สรุปสั้น

บริษัทความมั่นคงปลอดภัยไซเบอร์สัญชาติจีน QiAnXin เปิดเผยว่ากลุ่มอาชญากรไซเบอร์ที่เชื่อมโยงกับจีนซึ่งรู้จักกันในชื่อ Silver Fox อยู่เบื้องหลังโทรจันควบคุมระยะไกล (RAT) ตัวใหม่ที่เขียนด้วยภาษา Rust ชื่อว่า MODBEACON แม้เมื่อมองผิวเผินคลัสเตอร์ภัยคุกคามนี้อาจดูเหมือนปฏิบัติการที่ซับซ้อนต่ำแต่เคลื่อนไหวสูง ด้วยการแพร่มัลแวร์ผ่านตัวติดตั้งปลอมโดยใช้เทคนิค SEO poisoning แต่เบื้องหลังกลับสะท้อนโครงสร้างองค์กรที่แท้จริงซึ่งประกอบด้วยผู้กระจาย (distributor) หลายราย

QiAnXin ระบุว่าผู้กระจายเหล่านี้ดำเนินกิจกรรมทั่วเอเชียโดยใช้ตัวติดตั้งซอฟต์แวร์ปลอมที่แพร่ผ่านแคมเปญ SEO อาศัยมัลแวร์ตระกูล Gh0st RAT และ WinOS (ValleyRAT) หนึ่งในแคมเปญที่พบเมื่อกลางเดือนมิถุนายน 2569 เกี่ยวข้องกับผู้กระจายที่ปล่อย RAT แบบโมดูลซึ่งไม่เคยมีการบันทึกมาก่อน พุ่งเป้าองค์กรด้านเทคโนโลยี การศึกษา และรัฐวิสาหกิจในประเทศ โดยโครงสร้างพื้นฐาน C2 ของ MODBEACON ถูกโฮสต์บน Amazon และเครือข่าย CDN ของ Cloudflare มัลแวร์นี้ทำงานอยู่ในหน่วยความจำในลักษณะ implant ที่สามารถดึงโมดูลเพิ่มเติม รันคำสั่งของผู้ปฏิบัติการ และรักษาการสื่อสารแบบเข้ารหัสกับโครงสร้างพื้นฐานของผู้โจมตี

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 10 กรกฎาคม 2569 ว่า บริษัท QiAnXin ประเมินว่าผู้กระจาย MODBEACON เป็นผู้ก่อภัยคุกคามแบบผสม (hybrid) ที่ทำหน้าที่ทั้งเป็น “พ่อค้าอาวุธไซเบอร์” และ “นายหน้าค้าทราฟฟิก” ในเวลาเดียวกัน โดยส่วนหนึ่งของปฏิบัติการมุ่งขยายฐานการติดมัลแวร์ทั่วเอเชียผ่านปฏิบัติการ SEO รายวันเพื่อธุรกิจฉ้อโกง ขณะที่อีกส่วนมุ่งเผยแพร่โทรจันขั้นสูง ให้เช่าการเข้าถึงที่มีมูลค่าสูงแก่ลูกค้าปลายน้ำ หรือสร้างแผน “อาชญากรโจมตีอาชญากร” ที่พุ่งเป้าไปยังภาคธุรกิจการพนันในกัมพูชา

แคมเปญที่เพิ่งค้นพบนี้ผสมผสานวิศวกรรมสังคม มัลแวร์ที่สร้างขึ้นเอง และเครื่องมือหลังการเจาะระบบ เพื่อสร้างการเข้าถึงระยะยาวพร้อมกับลดการถูกตรวจจับบนเครื่องที่ติดมัลแวร์ให้เหลือน้อยที่สุด QiAnXin อธิบายว่าโทรจันตัวนี้เป็นเฟรมเวิร์ก C2 ระดับมืออาชีพและเป็นแบบเฉพาะ (private) โดยแยกส่วน loader และ beacon ออกจากกัน กำหนดค่าแบบ injectable ได้ ตัว beacon ใช้สถาปัตยกรรมแบบปลั๊กอิน (native-v3 plugins ที่มี entry/init/fini RVA) และใช้ gRPC tunnel streaming ในการสื่อสาร คุณภาพงานวิศวกรรมโดยรวมอยู่ในระดับสูง จุดเด่นหลักคือการนำ transport layer จากเฟรมเวิร์ก proxy ต่อต้านการเซ็นเซอร์แบบโอเพนซอร์ส Xray/V2Ray มาใช้ซ้ำเป็นช่องทาง C2

