UAC-0145 กลุ่มย่อยของ Sandworm ใช้ CAPTCHA ปลอมแบบ ClickFix หลอกเหยื่อยูเครนติดมัลแวร์เอง

สรุปสั้น

ทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์แห่งยูเครน (CERT-UA) ออกประกาศเตือนว่ากลุ่มผู้โจมตีที่รัฐรัสเซียหนุนหลังกำลังใช้เทคนิคหลอกลวงที่รู้จักกันในชื่อ ClickFix เพื่อล่อให้เป้าหมายชาวยูเครนติดตั้งมัลแวร์ขโมยข้อมูลลงเครื่องของตัวเอง โดยกิจกรรมชุดนี้ถูกระบุว่าเป็นฝีมือของ UAC-0145 ซึ่งเป็นคลัสเตอร์ย่อยภายใน Sandworm หน่วยปฏิบัติการแฮ็กระดับสูงที่มีความเชื่อมโยงกับ GRU หน่วยข่าวกรองทางทหารต่างประเทศหลักของรัสเซีย จุดที่น่าสนใจคือรูปแบบการโจมตีครั้งนี้ต่างไปจากแคมเปญก่อนหน้าของกลุ่มอย่างชัดเจน เพราะแทนที่จะแจกจ่ายตัวติดตั้ง Windows หรือ Office ที่ถูกฝังแบ็กดอร์ไว้ หรือปลอมเป็นโปรแกรมป้องกันไวรัสที่ส่งผ่านแอปแชต Signal เหมือนที่เคยทำมา คราวนี้กลุ่มเลือกใช้วิธีให้เหยื่อเป็นผู้รันคำสั่งอันตรายด้วยมือตัวเอง

กลไกการโจมตีเริ่มจากเว็บไซต์ที่ถูกเจาะแล้วแสดงกล่องตรวจสอบ CAPTCHA ปลอมขึ้นมา พร้อมคำสั่งให้ผู้ใช้คัดลอกคำสั่ง PowerShell ไปวางและรันใน terminal เพื่อ “ยืนยันตัวตน” ซึ่งคำสั่งดังกล่าวจะดาวน์โหลดไฟล์ VBS ไปวางไว้ในโฟลเดอร์ Startup ให้ทำงานอัตโนมัติทุกครั้งที่เปิดเครื่อง หนึ่งในตัวอย่างโปรแกรมที่ถูกใช้มีชื่อรหัสว่า GHETTOVIBE นอกจากนี้ยังพบสคริปต์ PowerShell ชื่อ SCOUTCURL ที่ทำหน้าที่สำรวจข้อมูลเบื้องต้นของเครื่องที่ติดมัลแวร์ ตัวโหลด (Loader) อย่าง FLUIDLEECH ซึ่งปลอมตัวเป็นซอฟต์แวร์กำจัดไวรัสคอมพิวเตอร์ และ LOADLOOP รวมถึงแบ็กดอร์ที่เขียนด้วยภาษา Python ชื่อ FREAKYPOLL โดย CERT-UA ประเมินว่ามีเว็บไซต์อย่างน้อย 10 แห่งที่ถูกเจาะเพื่อใช้ในแคมเปญนี้ระหว่างเดือนมิถุนายนถึงกรกฎาคม 2569 และกลุ่มยังขยายการโจมตีไปยังอุปกรณ์ Android ด้วยการกระจายไฟล์ APK ที่ฝังแบ็กดอร์ชื่อ COWARDDUCK ผ่านแอปรับส่งข้อความ โดยปลอมตัวเป็นเครื่องมือด้านความปลอดภัย

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 19 กรกฎาคม 2569 ว่า CERT-UA ได้ออกการแจ้งเตือนถึงแคมเปญโจมตีใหม่ของกลุ่มที่รัฐรัสเซียหนุนหลัง ซึ่งหันมาใช้เทคนิควิศวกรรมสังคม (Social Engineering) แบบ ClickFix ที่กำลังแพร่หลายในภูมิทัศน์ภัยคุกคามไซเบอร์ทั่วโลก แคมเปญนี้ถูกระบุแหล่งที่มาว่าเป็นของ UAC-0145 ซึ่ง CERT-UA จัดให้เป็นคลัสเตอร์ย่อยภายใต้ร่มของ Sandworm กลุ่มปฏิบัติการไซเบอร์ที่ขึ้นตรงกับ GRU และเป็นหนึ่งในหน่วยโจมตีที่ก้าวร้าวที่สุดในสงครามไซเบอร์ที่ดำเนินคู่ขนานกับสงครามภาคพื้นในยูเครน

