แฮ็กเกอร์จีนปลอมโปรแกรมยื่นภาษีของอินเดีย ปล่อย DcRAT ใน Operation DragonReturn

สรุปสั้น

กลุ่มแฮ็กเกอร์ที่ต้องสงสัยว่าเชื่อมโยงกับจีนถูกจับตาว่ากำลังเล็งเป้าโจมตีผู้เสียภาษี ที่ปรึกษาด้านภาษี และทีมการเงินขององค์กรในอินเดีย เพื่อปล่อยโทรจันควบคุมระยะไกล (Remote Access Trojan) ที่ออกแบบมาขโมยข้อมูลอ่อนไหวจากเครื่องที่ถูกเจาะ ปฏิบัติการหลายขั้นตอนนี้ถูกตั้งชื่อว่า Operation DragonReturn โดยบริษัท Seqrite Labs ซึ่งอาศัยการส่งอีเมลฟิชชิงแบบเจาะจงเป้าหมาย (spear-phishing) ปลอมเป็นกรมสรรพากรของอินเดีย และถูกตรวจพบครั้งแรกเมื่อวันที่ 18 พฤษภาคม 2026 ซึ่งตรงกับช่วงฤดูยื่นภาษีเงินได้ประจำปีของประเทศพอดี บรรดานักวิจัยความปลอดภัยระบุว่าแคมเปญนี้ไม่ใช่การโจมตีแบบสุ่ม แต่ความแม่นยำของเอกสารล่อ การอ้างอิงข้อกฎหมายจริง เนื้อหาสองภาษา และการหมุนเวียนเปลี่ยนเพย์โหลดอยู่ตลอด ล้วนบ่งชี้ว่าเป็นปฏิบัติการที่จงใจ มีทรัพยากรหนุนหลัง และดำเนินต่อเนื่อง โดยพุ่งเป้าเฉพาะระบบนิเวศผู้เสียภาษีของอินเดียเท่านั้น

เป้าหมายปลายทางของแคมเปญคือการติดตั้งมัลแวร์เพื่อผลประโยชน์ทางการเงินหรือขโมยข้อมูลอ่อนไหว โดยเมื่อเหยื่อหลงกลติดตั้งโปรแกรมยื่นภาษีปลอม เครื่องจะถูก sideload DLL อันตรายที่ฝังเพย์โหลดชั้นต่อไปเข้าไปในหน่วยความจำ ก่อนดาวน์โหลด DcRAT มาลงเครื่องเพื่อเปิดช่องให้ผู้โจมตีขโมยข้อมูลลับได้อย่างต่อเนื่อง การวิเคราะห์โครงสร้างพื้นฐานพบว่าใช้ IP ในเครือ ChinaNet และแผงควบคุมภาษาจีน อีกทั้งยังพบร่องรอยทับซ้อนทั้งด้านโครงสร้างและยุทธวิธีกับกลุ่ม Silver Fox กลุ่มอาชญากรไซเบอร์จีนที่เคยก่อเหตุฟิชชิงธีมภาษีมาก่อน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 6 กรกฎาคม พ.ศ. 2569 ว่า บริษัท Seqrite Labs ได้เปิดโปงปฏิบัติการชื่อ Operation DragonReturn ที่ต้องสงสัยว่าเป็นฝีมือของกลุ่มภัยคุกคามที่เชื่อมโยงกับจีน ห่วงโซ่การโจมตีเริ่มต้นด้วยข้อความฟิชชิงที่แอบอ้างเป็นกรมสรรพากรอินเดีย ใช้เรื่องการทำผิดกฎหมายภาษีและค่าปรับเป็นตัวล่อเพื่อสร้างความรู้สึกเร่งด่วนจอมปลอม หลอกให้ผู้ใช้คลิกลิงก์อันตราย (“govtop[.]one/incometax”) ที่ฝังอยู่ในไฟล์แนบ PDF

