สรุปสั้น
นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์จากบริษัท Expel ระบุว่าเหตุการณ์ด้านความปลอดภัยที่เกิดกับบริษัท DigiCert เมื่อเดือนเมษายน 2569 เป็นฝีมือของคลัสเตอร์กิจกรรมภัยคุกคามที่ถูกตั้งชื่อว่า CylindricalCanine ซึ่งเป็นกลุ่มย่อยของ GoldenEyeDog (รู้จักในชื่อ APT-Q-27, Dragon Breath และ Miuuti Group) กลุ่มอาชญากรรมไซเบอร์เชื่อมโยงจีนที่เคลื่อนไหวมาตั้งแต่อย่างน้อยปี 2558 และมีชื่อเสียงเรื่องการโจมตีวงการพนันและเกมด้วยเว็บไซต์ปลอมที่แจกจ่ายซอฟต์แวร์ฝังมัลแวร์ นาย Aaron Walton นักวิจัยด้านความปลอดภัยของบริษัท Expel ระบุว่า “ในเดือนเมษายน 2569 GoldenEyeDog ใช้มัลแวร์ของตนเข้าถึงเครื่องของเจ้าหน้าที่ฝ่ายสนับสนุนที่ DigiCert ซึ่งเป็นผู้ให้บริการใบรับรอง code signing แล้วอาศัยการเข้าถึงนั้นขโมยใบรับรองที่เตรียมส่งให้ลูกค้าของ DigiCert”
หัวใจของปฏิบัติการคือมัลแวร์ Gh0st RAT (หรือ Farfli) เวอร์ชันดัดแปลง ซึ่งเป็นโทรจันควบคุมระยะไกลที่กลุ่มแฮ็กเกอร์จีนหลายกลุ่มนิยมใช้ รวมถึงกลุ่มอาชญากรไซเบอร์จีนอีกกลุ่มที่ถูกติดตามในชื่อ Silver Fox โดยเวอร์ชันของกลุ่มนี้ถูกเรียกว่า Golden Gh0st RAT ทำงานแบบแยกโมดูลและถูกส่งเข้าเครื่องเหยื่อผ่านตัวโหลดชื่อ Golden Gh0st Loader ผลของการเจาะระบบครั้งนี้คือ DigiCert ต้องเพิกถอนใบรับรองรวม 60 ใบ ซึ่งในจำนวนนี้มี 27 ใบที่เชื่อมโยงกับผู้โจมตีอย่างชัดเจน และถูกนำไปเซ็นไฟล์มัลแวร์ตระกูล Zhong Stealer เพื่อให้ผ่านการตรวจจับของระบบป้องกันปลายทาง เหตุการณ์นี้ทำให้ CylindricalCanine กลายเป็นรายชื่อล่าสุดที่เข้าไปอยู่ในกลุ่มผู้โจมตีซึ่งฉวยใช้ใบรับรอง code signing ในปฏิบัติการของตน ต่อจาก Black Basta, TamperedChef (หรือ EvilAI) และ Rhysida
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 17 กรกฎาคม 2569 ว่าบริษัท Expel ได้เผยแพร่รายงานวิเคราะห์ทางเทคนิคที่เชื่อมโยงเหตุการณ์เจาะระบบบริษัท DigiCert เข้ากับคลัสเตอร์ CylindricalCanine ซึ่งเป็นกลุ่มย่อยของ GoldenEyeDog โดยรายงานระบุว่าการโจมตีครั้งนี้สะท้อนให้เห็นทั้งขีดความสามารถของมัลแวร์และฝีมือของผู้ปฏิบัติการเบื้องหลัง
ก่อนหน้านี้ทีมวิจัย Elastic Security Labs เคยเผยแพร่รายงานเมื่อเดือนพฤศจิกายน 2568 ที่อธิบายว่ากลุ่มนี้ใช้ตัวโหลดหลายขั้นตอนชื่อรหัส RONINGLOADER เพื่อกระจาย Gh0st RAT รุ่นดัดแปลงผ่านตัวติดตั้งแบบ NSIS ที่ปลอมตัวเป็นโปรแกรมถูกกฎหมายอย่าง Google Chrome และ Microsoft Teams ต่อมาในปีนี้ยังพบแคมเปญที่เชื่อมโยงกับกลุ่มเดียวกันจัดฉากการโจมตีหลายขั้นตอนพุ่งเป้าไปที่พนักงานฝ่ายสนับสนุนลูกค้าของบริษัทกลุ่ม Web3 โดยส่งลิงก์น่าสงสัยผ่านช่องแชตสนับสนุนลูกค้าเพื่อส่งมัลแวร์ Gh0st RAT เข้าเครื่อง ซึ่งเป็นรูปแบบเดียวกับที่ใช้กับ DigiCert ในเวลาต่อมา
