รูปแบบธุรกิจ ransomware-as-a-service (RaaS) ทำให้การโจมตีด้วยแรนซัมแวร์ขยายขนาดและซับซ้อนขึ้น แต่การทำงานภายในของกลุ่มเหล่านี้สังเกตได้ยากเพราะเป็นกิจกรรมที่ผิดกฎหมาย การรั่วไหลของบันทึกแชทของกลุ่ม Conti เมื่อปี 2022 ซึ่งเกิดขึ้นหลังกลุ่มประกาศสนับสนุนรัฐบาลรัสเซีย จึงเป็นวัตถุดิบโดยตรง งานวิจัยนี้ใช้การประมวลผลภาษาธรรมชาติ (NLP) ร่วมกับแบบจำลอง Latent Dirichlet Allocation (LDA) วิเคราะห์แชท Jabber ที่รั่วไหลจำนวน 168,711 ข้อความจากผู้ใช้ 346 ราย ช่วงเดือนมิถุนายน 2020 ถึงมีนาคม 2022 และคัดเหลือผู้ใช้ 137 รายที่มีข้อความมากพอ มีผู้ใช้เพียง 4% ที่สนทนาเฉพาะทาง ขณะที่ 96% เป็นผู้ที่สนทนาครอบคลุมหลายหัวข้อ
วัตถุประสงค์ของการวิจัย
- ระบุหัวข้อสนทนาหลักในบันทึกแชทภายในที่รั่วไหลของกลุ่ม Conti
- วัดการกระจายตัวของหัวข้อเหล่านั้นในผู้ใช้แต่ละราย เพื่อประเมินระดับความเชี่ยวชาญเฉพาะทาง
- ประเมินว่าสัดส่วนระหว่างบทสนทนาเชิงเทคนิคกับไม่ใช่เชิงเทคนิคสอดคล้องกับมุมมองที่ว่าผู้ให้บริการ RaaS ขนาดใหญ่จัดโครงสร้างคล้ายบริษัทหรือไม่
- เปรียบเทียบการกระจายหัวข้อกับบทบาทที่นักวิจัยด้านความมั่นคงปลอดภัยเคยกำหนดให้ผู้ใช้ที่เป็นที่รู้จัก
วิธีการศึกษา
- ข้อมูล: บันทึกแชท Jabber ของ Conti ที่รั่วไหล จากคลัง GitHub แบบเปิดของ TheParmak ซึ่งแปลเป็นภาษาอังกฤษ รวม 168,711 ข้อความจากผู้ใช้ 346 ราย ช่วงวันที่ 21 มิถุนายน 2020 ถึง 2 มีนาคม 2022 โดยไม่มีข้อมูลช่วง 16 พฤศจิกายน 2020 ถึง 29 มกราคม 2021
- รวมข้อความเข้าเป็นคลังข้อความของผู้ใช้แต่ละราย และตัดข้อความที่ซ้ำจากการส่งเข้าห้องสนทนากลุ่มออก เพราะทำให้คลังข้อความบิดเบือน
- ใช้ NLP ในการปรับตัวอักษรให้เป็นมาตรฐาน ตัดคำหยุด เครื่องหมายวรรคตอนและลิงก์ แบ่งคำ (tokenisation) และแปลงคำสู่รูปพื้นฐาน (lemmatisation) จากนั้นคัดผู้ใช้ที่มีคำสำคัญน้อยกว่า 100 คำออก เหลือผู้ใช้ 137 ราย
- สร้างแบบจำลอง LDA ด้วย MALLET 2.0.8 ผ่านตัวห่อหุ้ม gensim โดยใช้คะแนน coherence ควบคู่กับ WordClouds และปริภูมิเชิงความหมายจาก pyLDAvis เลือกแบบจำลองที่มี 5 หัวข้อ
- ตั้งชื่อหัวข้อจากรายการคำและจากบทสนทนาของผู้ใช้ แล้วนำผลไปเทียบกับบทวิเคราะห์เชิงคุณภาพจากบล็อก 4 แหล่ง
ข้อค้นพบสำคัญ
- พบหัวข้อ 5 หัวข้อที่กระจายอยู่ในคลังข้อความ ได้แก่ ธุรกิจ เทคนิค การมอบหมายงานภายในและการบริหาร มัลแวร์ และบริการลูกค้า/การแก้ปัญหา
- โดยเฉลี่ย บทสนทนาที่ไม่ใช่เชิงเทคนิคคิดเป็น 44.2% (SD 21.9) ของคลังข้อความรายบุคคล บทสนทนาเชิงเทคนิคคิดเป็น 31.8% (SD 23.0) และหัวข้อบริการลูกค้า/การแก้ปัญหาคิดเป็น 24% (SD 17.6)
