลอยต์ (เช่น การเพิ่มสิทธิ์ [EoP], การโจมตีโดยปฏิเสธการให้บริการ [DoS], การปลอมตัว [spoofing])

ซีโร่คลิก

การโจมตีแบบซีโร่คลิก (zero-click) คือ เอ็กซ์พลอยต์ที่ไม่ต้องได้การโต้ตอบจากผู้ใช้เพื่อจะทำงาน คือผู้ใช้ไม่ต้องกดแป้นพิมพ์หรือคลิกเมาส์ ตัวอย่างคือ FORCEDENTRY เป็นเอ็กซ์พลอยต์ความปลอดภัยซีโร่คลิกที่พัฒนาโดยบริษัทอิสราเอล NSO Group เพื่อใช้ติดตั้งสปายแวร์เพกาซัส ซึ่งเป็นเอ็กซ์พลอยต์ที่ใช้อย่างแพร่หลายกับอุปกรณ์ไอโอเอสของแอปเปิล ต่อมาปลายปี  2021 จึงถูกค้นพบโดยองค์กรอื่น

เอ็กซ์พลอยต์เช่นนี้มักเป็นที่ต้องการมากที่สุด (โดยเฉพาะในตลาดเอ็กซ์พลอยต์ใต้ดิน) เนื่องจากเหยื่อทั่วไปไม่มีทางรู้ตัวว่าถูกแฮ็ก ในปี 2022 มีรายงานว่า NSO Group และบริษัทอื่น ๆ ขายเอ็กซ์พลอยต์แบบซีโร่คลิกให้แก่รัฐบาลอย่างหลากหลายเพื่อแฮ็กเข้าโทรศัพท์ส่วนบุคคล

ดูเพิ่ม

• ความมั่นคงคอมพิวเตอร์
• ไวรัสคอมพิวเตอร์
• โครงการเมทาสปลอยต์

เชิงอรรถและอ้างอิง

1. Latto, Nica (2020-09-29). "Exploits: What You Need to Know". Exploits: What You Need to Know. เก็บจากแหล่งเดิมเมื่อ 2024-05-15. สืบค้นเมื่อ 2024-08-12. An exploit is any attack that takes advantage of vulnerabilities in applications, networks, operating systems, or hardware. Exploits usually take the form of software or code that aims to take control of computers or steal network data.
2. "What Is an Exploit?". Cisco. 2023-10-06. เก็บจากแหล่งเดิมเมื่อ 2024-05-31. สืบค้นเมื่อ 2024-08-12. An exploit is a program, or piece of code, designed to find and take advantage of a security flaw or vulnerability in an application or computer system, typically for malicious purposes such as installing malware. An exploit is not malware itself, but rather it is a method used by cybercriminals to deliver malware.
3. Gonzalez, Joaquin Jay III; Kemp, Roger L. (2019-01-25). Cybersecurity: Current Writings on Threats and Protection. Jefferson, North Carolina: McFarland & Company. p. 241. ISBN . A technique to breach the security of a network or information system in violation of security policy.
4. "OWASP Secure Coding Practices". OWASP Foundation. เก็บจากแหล่งเดิมเมื่อ 2024-01-06. สืบค้นเมื่อ 2024-08-12. To take advantage of a vulnerability. Typically this is an intentional action designed to compromise the software's security controls by leveraging a vulnerability.
5. "Exploit Definition". Malwarebytes. 2024-04-15. เก็บจากแหล่งเดิมเมื่อ 2024-05-16. สืบค้นเมื่อ 2024-08-12. A computer exploit is a type of malware that takes advantage of bugs or vulnerabilities, which cybercriminals use to gain illicit access to a system. These vulnerabilities are hidden in the code of the operating system and its applications just waiting to be discovered and put to use by cybercriminals. Commonly exploited software includes the operating system itself, browsers, Microsoft Office, and third-party applications.
6. "Obtain Capabilities: Exploits, Sub-technique T1588.005". MITRE ATT&CK®. 2020-10-15. เก็บจากแหล่งเดิมเมื่อ 2024-05-24. สืบค้นเมื่อ 2024-08-12. Adversaries may buy, steal, or download exploits that can be used during targeting. An exploit takes advantage of a bug or vulnerability in order to cause unintended or unanticipated behavior to occur on computer hardware or software.
7. Leyden, J. (2021-11-16). "Exploit-as-a-service: Cybercriminals exploring potential of leasing out zero-day vulnerabilities". PortSwigger Ltd. สืบค้นเมื่อ 2023-12-18.
8. Indiana University, Bloomington; Samtani, Sagar; Chai, Yidong; Hefei University of Technology; Chen, Hsinchun; University of Arizona (2022-05-24). "Linking Exploits from the Dark Web to Known Vulnerabilities for Proactive Cyber Threat Intelligence: An Attention-Based Deep Structured Semantic Model". MIS Quarterly. 46 (2): 911–946. doi:10.25300/MISQ/2022/15392.
9. "Exploits Database by Offensive Security". www.exploit-db.com.
10. "Exploit Database | Rapid7". www.rapid7.com.
11. "Sneaky Zero-Click Attacks Are a Hidden Menace". Wired (ภาษาอังกฤษแบบอเมริกัน). ISSN 1059-1028. สืบค้นเมื่อ 2021-09-14.
12. "The Stealthy iPhone Hacks That Apple Still Can't Stop". Wired (ภาษาอังกฤษแบบอเมริกัน). ISSN 1059-1028. สืบค้นเมื่อ 2021-09-14.
13. "A new NSO zero-click attack evades Apple's iPhone security protections, says Citizen Lab". TechCrunch (ภาษาอังกฤษแบบอเมริกัน). 2021-08-24. เก็บจากแหล่งเดิมเมื่อ 2021-08-24. สืบค้นเมื่อ 2021-09-14.
14. Gallagher, Ryan (2022-02-18). "Beware of 'Zero-Click' Hacks That Exploit Security Flaws in Phones' Operating Systems". Insurance Journal. สืบค้นเมื่อ 2024-08-14.

แหล่งข้อมูลอื่น

• วิกิมีเดียคอมมอนส์มีสื่อเกี่ยวกับ Computer security exploits