บริษัท Expel ระบุว่า “ผู้โจมตีกลุ่มนี้ใช้มัลแวร์และเลือกเหยื่อในลักษณะที่สอดคล้องกับกิจกรรมอาชญากรรมไซเบอร์จีนกลุ่มอื่น รวมถึงการมุ่งเป้าไปที่องค์กรด้านการเงินในภูมิภาคเอเชียแปซิฟิก” นอกจากนี้ Golden Gh0st RAT ยังมีพฤติกรรมและกลยุทธ์ทับซ้อนกับเพย์โหลดที่บริษัทความปลอดภัยจีน QiAnXin ตรวจพบเมื่อปี 2563 ซึ่งเชื่อมโยงกับแคมเปญโจมตีอุตสาหกรรมการพนันตั้งแต่ปี 2562 และยังทับซ้อนกับมัลแวร์ที่บริษัท ANY.RUN บันทึกไว้เมื่อเดือนกุมภาพันธ์ 2568 ในชื่อ Zhong Stealer อีกด้วย
สำหรับเหตุการณ์ที่ DigiCert นั้น ผู้ออกใบรับรอง (Certificate Authority หรือ CA) รายนี้เปิดเผยเมื่อเดือนเมษายน 2569 ว่าได้เพิกถอนใบรับรองที่ถูกขอมาโดยทุจริตจากพอร์ทัลสนับสนุนภายในของบริษัท หลังผู้โจมตีเข้าถึงเครื่องทำงานของเจ้าหน้าที่วิเคราะห์ฝ่ายสนับสนุน 2 เครื่องได้สำเร็จจากการรันเพย์โหลดอันตรายที่ถูกส่งผ่านช่องแชตของลูกค้า โดย DigiCert อธิบายในตอนนั้นว่า “เมื่อวันที่ 2 เมษายน 2569 ผู้โจมตีติดต่อทีมสนับสนุนของ DigiCert ผ่านช่องแชตลูกค้าและส่งไฟล์ ZIP ที่ปลอมตัวเป็นภาพหน้าจอของลูกค้า ไฟล์ดังกล่าวบรรจุไฟล์รันได้นามสกุล .scr ที่มีเพย์โหลดอันตรายอยู่ภายใน”
วิธีการโจมตี
จุดพลาดร้ายแรงในเหตุการณ์ DigiCert อยู่ที่ฟังก์ชันหนึ่งในพอร์ทัลสนับสนุนลูกค้า ซึ่งอนุญาตให้เจ้าหน้าที่วิเคราะห์ที่ยืนยันตัวตนแล้วสามารถเข้าถึงบัญชีของลูกค้าในมุมมองของลูกค้าเองเพื่อช่วยแก้ปัญหา เมื่อผู้โจมตียึดบัญชีเจ้าหน้าที่ได้ จึงใช้ฟังก์ชันนี้เข้าถึงรหัสเริ่มต้น (initialization code) ของคำสั่งซื้อใบรับรอง EV Code Signing ที่ได้รับอนุมัติแล้วแต่ยังรอส่งมอบ ในบัญชีลูกค้าจำนวนหนึ่ง ปัญหาคือการมีรหัสเริ่มต้นในมือควบคู่กับคำสั่งซื้อที่ได้รับอนุมัติแล้ว “เพียงพอในเชิงฟังก์ชัน” ที่จะออกใบรับรอง EV Code Signing ได้ทันที ทำให้ผู้โจมตีสวมรอยรับใบรับรองของลูกค้าไปได้