เช่นเดียวกับแคมเปญก่อนหน้าที่ถูกระบุว่าเป็นฝีมือของระบบนิเวศการบุกรุก Silver Fox ห่วงโซ่การโจมตีใช้โดเมนปลอมที่โฆษณาตัวติดตั้งปลอมของซอฟต์แวร์ยอดนิยมภายในประเทศเป็นเหยื่อล่อ หลอกให้ผู้ใช้ที่ไม่ทันระวังดาวน์โหลดไฟล์ ZIP อันตรายที่รับผิดชอบการติดตั้งมัลแวร์

malicious Windows LNK shortcut PowerShell Node.js backdoor TON blockchain C2

วิธีการโจมตี

ความสามารถหลักของ MODBEACON ประกอบด้วยการเก็บลายนิ้วมือ (fingerprint) ของเครื่องเป้าหมาย การโหลดปลั๊กอินเข้าสู่หน่วยความจำ การส่งข้อความ heartbeat เพื่อรายงานสถานะ การรายงานผลการรันคำสั่ง และการตั้งค่าฝังตัวถาวรผ่าน scheduled task ตามที่ QiAnXin ระบุว่าความสามารถเหล่านี้สามารถนำไปใช้ขยายผลตามความต้องการในภายหลัง ทั้งการขโมยข้อมูล การเคลื่อนตัวในแนวราบ (lateral movement) การส่งต่อผ่าน proxy หรือเพย์โหลดอื่น ๆ

การเปิดเผยนี้เกิดขึ้นในช่วงที่คลังอาวุธของ Silver Fox กำลังขยายตัวอย่างค่อยเป็นค่อยไป โดยกลุ่มได้ปล่อยมัลแวร์ตระกูลที่ถูกติดตามในชื่อ Atlas RAT, ABCDoor, RomulusLoader และ SilentRunLoader ซึ่งบ่งชี้ว่าผู้ก่อภัยคุกคามกำลังพัฒนาเทคนิคของตนอย่างต่อเนื่อง การที่ MODBEACON ทำงานในหน่วยความจำล้วน แยกส่วน loader กับ beacon และซ่อนทราฟฟิก C2 ไว้ในโปรโตคอล gRPC ที่ดูปกติ ทำให้การตรวจจับด้วยวิธีดั้งเดิมทำได้ยากขึ้นมาก

ผลกระทบต่อไทย

แม้แคมเปญ MODBEACON ที่พบล่าสุดจะพุ่งเป้าองค์กรภายในจีนเป็นหลัก แต่ QiAnXin ระบุชัดว่าผู้กระจายในระบบนิเวศ Silver Fox ดำเนินกิจกรรมทั่วเอเชียและมีความเชื่อมโยงกับภาคธุรกิจการพนันในกัมพูชา ซึ่งอยู่ในภูมิภาคเดียวกับไทย ผู้ใช้และองค์กรไทยที่มีพนักงานพูดภาษาจีนหรือใช้ซอฟต์แวร์ภาษาจีนจึงมีความเสี่ยงที่จะตกเป็นเป้าของตัวติดตั้งปลอมที่แพร่ผ่าน SEO poisoning เช่นเดียวกัน นอกจากนี้เทคนิคการซ่อนทราฟฟิก C2 ไว้ใน gRPC และการนำ transport layer ของ Xray/V2Ray มาใช้ยังเป็นแนวโน้มที่ทีมความปลอดภัยไทยควรจับตา เพราะทำให้มัลแวร์กลมกลืนกับทราฟฟิกที่ถูกต้องได้แนบเนียน

คำแนะนำ

ผู้ใช้ควรดาวน์โหลดซอฟต์แวร์จากเว็บไซต์ทางการของผู้พัฒนาเท่านั้น และหลีกเลี่ยงการคลิกผลการค้นหาที่โฆษณาตัวติดตั้งซอฟต์แวร์ยอดนิยม เพราะกลุ่ม Silver Fox อาศัย SEO poisoning ผลักดันโดเมนปลอมขึ้นมาในผลการค้นหา องค์กรควรเฝ้าระวังทราฟฟิก gRPC ที่ผิดปกติและการเชื่อมต่อออกไปยังโครงสร้างพื้นฐานบน Amazon และ Cloudflare CDN ที่ไม่คุ้นเคย เนื่องจาก MODBEACON ใช้ช่องทางเหล่านี้ในการสื่อสาร C2 นอกจากนี้ควรตรวจสอบ scheduled task ที่ผิดปกติซึ่งอาจเป็นกลไกฝังตัวถาวร ติดตั้งระบบตรวจจับที่วิเคราะห์พฤติกรรมในหน่วยความจำเพื่อจับมัลแวร์แบบ fileless และเฝ้าระวังตัวบ่งชี้ที่เกี่ยวข้องกับมัลแวร์ตระกูล Gh0st RAT, ValleyRAT รวมถึง Atlas RAT, ABCDoor, RomulusLoader และ SilentRunLoader

แหล่งอ้างอิง