GhostShell มัลแวร์ใหม่เจาะอุตสาหกรรมโดรนยูเครน — ใช้ mTLS implant และ Telegram เป็น dead-drop

สรุปสั้น

นักวิจัยจากบริษัท Synaptic Security ค้นพบมัลแวร์คลัสเตอร์ใหม่ที่ชื่อ GhostShell ซึ่งกำลังพุ่งเป้าโจมตีปฏิบัติการโดรนของยูเครนและซัพพลายเชนด้านกลาโหมในวงกว้างอย่างจริงจัง โดยตั้งรหัสติดตามให้คลัสเตอร์นี้ว่า MB-0009 ปฏิบัติการดังกล่าวใช้เทคนิคที่ซับซ้อนผสมผสานกัน ทั้งการฝัง implant ที่สื่อสารด้วย mutual TLS (mTLS) และการใช้ช่อง Telegram เป็น dead-drop resolver เพื่อแอบฝังตัวอยู่ในเครือข่ายเป้าหมายอย่างเงียบเชียบ ผู้อยู่เบื้องหลังเริ่มเคลื่อนไหวมาตั้งแต่อย่างน้อยเดือนกุมภาพันธ์ พ.ศ. 2569 และวิธีการบ่งชี้ว่ามีการมุ่งเป้าองค์กรที่เกี่ยวข้องกับเทคโนโลยีอากาศยานไร้คนขับ (UAV) ของยูเครนอย่างจงใจ มัลแวร์เดินทางมาในรูปไฟล์บีบอัดที่ถูกวางกับดักชื่อ Besomar_documentation.rar ซึ่งใช้ช่องโหว่การจัดการไฟล์บีบอัดสองรายการคือ CVE-2025-8088 และ CVE-2025-6218 เมื่อเปิดไฟล์ มันจะวางสคริปต์มุ่งร้ายลงในโฟลเดอร์ Startup ของ Windows อย่างเงียบ ๆ เพื่อให้มัลแวร์ทำงานทุกครั้งที่เปิดเครื่อง พร้อมกับมีไฟล์ PDF ตัวล่อปลอมเป็นเอกสารของบริษัท Besomar ผู้ผลิตโดรนปีกตรึงความแม่นยำสูงของยูเครน เอกสารตัวล่อถูกออกแบบให้ครอบคลุมหน่วยทหาร เจ้าหน้าที่เทคนิค ฝ่ายจัดซื้อ และองค์กรอาสาสมัคร สะท้อนว่าผู้โจมตีสนใจซัพพลายเชนทั้งระบบที่สนับสนุนการใช้งานโดรน ไม่ใช่แค่ผู้ปฏิบัติงานรายบุคคล

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 24 มิถุนายน พ.ศ. 2569 ว่านักวิจัยจากบริษัท Synaptic Security ได้เผยแพร่รายงานเชิงลึกที่แบ่งปันกับ Cyber Security News (CSN) เกี่ยวกับการติดตามมัลแวร์คลัสเตอร์ใหม่ชื่อ GhostShell ที่กำหนดรหัสว่า MB-0009 ซึ่งกำลังโจมตีอุตสาหกรรมโดรนของยูเครนอยู่ในขณะนี้

มัลแวร์เริ่มจากไฟล์บีบอัด Besomar_documentation.rar ที่ใช้ช่องโหว่ในการจัดการไฟล์บีบอัดเพื่อวางสคริปต์ลงโฟลเดอร์ Startup โดยไม่ต้องอาศัยการกระทำพิเศษใด ๆ นอกจากการเปิดไฟล์ จากนั้นสคริปต์จะดาวน์โหลด payload สามตัวจากโดเมนส่งมอบที่จดทะเบียนเมื่อเดือนกุมภาพันธ์ พ.ศ. 2569 โดยแต่ละ payload ใช้ผู้รับจดทะเบียน (registrar) และผู้ให้บริการโฮสติงต่างกัน เป็นการเลือกอย่างจงใจเพื่อหลีกเลี่ยงการถูกตัดวงจรที่จุดเดียว

มัลแวร์ส่ง payload สามตัวที่แตกต่างกันหลังสคริปต์เริ่มต้นทำงาน แต่ละตัวมีเส้นทางการติดต่อกลับไปยังผู้โจมตีที่ต่างกัน payload หนึ่งจะตั้ง implant ที่ฝังตัวถาวร อีกตัวใช้ช่อง Telegram เป็น resolver แบบสดเพื่อดึงที่อยู่เซิร์ฟเวอร์ของผู้โจมตี และตัวที่สามทำอุโมงค์ส่งข้อมูลที่ขโมยมาผ่าน proxy ที่เข้ารหัส การใช้ช่องทางการสื่อสารแยกกันเช่นนี้ทำให้ฝ่ายป้องกันตัดการเข้าถึงทั้งหมดในคราวเดียวได้ยากขึ้น บ่งชี้ว่าเป็นปฏิบัติการที่วางแผนมาอย่างรอบคอบ