DigiCert ยอมรับว่า “แบบจำลองภัยคุกคาม (threat model) ไม่ได้คำนึงถึงสถานการณ์ที่รหัสเริ่มต้นซึ่งเก็บอยู่ในพอร์ทัลสนับสนุนภายในของ DigiCert จะถูกมองเห็นได้โดยบัญชีเจ้าหน้าที่วิเคราะห์ที่ถูกยึด ซึ่งทำงานผ่านฟังก์ชันของพอร์ทัลนั้น” ต่อมาบริษัทได้ปรับแก้โค้ดเพื่อปิดบังรหัสเริ่มต้นไม่ให้ผู้ใช้ที่เข้าถึงแบบสวมมุมมองลูกค้ามองเห็น ทั้งบนแพลตฟอร์มในสหภาพยุโรปและสหรัฐฯ ไม่ว่าจะเข้าผ่านหน้าเว็บหรือผ่าน API ส่วนใบรับรองที่ถูกเพิกถอนทั้ง 60 ใบมาจาก CA สี่รายการคือ DigiCert Trusted G4 Code Signing RSA4096 SHA256 2021 CA1, DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1, GoGetSSL G4 CS RSA4096 SHA256 2022 CA-1 และ Verokey High Assurance Secure Code EV
ในส่วนของห่วงโซ่การโจมตีที่นำไปสู่ Golden Gh0st RAT บริษัท Expel ระบุว่ากลวิธีหลักของ CylindricalCanine คือการแจกจ่ายไฟล์ที่ปลอมตัวเป็นภาพหน้าจอผ่านอีเมลฟิชชิง โดยไฟล์เหล่านั้นถูกฝังอยู่ในข้อความในรูปแบบลิงก์ที่เมื่อคลิกแล้วจะดาวน์โหลดเพย์โหลดเพิ่มเติมจากเซิร์ฟเวอร์ภายนอก เป้าหมายปลายทางคือการจุดชนวนห่วงโซ่ DLL side-loading ซึ่งอาศัยไฟล์รันได้ที่ถูกกฎหมายเป็นตัวเรียกไฟล์ DLL อันตราย พร้อมกับแสดงเอกสาร PDF ล่อลวงที่ขึ้นข้อความแสดงข้อผิดพลาด HTTP 503 “Service Unavailable” เพื่อกลบเกลื่อนไม่ให้เหยื่อสงสัย จากนั้น DLL ตัวดังกล่าวจะโหลดเพย์โหลดที่ถูกเข้ารหัสไว้ในไฟล์ชื่อ update.log ต่อไป
ขั้นสุดท้ายคือ Golden Gh0st RAT ซึ่งมาพร้อมความสามารถหลากหลาย ทั้งการฝังตัวอยู่ในระบบอย่างถาวร ขโมยข้อมูลอ่อนไหว เปิดอุโมงค์ SOCKS proxy กดการแสดงผลบนหน้าจอไม่ให้เหยื่อเห็น บันทึกการกดแป้นพิมพ์ จับภาพหน้าจอ แจกแจงรายการโปรเซส รันคำสั่งเชลล์ ปล่อยเพย์โหลดเพิ่มเติม และล้างบันทึกเหตุการณ์ของ Windows เพื่อลบร่องรอย โดยแอปพลิเคชันที่มัลแวร์เจาะจงเก็บข้อมูลได้แก่ Skype, Google Chrome, Mozilla Firefox, 360 Secure Browser, 360 Speed Browser และ Tencent QQ Browser ทั้งนี้บริษัท Expel อธิบายว่า “Golden Gh0st RAT ถูกใช้เป็นหลักในอีเมลฟิชชิงและ/หรือการส่งเรื่องเข้าพอร์ทัลสนับสนุน (ซึ่งบางครั้งการส่งเรื่องเหล่านั้นก็คืออีเมลที่ระบบ ticket รับเข้ามาเอง) และเช่นเดียวกับ Gh0st RAT ทุกเวอร์ชัน ความสามารถของมัลแวร์ถูกจัดการผ่านปลั๊กอินและตัวกระจายงานโมดูลภายใน”
ผลกระทบต่อไทย
เหตุการณ์นี้เป็นตัวอย่างชัดเจนของความเสี่ยงจากบุคคลที่สาม (third-party risk) ที่กระทบเป็นวงกว้าง เพราะ DigiCert เป็นผู้ออกใบรับรองดิจิทัลรายใหญ่ที่องค์กรไทยจำนวนมากใช้บริการ ทั้งใบรับรอง SSL/TLS สำหรับเว็บไซต์และใบรับรอง code signing สำหรับเซ็นซอฟต์แวร์ที่พัฒนาขึ้นเอง องค์กรที่มีคำสั่งซื้อใบรับรอง EV Code Signing อยู่ในช่วงเดือนเมษายน 2569 ควรตรวจสอบสถานะใบรับรองของตนว่าอยู่ในรายการที่ถูกเพิกถอนหรือไม่ และหากถูกเพิกถอนต้องขอออกใหม่พร้อมทบทวนว่ามีไฟล์ใดของบริษัทถูกเซ็นด้วยใบรับรองที่มีปัญหาหรือไม่