- หัวข้อการมอบหมายงานภายในและการบริหารปรากฏในคลังข้อความของผู้ใช้เกือบทุกราย ขณะที่ผู้ใช้ 6 รายจาก 137 ราย (4.38%) มีบทสนทนากระจุกอยู่ในหัวข้อเดียวตั้งแต่ 95% ขึ้นไป ส่วนอีก 95.62% สนทนาครอบคลุมหลายหัวข้อ
- การกระจายหัวข้อสอดคล้องกับบทบาทที่นักวิจัยกำหนดไว้เป็นส่วนใหญ่ ผู้ใช้ที่ถูกเรียกว่า "หัวหน้าใหญ่" และ "ผู้ดูแลการปฏิบัติงานของสำนักงาน" มีบทสนทนาราว 99% อยู่ในหัวข้อธุรกิจ ผู้ที่ถูกระบุว่าเป็นผู้ทดสอบเจาะระบบหรือนักเขียนโค้ดมีหัวข้อเด่นเป็นเทคนิค และผู้จัดการ 5 รายมีหัวข้อเด่นเป็นการมอบหมายงานภายในและการบริหาร
- แต่ไม่ตรงกันทุกกรณี ผู้ใช้ 3 รายที่ถูกระบุว่าเป็นผู้จัดการทีมเทคนิคกลับมีหัวข้อเด่นเป็นมัลแวร์ ซึ่งผู้วิจัยตีความว่าเป็นผู้จัดการที่ลงมือทำงานเทคนิคเอง และแหล่งภายนอกเองก็ระบุไม่ตรงกันในกรณีผู้ใช้ที่มีหัวข้อบริการลูกค้า/การแก้ปัญหา 79.6% โดยแหล่งหนึ่งเรียกว่าผู้จัดการ อีกแหล่งเรียกว่าประธานเจ้าหน้าที่ฝ่ายปฏิบัติการ ผู้วิจัยเตือนว่าการกำหนดบทบาทจากบทสนทนาอาจไม่แม่นยำสมบูรณ์
ข้อเสนอแนะ
- ขยายการวิเคราะห์ไปยังบันทึกแชท Rocket.Chat ที่รวมอยู่ในข้อมูลรั่วไหล
- ทำการศึกษาซ้ำกับบันทึกแชทต้นฉบับภาษารัสเซีย เนื่องจากคำสแลงและคำย่ออาจสูญหายไปในการแปล
- นำขนาดคลังข้อความ ลำดับเวลาของแชท และสถานะสมาชิกมาพิจารณาด้วย เพราะผู้ใช้ที่สนทนามาก สมาชิกใหม่ ลูกข่าย หรือลูกค้า อาจมีการกระจายหัวข้อต่างกัน
- ผสานการทำแบบจำลองหัวข้อเข้ากับการวิเคราะห์แก่นสาระเชิงคุณภาพ เพราะ LDA พิจารณาความถี่ของคำและไม่สามารถจับบริบทได้
- ศึกษาองค์กรอาชญากรรมไซเบอร์อื่น ๆ เพิ่มเติม เนื่องจาก Conti เป็นผู้ให้บริการ RaaS รายใหญ่ที่สุดรายหนึ่งและอาจเป็นกรณียกเว้น
ประเด็นสำคัญที่ควรจดจำ (Key Takeaways)
- หัวข้อทั้งห้าชี้ให้เห็นองค์กรที่มีลักษณะคล้ายบริษัท ซึ่งการประสานงาน การบริหาร และการให้บริการลูกค้ากินแรงและเวลาไปมาก การดำเนินงาน RaaS ขนาดใหญ่จึงต้องอาศัยบุคลากรที่มีทักษะเกินกว่าด้านเทคนิค
- ความเชี่ยวชาญเฉพาะทางจำกัดอยู่ในคนกลุ่มเล็ก ขณะที่สมาชิกส่วนใหญ่ทำหน้าที่ประสานการดำเนินงานข้ามหลายหัวข้อ
- สำหรับไทยและอาเซียน ซึ่งอาชญากรรมไซเบอร์แบบ as-a-service ส่งผลต่อองค์กรทั้งภาครัฐและเอกชน งานวิจัยนี้เสนอวิธีการที่ทำซ้ำได้ในการอ่านโครงสร้างองค์กรจากคลังข้อความขนาดใหญ่ที่รั่วไหล
เอกสารอ้างอิง
Ruellan, E., Paquet-Clouston, M., & Garcia, S. (2024). Conti Inc.: Understanding the internal discussions of a large ransomware-as-a-service operator with machine learning. Crime Science, 13, Article 16. https://doi.org/10.1186/s40163-024-00212-y
อ่านฉบับเต็ม (Open Access): https://link.springer.com/article/10.1186/s40163-024-00212-y