หน้าเว็บปลายทางปลอมจะสั่งให้ผู้ใช้ดาวน์โหลดไฟล์ ZIP ที่มีสิ่งที่ดูเหมือนเป็นโปรแกรม offline utility ทั่วไปที่กรมสรรพากรจัดให้ไว้ยื่นแบบภาษี แต่ในความเป็นจริงถูกออกแบบมาให้ sideload ไฟล์ DLL อันตราย (“nvdaHelperRemote.dll”) ซึ่งจะฉีดเพย์โหลดอีกตัวเข้าไปในหน่วยความจำ เพย์โหลดนี้จะตรวจสอบให้แน่ใจว่ากำลังทำงานด้วยสิทธิ์ผู้ดูแลระบบ และหากยังไม่ได้สิทธิ์ ก็จะแสดงหน้าต่าง User Account Control (UAC) เพื่อหลอกให้ผู้ใช้เปิดด้วยสิทธิ์ยกระดับ เมื่อเริ่มทำงานแล้ว มัลแวร์จะตรวจสอบเพื่อหลีกเลี่ยงการรันในสภาพแวดล้อมวิเคราะห์และแซนด์บ็อกซ์ ก่อนดึงไฟล์ภาพ JPG (“lllyd.jpg”) จากเซิร์ฟเวอร์ที่ฝังไว้ตายตัว (“204.194.48[.]250”) แล้วเก็บไว้เป็น “C:\Windows\background.jpg”

รายละเอียดวิธีการโจมตี

ไฟล์ภาพดังกล่าวถูกใช้เป็นภาชนะซ่อนเพย์โหลดชั้นที่สอง โดย Seqrite Labs อธิบายว่า จากไฟล์ภาพนี้จะมีการแยกไฟล์ DLL ขนาด 504 KB ออกมาแล้วเขียนลงที่ “C:\Program Files\Windows Media Player\nvdaHelperRemote.dll” หลังจากนั้นมัลแวร์จะคัดลอกตัวเองเป็น “Mixed Reality.exe” และสร้างความคงทน (persistence) ด้วยการสร้าง Windows service ชื่อ MixedSvc ที่ตั้งค่าให้เริ่มทำงานอัตโนมัติทุกครั้งที่บูตเครื่อง พฤติกรรมนี้ยืนยันว่าตัวอย่างมัลแวร์ทำหน้าที่เป็นทั้ง downloader และ installer โดยใช้เทคนิคซ่อนเพย์โหลดในภาพและฝัง Windows service เพื่อคงการเข้าถึงระบบที่ติดมัลแวร์ในระยะยาว

ไฟล์ “Mixed Reality.exe” มีหน้าที่ปล่อยเพย์โหลดสองตัวที่แตกต่างกัน ตัวหนึ่งคือ .NET malware loader ที่ทำการตรวจสอบต้านการวิเคราะห์ (anti-analysis) สร้างความคงทน ปิดการสแกน Windows AMSI แล้วถอดรหัสและโหลด DcRAT ลงบนเครื่องที่ติดมัลแวร์ ส่วนเพย์โหลดตัวที่สองมีความสามารถในการจับภาพหน้าจอและส่งข้อมูลออกไปยังเซิร์ฟเวอร์ระยะไกล (“kkxqbh[.]top”)

ยังไม่ชัดเจนว่าใครอยู่เบื้องหลังกิจกรรมนี้ แต่การวิเคราะห์โครงสร้างพื้นฐานบ่งชี้ว่ามีการใช้ IP address ที่เป็นของ ChinaNet รวมถึงแผงควบคุมเว็บภาษาจีนที่เปิดโล่งอยู่บนเซิร์ฟเวอร์สั่งการและควบคุม (C2) ของ DcRAT (“223.26.63[.]40”) นอกจากนี้ Seqrite ยังระบุว่าพบการทับซ้อนของโครงสร้างพื้นฐานและยุทธวิธีกับกลุ่ม Silver Fox ซึ่งเป็นกลุ่มอาชญากรไซเบอร์ของจีนที่เคยถูกระบุว่าอยู่เบื้องหลังแคมเปญฟิชชิงธีมภาษีที่ปล่อย ValleyRAT มาก่อน จากความคล้ายคลึงเหล่านี้ ทำให้สันนิษฐานว่าแคมเปญนี้เป็นฝีมือของผู้ก่อภัยคุกคามที่เข้าข้างจีน โดยมีเป้าหมายเพื่อสร้างช่องทางเข้าถึงแบบลับเพื่อการเก็บข่าวกรอง ขโมยข้อมูลรับรอง และดูดข้อมูลออกอย่างเป็นระบบ

การเปิดเผยนี้เกิดขึ้นในช่วงเดียวกับที่บริษัท LevelBlue ตรวจพบสองแคมเปญที่ใช้ตัวติดตั้งปลอมของ LINE และอีเมลฟิชชิงธีมปรับเงินเดือน เพื่อกระจาย ValleyRAT ไปยังผู้ใช้ที่พูดภาษาจีนและญี่ปุ่น โดยห่วงโซ่การโจมตีแบบตัวติดตั้งปลอมใช้เทคนิค PoolParty Variant 7 ฉีด shellcode เข้า “explorer.exe” ซึ่งเคยพบเชื่อมโยงกับ malware loader ที่ชื่อ SADBRIDGE และ Quasar RAT เวอร์ชันเขียนใหม่ด้วย Golang ที่ชื่อ GOSAR โดยบริษัท Elastic Security Labs เคยระบุว่าเป็นฝีมือของกลุ่ม REF3864 ที่โจมตีภูมิภาคผู้ใช้ภาษาจีนด้วยตัวติดตั้งปลอมของ Telegram และ Opera