ในมุมของการป้องกัน สิ่งที่น่ากังวลกว่าคือมัลแวร์ที่ถูกเซ็นด้วยใบรับรอง EV ของผู้ให้บริการที่น่าเชื่อถือจะสามารถเลี่ยงการตรวจจับของระบบป้องกันปลายทางและกลไกอย่าง SmartScreen ได้อย่างมีประสิทธิภาพ องค์กรไทยที่ตั้งกฎอนุญาตให้รันเฉพาะไฟล์ที่มีลายเซ็นดิจิทัลถูกต้อง (application allowlisting ตามผู้เผยแพร่) จึงอาจถูกมัลแวร์เหล่านี้เล็ดลอดผ่านเข้ามาได้ นอกจากนี้กลุ่ม GoldenEyeDog ยังมีประวัติมุ่งเป้าองค์กรการเงินในภูมิภาคเอเชียแปซิฟิก รวมถึงวงการพนันและเกมออนไลน์ซึ่งมีเครือข่ายเชื่อมโยงกับภูมิภาคเอเชียตะวันออกเฉียงใต้ ทำให้องค์กรไทยในกลุ่มเหล่านี้อยู่ในรัศมีเป้าหมายโดยตรง และรูปแบบการโจมตีที่ส่งไฟล์อันตรายผ่านช่องแชตหรือระบบ ticket สนับสนุนลูกค้า ก็เป็นช่องทางที่ทีมบริการลูกค้าของไทยยังมักมองข้าม เพราะถือเป็นงานประจำวันที่ต้องเปิดไฟล์จากลูกค้าอยู่แล้ว
คำแนะนำ
องค์กรที่ใช้ใบรับรอง code signing ควรตรวจสอบรายการใบรับรองของตนกับประกาศเพิกถอนของ DigiCert และเปลี่ยนไปใช้ใบรับรองใหม่ทันทีหากได้รับผลกระทบ พร้อมทั้งย้ายกุญแจส่วนตัวไปเก็บในโมดูลฮาร์ดแวร์ (HSM) หรือบริการเซ็นบนคลาวด์ที่มีการควบคุมสิทธิ์อย่างเข้มงวด และเปิดใช้การประทับเวลา (timestamping) ทุกครั้งที่เซ็นไฟล์ เพื่อให้แยกแยะได้ว่าไฟล์ใดถูกเซ็นก่อนหรือหลังเหตุการณ์เพิกถอน นอกจากนี้ควรตั้งการเฝ้าระวังผ่าน Certificate Transparency log เพื่อจับสังเกตใบรับรองที่ถูกออกในนามองค์กรโดยที่ไม่ได้ร้องขอ
สำหรับทีมบริการลูกค้าและทีมสนับสนุน ควรถือว่าไฟล์แนบและลิงก์ที่ส่งเข้ามาผ่านช่องแชตหรือระบบ ticket มีความเสี่ยงเทียบเท่าอีเมลฟิชชิงจากภายนอก เปิดไฟล์ในสภาพแวดล้อมแยก (sandbox) หรือเครื่องเสมือนเท่านั้น ตั้งกฎบล็อกไฟล์นามสกุลรันได้อย่าง .scr, .exe และ .lnk ที่ซ่อนอยู่ในไฟล์บีบอัด และเปิดแสดงนามสกุลไฟล์บนเครื่องพนักงานทุกเครื่องเพื่อไม่ให้ไฟล์ .scr ปลอมตัวเป็นภาพได้ ในเชิงเทคนิคควรเฝ้าระวังพฤติกรรม DLL side-loading คือกรณีที่ไฟล์รันได้ถูกกฎหมายโหลด DLL จากตำแหน่งที่ผิดปกติ ตรวจจับไฟล์แปลกปลอมชื่อทั่วไปอย่าง update.log ที่ถูกอ่านโดยโปรเซสผู้ใช้ และตั้งการแจ้งเตือนเมื่อมีการล้างบันทึกเหตุการณ์ของ Windows สุดท้ายควรทบทวนสิทธิ์ของฟังก์ชัน “สวมมุมมองผู้ใช้” ในระบบภายในขององค์กรเอง โดยจำกัดข้อมูลอ่อนไหวไม่ให้แสดงผลผ่านโหมดดังกล่าว และบันทึกล็อกการใช้งานฟังก์ชันนี้ทุกครั้ง