สรุปสั้น

Palo Alto Networks Unit 42 เปิดเผยแคมเปญจารกรรมไซเบอร์ของกลุ่ม Screening Serpens (หรือ UNC1549, Smoke Sandstorm, Iranian Dream Job) ซึ่งเป็น APT ที่เชื่อมโยงกับอิหร่าน กลุ่มนี้มุ่งเป้าองค์กรภาคอวกาศ การป้องกันประเทศ และโทรคมนาคมในสหรัฐอเมริกา อิสราเอล และสหรัฐอาหรับเอมิเรตส์ และอาจโจมตีอีก 2 ประเทศในตะวันออกกลาง โดยใช้ประกาศรับสมัครงานปลอมและคำเชิญประชุมปลอมที่แอบอ้างแบรนด์และแพลตฟอร์มสรรหาพนักงานที่น่าเชื่อถือ เพื่อล่อให้เหยื่อดาวน์โหลดไฟล์อันตราย

จุดใหม่ของแคมเปญนี้ คือ เทคนิค AppDomainManager Hijacking ที่รันโค้ดอันตรายตั้งแต่ช่วง initialization ของแอป .NET ก่อนที่ Endpoint Detection and Response (EDR) จะมีโอกาสตรวจจับ Unit 42 พบ RAT variants ใหม่ 6 ตัวจากสองตระกูลมัลแวร์ ซึ่งพัฒนาและนำมาใช้ระหว่างกุมภาพันธ์ถึงเมษายน พ.ศ. 2569 สอดคล้องกับความขัดแย้งในตะวันออกกลางที่เริ่มเมื่อวันที่ 28 กุมภาพันธ์ พ.ศ. 2569

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 1 มิถุนายน พ.ศ. 2569 โดยอ้างรายงานของ Unit 42 ว่ากลุ่ม Screening Serpens ยกระดับความสามารถด้านจารกรรมอย่างมีนัยสำคัญ ด้วยการใช้ AppDomainManager Hijacking หลบระบบป้องกัน endpoint และโจมตีองค์กรในสหรัฐอเมริกา อิสราเอล และสหรัฐอาหรับเอมิเรตส์ กลุ่มนี้เคลื่อนไหวมาตั้งแต่ปี 2565 เป็นอย่างน้อย เดิมเน้นเป้าหมายในตะวันออกกลาง ก่อนขยายมายุโรปตะวันตกช่วงปลายปี 2568 และเร่งกิจกรรมอย่างมากหลังความขัดแย้งปะทุเมื่อ 28 กุมภาพันธ์ 2569

Unit 42 แบ่งคลื่นการโจมตีเป็นสองช่วง ช่วงแรกปลายเดือนมีนาคมโจมตีเป้าหมายในสหรัฐฯ และอิสราเอล ช่วงที่สองกลางเดือนเมษายนมุ่งสหรัฐอาหรับเอมิเรตส์และอีกประเทศในตะวันออกกลาง ทั้งสองช่วงใช้ห่วงโซ่เดียวกัน คือ spear-phishing ตามด้วย DLL sideloading และ C2 domains ที่โฮสต์บน Microsoft Azure กลุ่มนี้ยังใช้ C2 domains ไม่ซ้ำกัน 3–5 โดเมนต่อเป้าหมายและต่อ variant เพื่อไม่ให้การถูกเปิดโปงจุดหนึ่งลามถึงจุดอื่น และหลักฐานบน VirusTotal กับ telemetry ยังพบ timing instructions ที่ฝังไว้ตอน compile ในบาง samples

Iranian hackers Screening Serpens abuse AppDomainManager hijacking to evade EDR detections

วิธีการโจมตี

Social Engineering — Fake Job Lures:

  • ส่ง spear-phishing email พร้อมเอกสารสมัครงานปลอมที่ปลอมแปลงเป็นบริษัทการบินระดับโลก
  • แนบ installer ของ recruitment portal หรือ video conferencing app ปลอม
  • ใช้ job ID เฉพาะเจาะจงเพื่อเพิ่มความน่าเชื่อถือ