ผลกระทบต่อไทย

แม้แคมเปญ DragonReturn จะพุ่งเป้าเฉพาะระบบนิเวศผู้เสียภาษีของอินเดีย แต่รูปแบบการโจมตีถือเป็นสัญญาณเตือนที่สำคัญสำหรับประเทศไทย เพราะเทคนิคหลักคือการปลอมเป็นหน่วยงานราชการที่ประชาชนต้องติดต่อตามฤดูกาล ซึ่งประเทศไทยมีบริบทคล้ายกันมาก โดยเฉพาะช่วงยื่นภาษีเงินได้บุคคลธรรมดาผ่านระบบของกรมสรรพากร มิจฉาชีพสามารถลอกเลียนรูปแบบเดียวกัน คือปลอมอีเมลหรือ SMS อ้างชื่อกรมสรรพากร หลอกเรื่องค่าปรับหรือเงินคืนภาษี แล้วให้ดาวน์โหลด “โปรแกรมยื่นภาษี” ปลอมที่แฝงมัลแวร์ นอกจากนี้เทคนิคซ่อนเพย์โหลดในไฟล์ภาพ การหลบแซนด์บ็อกซ์ และการปิด AMSI ทำให้ระบบป้องกันปลายทางทั่วไปตรวจจับได้ยาก องค์กรและหน่วยงานภาครัฐไทยที่มีทีมการเงินและบัญชีจึงควรตื่นตัวต่อภัยนี้เป็นพิเศษ เพราะกลุ่มเป้าหมายหลักคือทีมการเงินองค์กรและที่ปรึกษาด้านภาษีที่มักเปิดไฟล์เอกสารจากภายนอกเป็นประจำ

คำแนะนำ

ผู้ดูแลระบบและผู้ใช้งานควรระมัดระวังอีเมลที่อ้างเป็นกรมสรรพากรหรือหน่วยงานราชการที่ขอให้ดาวน์โหลดโปรแกรมหรือคลิกลิงก์ โดยควรเข้าใช้บริการยื่นภาษีผ่านเว็บไซต์ทางการโดยตรงเท่านั้น ไม่คลิกลิงก์จากอีเมล ควรตั้งค่าให้ระบบแจ้งเตือนเมื่อมีการสร้าง Windows service ใหม่ที่น่าสงสัย (เช่น MixedSvc) และเฝ้าระวังไฟล์ที่ถูกวางในโฟลเดอร์ผิดปกติ เช่น “Windows Media Player\nvdaHelperRemote.dll” หรือ “background.jpg” ใน C:\Windows ควรบล็อกการเชื่อมต่อไปยัง IoC ที่ระบุในรายงาน เปิดใช้งาน AMSI และตรวจสอบว่าโซลูชัน EDR ยังทำงานปกติไม่ถูกปิด ระวังไฟล์ ZIP ที่มี DLL แฝงมาพร้อม executable ที่ถูกต้อง (DLL side-loading) และให้ความรู้พนักงานฝ่ายการเงินและบัญชีเกี่ยวกับฟิชชิงธีมภาษีเป็นพิเศษในช่วงฤดูยื่นภาษี

Indicators of Compromise (IoCs)

หมายเหตุ: ตัวบ่งชี้ถูก defang (ใส่วงเล็บคั่น) เพื่อความปลอดภัย ห้ามคลิกหรือเข้าถึงโดยตรง — คัดจากรายงาน Seqrite Labs (เผยแพร่ 26 มิ.ย. 2026, พบเพย์โหลดล่าสุด detection 0/66 บน VirusTotal)

เครือข่าย (Network / C2)

โฮสต์ (Host-based)

แฮชไฟล์ (SHA-256)

Seqrite Detection

Malware.Ulise, Trojan.Ulise, Trojan.Phonzy, Trojan.Ravartar, Trojandownloader.Smallao, Trojan.InjectorCiR

แหล่งอ้างอิง

• The Hacker News — Suspected China-Nexus Hackers Use Fake Indian Tax Filing Utility to Deploy DcRAT
• Seqrite Labs — Operation DragonReturn: China-Nexus Cyber Espionage Campaign Targeting Govt. of India