หัวใจของแคมเปญคือการเปลี่ยนเว็บไซต์ที่ถูกเจาะให้กลายเป็นด่านคัดกรองเหยื่อ ผู้โจมตีอาศัยบริการกรองทราฟฟิกชื่อ Cloaking.House ซึ่งเปิดให้แสดงหน้าเว็บที่แตกต่างกันตามผู้เข้าชมแต่ละราย ทำให้ผู้ใช้ทั่วไปหรือนักวิจัยที่เข้ามาตรวจสอบเห็นเนื้อหาปกติ ขณะที่เป้าหมายที่ต้องการจะเห็นหน้า CAPTCHA ปลอม นอกจากนี้กลุ่มยังพัฒนาเครื่องมือเฉพาะของตัวเองชื่อ SMARTAXE เพื่อปรับเปลี่ยนเนื้อหาของหน้าเว็บแบบไดนามิกตามผู้เข้าชม แล้วแทรกกล่องตรวจสอบ CAPTCHA เข้าไปในหน้านั้น

จุดที่สะท้อนความซับซ้อนของแคมเปญคือวิธีซ่อนที่อยู่ของเซิร์ฟเวอร์ควบคุม เนื้อหา CAPTCHA ที่ถูกฉีดเข้าไปในหน้าเว็บใช้เทคนิค EtherHiding ซึ่งเป็นการดึงชื่อโดเมนของทรัพยากรปลายทางออกมาจาก smart contract บนบล็อกเชน Ethereum โดยอ้างอิงที่อยู่ของ contract ที่ฝังไว้ในซอร์สโค้ด วิธีนี้ทำให้ฝ่ายป้องกันปิดกั้นได้ยาก เพราะบล็อกเชนสาธารณะไม่มีผู้ให้บริการรายใดที่จะถอดข้อมูลออกได้ และผู้โจมตีสามารถเปลี่ยนโดเมนปลายทางเมื่อไรก็ได้โดยไม่ต้องแก้ไขโค้ดบนเว็บไซต์ที่ถูกเจาะ

ในฝั่งอุปกรณ์เคลื่อนที่ CERT-UA ระบุว่าพบผู้โจมตีใช้เทคนิคอื่นเข้าเจาะอุปกรณ์ด้วย โดยกระจายไฟล์ APK ที่ปลอมเป็นเครื่องมือด้านความปลอดภัยผ่านแอปรับส่งข้อความ ภายในฝังแบ็กดอร์ชื่อ COWARDDUCK ที่มีความสามารถครบเครื่อง ทั้งเก็บรายชื่อผู้ติดต่อ ค้นหาและดึงไฟล์ที่มีนามสกุล .conf, .json, .ovpn, .txt, .doc, .docx, .xls, .xlsx, .pptx, .zip และ .rar จากโฟลเดอร์ DCIM, Documents, Downloads, Pictures และ Alarms รวมถึงติดตามพิกัดตำแหน่งแบบเรียลไทม์ นามสกุลไฟล์ที่กลุ่มเลือกเก็บสะท้อนเป้าหมายด้านการจารกรรมอย่างชัดเจน โดยเฉพาะไฟล์ .ovpn และ .conf ซึ่งเป็นไฟล์ตั้งค่า VPN ที่อาจเปิดทางเข้าถึงเครือข่ายภายในองค์กรได้ต่อ

ที่น่าสังเกตคือมัลแวร์ใช้ API ของบริการคลาวด์ Dropbox ในการอัปโหลดไฟล์ที่ขโมยมา ขณะที่รับคำสั่งหรือข้อมูลจากเซิร์ฟเวอร์ภายนอกหรือจากเว็บไซต์ที่ถูกกฎหมายอย่าง steamcommunity[.]com ซึ่งเป็นการอาศัยบริการที่ได้รับความไว้วางใจอยู่แล้วเพื่อกลบเกลื่อนทราฟฟิกให้ดูเหมือนการใช้งานปกติ

การเปิดเผยครั้งนี้เกิดขึ้นในช่วงที่ ClickFix ยังคงพิสูจน์ตัวเองว่าเป็นเทคนิควิศวกรรมสังคมที่ได้ผลสูงในการส่งมัลแวร์ทั่วทั้งภูมิทัศน์ภัยคุกคาม โดยมีผู้ไม่ประสงค์ดีหลายรายนำไปใช้กระจายมัลแวร์หลากหลายตระกูล ทั้ง OXLOADER, Mistic, SCMBANKER, ClickLock Stealer, TELEPUZ และ ACR Stealer