วิธีการโจมตี

payload ตัวแรกชื่อ 122.exe ทำหน้าที่เป็น loader ที่ถอดรหัสและรัน implant ขั้นที่ 2 โดยตรงในหน่วยความจำ โดยไม่เขียนสิ่งใดที่มองเห็นได้ลงดิสก์ implant ตัวนี้สื่อสารกับเซิร์ฟเวอร์คำสั่งผ่าน HTTPS และยืนยันตัวตนด้วยใบรับรองไคลเอนต์ (client certificate) ที่ออกโดยผู้ออกใบรับรองส่วนตัวชื่อ “GhostShell Implant CA” การใช้ mutual TLS แบบนี้หมายความว่าเซิร์ฟเวอร์จะตอบสนองเฉพาะการเชื่อมต่อที่มีใบรับรองถูกต้องเท่านั้น ปิดกั้นความพยายามตรวจสอบหรือดักจับการสื่อสารจากภายนอก

payload ตัวที่สองชื่อ update.exe ปลอมตัวเป็นบริการ Windows Security Health Service และใช้ช่อง Telegram ที่ t.me/flufff6262 เป็น dead-drop resolver โดยจะดึงค่าที่เข้ารหัสจากช่องนั้น ถอดรหัสเพื่อให้ได้ที่อยู่เซิร์ฟเวอร์สดของผู้โจมตี แล้วฉีด shellcode ที่เชื่อมต่อกลับผ่าน HTTPS การเก็บที่อยู่เซิร์ฟเวอร์ไว้บน Telegram ทำให้ผู้โจมตีสามารถสับเปลี่ยนปลายทางได้โดยไม่ต้องสร้างหรือติดตั้งใหม่ ส่วน payload ตัวที่สามชื่อ 22.exe เป็น launcher ที่เขียนด้วยภาษา Go ซึ่งห่อ tunneling client ไว้เต็มรูปแบบ มันตั้งการเชื่อมต่อ proxy ที่เข้ารหัสและส่ง Vidar v2 ซึ่งเป็น infostealer ที่รู้จักกันดี ทำงานในหน่วยความจำทั้งหมด Vidar สามารถเก็บเกี่ยวรหัสผ่านเบราว์เซอร์ คุกกี้ ข้อมูลกระเป๋าคริปโต ไฟล์แอปส่งข้อความ และภาพหน้าจอ แล้วส่งออกไปผ่านอุโมงค์เข้ารหัสในลักษณะที่ตรวจจับได้ยากบนเครือข่าย ทีมนักวิจัยแนะนำให้ฝ่ายความปลอดภัยมองหาใบรับรองไคลเอนต์ mTLS ที่มี issuer string “GhostShell Implant CA” ในการสื่อสารที่ดักจับได้ เนื่องจากค่านี้เป็นจุดยึดในการตรวจจับที่เชื่อถือได้ตลอดทุกตัวอย่างในอนาคตที่ผูกกับคลัสเตอร์นี้

ผลกระทบต่อไทย

แม้ปฏิบัติการ GhostShell จะมุ่งเป้าซัพพลายเชนกลาโหมและอุตสาหกรรมโดรนของยูเครนโดยเฉพาะ แต่เทคนิคที่ใช้ถือเป็นบทเรียนสำคัญสำหรับองค์กรไทย โดยเฉพาะการใช้ช่องโหว่ในโปรแกรมบีบอัดไฟล์ (CVE-2025-8088 และ CVE-2025-6218) เพื่อฝังมัลแวร์ผ่านไฟล์ RAR ที่ดูเหมือนเอกสารธุรกิจปกติ ซึ่งเป็นเทคนิคที่ใช้โจมตีได้กับทุกองค์กรทั่วโลก นอกจากนี้การใช้ Telegram เป็น dead-drop resolver และการสื่อสารผ่าน mTLS ยังเป็นแนวโน้มที่ทำให้การตรวจจับยากขึ้นมาก หน่วยงานด้านกลาโหม อุตสาหกรรมป้องกันประเทศ และผู้ผลิตเทคโนโลยี UAV ของไทยควรระมัดระวังเป็นพิเศษ เพราะภาคส่วนเหล่านี้เป็นเป้าหมายที่มีมูลค่าสูงสำหรับการจารกรรมจากรัฐชาติ

คำแนะนำ

องค์กรที่ทำงานในหรือเกี่ยวข้องกับภาคกลาโหมควรปฏิบัติต่อไฟล์บีบอัดที่ไม่คาดคิดด้วยความระมัดระวัง โดยเฉพาะไฟล์ที่อ้างอิงถึงฮาร์ดแวร์โดรนหรือเอกสารจัดซื้อ ควรอัปเดตโปรแกรมบีบอัดไฟล์ (เช่น WinRAR/7-Zip) ให้เป็นเวอร์ชันล่าสุดเพื่อปิดช่องโหว่ CVE-2025-8088 และ CVE-2025-6218 การบล็อกการเข้าถึงโดเมนที่จดทะเบียนใหม่ที่ขอบเขตเครือข่ายจะช่วยลดความเสี่ยงจากการส่งมอบแบบหลายขั้นตอนนี้ ทีมความปลอดภัยควรมองหาใบรับรองไคลเอนต์ mTLS ที่มี issuer “GhostShell Implant CA” รวมถึงตรวจสอบไฟล์ในโฟลเดอร์ Startup และนำ IoCs ด้านล่างไปใช้ในการตรวจจับ

Indicators of Compromise (IoCs)

หมายเหตุ: ที่อยู่ IP และโดเมนถูก defang ไว้โดยเจตนา (เช่น [.]) เพื่อป้องกันการ resolve หรือสร้างลิงก์โดยไม่ตั้งใจ ให้ re-fang เฉพาะภายในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM เท่านั้น

แหล่งอ้างอิง

• Cyber Security News — GhostShell Malware Uses mTLS Implant and Telegram Dead-Drop
• Synaptic Security Research