AppDomainManager Hijacking — เทคนิคหลบ EDR:

  • แก้ไข configuration file ที่ถูกกฎหมายของแอปพลิเคชัน .NET
  • แทนที่ AppDomainManager ด้วยคลาสที่ผู้โจมตีควบคุม
  • โค้ดอันตรายรันในช่วง initialization ก่อนที่ host application จะโหลดเสร็จ — ก่อนที่ EDR มีโอกาสตรวจสอบ
  • รัน malicious DLL ในบริบทของ trusted process

หลังการ Hijack:

  • DropFile และเปลี่ยนชื่อไฟล์ใน AppData path ของผู้ใช้
  • สร้าง scheduled task เพื่อ persistence
  • แสดงหน้าต่าง installer ปลอมให้เหยื่อขณะที่ second-stage malware ทำงานในเบื้องหลัง

RAT Variants ใหม่ 6 ตัว: Unit 42 พบ RAT 6 variants ใน 2 ตระกูล รวมถึง MiniUpdate RAT ที่ใช้ Azure เป็น C2 คล้ายกับ AZUREVEIL ใน Operation Dragon Weave ซึ่งรายงานในวันเดียวกัน บ่งชี้แนวโน้มที่ APT groups หันมาใช้ cloud infrastructure ของบริษัทใหญ่เป็น C2

ผลกระทบต่อไทย

แม้เป้าหมายหลักจะอยู่ในตะวันออกกลางและสหรัฐฯ แต่ Screening Serpens มีประวัติขยายการโจมตีอย่างต่อเนื่อง โดยขยายมายุโรปตะวันตกในปี 2568 แล้ว

อุตสาหกรรมการบินและอวกาศ โทรคมนาคม และการป้องกันประเทศของไทยอาจตกเป็นเป้าหมายในอนาคต โดยเฉพาะองค์กรที่มีความสัมพันธ์กับพันธมิตรในตะวันออกกลางหรือสหรัฐฯ

เทคนิค fake job listing เป็นเวกเตอร์โจมตีที่มีประสิทธิภาพสูงในไทย เนื่องจากผู้เชี่ยวชาญด้านเทคโนโลยีและวิศวกรมักใช้ LinkedIn และช่องทางสรรหาออนไลน์อย่างแพร่หลาย

AppDomainManager Hijacking เป็นเทคนิคที่ท้าทาย EDR ทั่วไปอย่างมาก องค์กรที่ใช้แอปพลิเคชัน .NET ควรตรวจสอบว่า EDR solution รองรับการตรวจจับพฤติกรรมนี้หรือไม่

คำแนะนำ

  1. ปรับ EDR rules สำหรับ AppDomainManager Hijacking — Unit 42 แนะนำให้ tune EDR ให้ตรวจจับ DLL sideloading และ AppDomainManager hijacking เป็นพฤติกรรมความเสี่ยงสูง ไม่ใช่แค่ signature-based
  2. ระวัง job-related phishing — ฝึกอบรมพนักงานโดยเฉพาะในภาคเทคโนโลยีให้ระวังไฟล์แนบจากอีเมลสรรหางาน แม้จะดูน่าเชื่อถือมาก
  3. Monitor scheduled tasks — ตรวจหา scheduled tasks ใหม่ที่ถูกสร้างโดยผู้ใช้ทั่วไป โดยเฉพาะที่ชี้ไปยังไฟล์ใน AppData
  4. จำกัดสิทธิ์การรัน .NET applications — พิจารณาใช้ AppLocker หรือ WDAC เพื่อควบคุมว่า .NET applications ตัวใดสามารถโหลด assemblies จาก directory ใดได้
  5. Block Azure C2 patterns — monitor traffic ผิดปกติไปยัง Azure subdomains ที่ไม่คุ้นเคย โดยเฉพาะจากแอปพลิเคชัน enterprise
  6. ตรวจสอบ .NET config files — monitor การแก้ไข .config files ของแอปพลิเคชัน โดยเฉพาะ <appDomainManagerAssembly> และ <appDomainManagerType> elements

แหล่งอ้างอิง