วิธีการโจมตี

ขั้นตอนการโจมตีบน Windows เริ่มจากผู้ใช้เข้าเว็บไซต์ที่ถูกเจาะไว้ล่วงหน้า จากนั้นระบบกรองทราฟฟิก Cloaking.House จะประเมินว่าผู้เข้าชมรายนั้นเข้าเกณฑ์เป้าหมายหรือไม่ ถ้าใช่ เครื่องมือ SMARTAXE จะแก้ไขเนื้อหาหน้าเว็บแบบไดนามิกเพื่อแสดงกล่อง CAPTCHA ปลอม ซึ่งจะแนะนำให้ผู้ใช้คัดลอกคำสั่ง PowerShell ไปรันเพื่อยืนยันว่าไม่ใช่บอต

เมื่อเหยื่อรันคำสั่งดังกล่าว คำสั่งจะดาวน์โหลดไฟล์ VBS มาเก็บไว้ในไดเรกทอรี Startup เพื่อให้ทำงานทุกครั้งที่เข้าสู่ระบบ ซึ่งเป็นวิธีฝังตัว (Persistence) ที่เรียบง่ายแต่ได้ผล จากนั้นจึงตามด้วยชุดเครื่องมือที่แบ่งหน้าที่กันชัดเจน ได้แก่ SCOUTCURL สำหรับสำรวจข้อมูลเครื่อง, FLUIDLEECH และ LOADLOOP ที่ทำหน้าที่เป็นตัวโหลดเพื่อดึงเพย์โหลดชั้นถัดไป โดย FLUIDLEECH ปลอมตัวเป็นซอฟต์แวร์กำจัดไวรัสเพื่อลดความสงสัยของผู้ใช้ และ FREAKYPOLL ซึ่งเป็นแบ็กดอร์ที่เขียนด้วยภาษา Python สำหรับควบคุมเครื่องในระยะยาว

ข้อได้เปรียบสำคัญของเทคนิค ClickFix คือมันข้ามกลไกป้องกันหลายชั้นได้โดยไม่ต้องใช้ช่องโหว่ใดเลย เพราะไม่มีไฟล์แนบอันตรายให้เกตเวย์อีเมลตรวจจับ ไม่มีการดาวน์โหลดไฟล์ที่ต้องผ่านการตรวจ Mark of the Web และคำสั่งถูกรันโดยผู้ใช้ที่มีสิทธิ์อยู่แล้วผ่านโปรแกรมที่ระบบปฏิบัติการมีมาให้ตั้งแต่แรก การป้องกันจึงต้องพึ่งการตรวจจับพฤติกรรมและการปิดกั้นการใช้งาน PowerShell ที่ผิดปกติเป็นหลัก

ผลกระทบต่อไทย

แม้เป้าหมายของแคมเปญนี้จะเป็นผู้ใช้ในยูเครนโดยเฉพาะ แต่เทคนิคที่ใช้ไม่ได้ผูกกับภูมิภาคใดเลย และองค์กรในไทยควรถือว่าเป็นสัญญาณเตือนล่วงหน้า เพราะ ClickFix กลายเป็นวิธีส่งมัลแวร์ยอดนิยมที่ทั้งกลุ่มรัฐหนุนหลังและกลุ่มอาชญากรไซเบอร์ทั่วไปนำไปใช้แล้ว หน้า CAPTCHA ปลอมสามารถแปลเป็นภาษาไทยและวางบนเว็บไซต์ไทยที่ถูกเจาะได้ไม่ต่างกัน โดยเฉพาะเว็บไซต์ขององค์กรขนาดกลางและเล็กที่ใช้ระบบจัดการเนื้อหาเวอร์ชันเก่าและไม่ได้ดูแลแพตช์อย่างสม่ำเสมอ ซึ่งมักถูกใช้เป็นฐานกระจายมัลแวร์โดยที่เจ้าของเว็บไม่รู้ตัว

อีกประเด็นที่กระทบไทยโดยตรงคือแบ็กดอร์ Android ที่แจกจ่ายผ่านแอปแชตโดยปลอมเป็นเครื่องมือด้านความปลอดภัย ซึ่งเป็นรูปแบบเดียวกับที่คนไทยจำนวนมากเผชิญอยู่แล้วจากมิจฉาชีพที่หลอกให้ติดตั้งแอปนอก Play Store การที่มัลแวร์เลือกดึงไฟล์ตั้งค่า VPN อย่าง .ovpn และ .conf ยังหมายความว่าเครื่องส่วนตัวของพนักงานที่ใช้เชื่อมต่อเข้าระบบองค์กรอาจกลายเป็นทางเข้าสู่เครือข่ายภายในได้ องค์กรที่ใช้นโยบายให้พนักงานใช้อุปกรณ์ส่วนตัวทำงาน (BYOD) จึงมีความเสี่ยงสูงเป็นพิเศษ

สุดท้าย การใช้บริการที่ถูกกฎหมายอย่าง Dropbox และ steamcommunity[.]com เป็นช่องทางรับส่งคำสั่งและข้อมูล ทำให้แนวป้องกันแบบปิดกั้นโดเมนอันตรายที่หลายองค์กรไทยใช้อยู่แทบไม่มีผล เพราะโดเมนเหล่านี้ถูกอนุญาตอยู่แล้วในนโยบายไฟร์วอลล์ทั่วไป

คำแนะนำ

ผู้ดูแลระบบควรตั้งกฎตรวจจับและแจ้งเตือนเมื่อพบการรัน PowerShell ที่มีต้นทางจากกระบวนการของเบราว์เซอร์หรือจากหน้าต่าง Run ของ Windows โดยเฉพาะคำสั่งที่มีการดาวน์โหลดไฟล์หรือเข้ารหัสแบบ Base64 พร้อมเปิดการบันทึกล็อกแบบ Script Block Logging ไว้เสมอ และหากเป็นไปได้ควรจำกัดสิทธิ์การใช้ PowerShell สำหรับผู้ใช้ทั่วไปที่ไม่จำเป็นต้องใช้งาน

ควรตรวจสอบไดเรกทอรี Startup ของผู้ใช้ทุกรายเพื่อหาไฟล์ VBS หรือสคริปต์ที่ไม่พึงประสงค์ ซึ่งเป็นจุดฝังตัวหลักของแคมเปญนี้ พร้อมทั้งเฝ้าระวังการเชื่อมต่อออกไปยัง API ของ Dropbox และ steamcommunity[.]com จากเครื่องที่ไม่มีเหตุผลทางธุรกิจต้องใช้บริการเหล่านั้น

ในด้านผู้ใช้งาน ควรสื่อสารให้พนักงานเข้าใจอย่างชัดเจนว่าเว็บไซต์ที่ถูกต้องตามกฎหมายจะไม่มีวันขอให้คัดลอกคำสั่งไปวางใน PowerShell, Command Prompt หรือหน้าต่าง Run เพื่อยืนยันว่าไม่ใช่บอต และควรอบรมให้รู้จักหน้าตาของกล่อง CAPTCHA ปลอมชนิดนี้ นอกจากนี้ต้องกำหนดนโยบายห้ามติดตั้งแอปพลิเคชัน Android จากไฟล์ APK ที่ได้รับผ่านแอปแชต แม้จะอ้างว่าเป็นเครื่องมือด้านความปลอดภัยก็ตาม พร้อมเปิดใช้ Google Play Protect และพิจารณาใช้โซลูชันจัดการอุปกรณ์เคลื่อนที่ (MDM) สำหรับเครื่องที่เข้าถึงข้อมูลองค์กร

สำหรับผู้ดูแลเว็บไซต์ ควรตรวจสอบว่าเว็บของตนไม่ได้ถูกฝังสคริปต์แปลกปลอม โดยเฉพาะโค้ดที่เรียกใช้ไลบรารีเชื่อมต่อบล็อกเชนหรือดึงข้อมูลจาก smart contract ซึ่งแทบไม่มีเหตุผลใดที่เว็บไซต์ธุรกิจทั่วไปจะต้องใช้

Indicators of Compromise (IoCs)

หมายเหตุ: indicator ด้านล่างถูก defang แล้ว (แทนที่จุดด้วย [.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ

แหล่งอ้างอิง

• The Hacker News — UAC-0145 Uses ClickFix CAPTCHAs to Infect Ukrainian Devices with Malware
• CERT-UA — ทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์แห่งยูเครน
• MITRE ATT&CK — Sandworm Team (G0034)