HelloNet — ผู้โจมตีฉวยใช้ระบบอัปเดตของ ViPNet เจาะหน่วยงานรัฐและโครงสร้างพื้นฐานของรัสเซีย

สรุปสั้น

นักวิจัยจากบริษัท Kaspersky เปิดเผยแคมเปญโจมตีที่ตั้งชื่อว่า HelloNet ซึ่งกลุ่มผู้โจมตีระดับสูงฉวยใช้กลไกการอัปเดตของ ViPNet ชุดผลิตภัณฑ์ด้านความปลอดภัยเครือข่ายสัญชาติรัสเซีย เป็นช่องทางฝังมัลแวร์เข้าสู่องค์กรเป้าหมายในรัสเซีย รวมถึงหน่วยงานภาครัฐ แคมเปญนี้เคลื่อนไหวมาตั้งแต่อย่างน้อยเดือนพฤษภาคม 2569 และส่งเพย์โหลดที่ทำหน้าที่ทั้งเป็นพร็อกซีและตัวโหลด (Loader) เพื่อดึงมัลแวร์ตัวอื่นเข้ามาเพิ่ม โดยองค์กรที่ได้รับผลกระทบครอบคลุมภาครัฐ พลังงาน ขนส่ง การศึกษา และโลจิสติกส์ ซึ่งล้วนเป็นภาคส่วนที่มีคุณค่าทางข่าวกรองสูง

จุดสำคัญของแคมเปญคือผู้โจมตีวางไฟล์อันตรายชื่อ wtsapi32.dll ที่ Kaspersky เรียกว่า HelloInjector ไว้ในไดเรกทอรีของระบบอัปเดต ViPNet บนเครื่องเป้าหมาย เพื่อให้ถูกโหลดแบบ side-loading ผ่านโปรแกรมที่ถูกต้องชื่อ itcsrvup64.exe ตอนเครื่องเริ่มทำงาน จากนั้น DLL ดังกล่าวจะฉีดโค้ดเข้าไปในโปรเซส svchost.exe ทำให้เพย์โหลดชั้นถัดไปได้สิทธิ์สูงบน Windows และคงอยู่ข้ามการรีบูต ที่ต้องเน้นย้ำคือ Kaspersky ไม่ได้อธิบายว่าผู้โจมตีเข้ามาแก้ไขไฟล์บนเครื่องได้อย่างไรตั้งแต่แรก และ ไม่ได้ระบุว่าโครงสร้างพื้นฐานการอัปเดตของ ViPNet เองถูกเจาะ ส่วนการระบุตัวผู้อยู่เบื้องหลังนั้น Kaspersky ชี้ไปที่กลุ่ม APT ที่ใช้ภาษาจีนซึ่งยังไม่ทราบชื่อ แต่ให้ระดับความเชื่อมั่นต่ำมาก และไม่ตัดความเป็นไปได้ว่าเป็นปฏิบัติการปักธงลวง (False Flag)

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 19 กรกฎาคม 2569 ว่ากลุ่มผู้โจมตีระดับสูงกำลังฉวยใช้กลไกการอัปเดตของชุดผลิตภัณฑ์เครือข่ายส่วนตัว ViPNet เพื่อโจมตีองค์กรในรัสเซีย โดยอ้างอิงงานวิจัยของบริษัท Kaspersky ที่ตั้งชื่อแคมเปญนี้ว่า HelloNet

ViPNet เป็นชุดผลิตภัณฑ์ด้านความมั่นคงปลอดภัยสารสนเทศที่พัฒนาโดยบริษัท InfoTeCS ของรัสเซีย ให้บริการทั้ง VPN การป้องกันอุปกรณ์ปลายทาง การควบคุมการเข้าถึงเครือข่าย ไฟร์วอลล์ การจัดการใบรับรอง การบริหารจัดการแบบรวมศูนย์ รวมถึงระบบรับส่งข้อความและไฟล์ที่เข้ารหัส ผลิตภัณฑ์ตระกูลนี้ถูกใช้อย่างแพร่หลายในรัสเซีย และได้รับการรับรองจากทางการให้ใช้งานในหน่วยงานรัฐและสภาพแวดล้อมที่มีการกำกับดูแลเข้มงวด

ด้วยฐานผู้ใช้ที่กระจุกตัวอยู่ในองค์กรที่มีมูลค่าสูง ViPNet จึงตกเป็นเป้าของผู้โจมตีมาโดยตลอด ย้อนไปเมื่อเดือนเมษายน 2568 Kaspersky เคยรายงานว่ามีผู้โจมตีปลอมตัวเป็นการอัปเดตของ ViPNet มาแล้ว ครั้งนี้จึงไม่ใช่ครั้งแรกที่ผลิตภัณฑ์ด้านความปลอดภัยตัวนี้ถูกใช้เป็นเครื่องมือในการโจมตี ซึ่งสะท้อนความย้อนแย้งที่พบบ่อยขึ้นเรื่อยๆ คือซอฟต์แวร์ที่ถูกติดตั้งเพื่อป้องกันภัยกลับกลายเป็นเส้นทางที่ผู้โจมตีเลือกใช้ เพราะทำงานด้วยสิทธิ์สูงและมักถูกยกเว้นจากการตรวจสอบ

ในแง่การระบุตัวผู้อยู่เบื้องหลัง Kaspersky ระบุอย่างระมัดระวังว่าแคมเปญนี้อาจเป็นฝีมือของกลุ่ม APT ที่ใช้ภาษาจีนซึ่งยังไม่ทราบชื่อ แต่นักวิจัยเน้นย้ำว่าหลักฐานยังอ่อนมาก โดยอาศัยเพียงข้อความในโค้ดที่ไม่ได้ถูกใช้งานจริงซึ่งอ้างถึงเว็บไซต์จีน sina.com และเซิร์ฟเวอร์มิเรอร์สำหรับดาวน์โหลดมัลแวร์ที่โฮสต์อยู่ที่มหาวิทยาลัยวิทยาศาสตร์และเทคโนโลยีแห่งประเทศจีน ด้วยเหตุนี้ Kaspersky จึงให้ระดับความเชื่อมั่นต่ำ และไม่ตัดความเป็นไปได้ว่าอาจเป็นการจงใจทิ้งร่องรอยลวงเพื่อชี้เป้าไปผิดทาง

ทาง Kaspersky แนะนำให้องค์กรที่ใช้ซอฟต์แวร์ ViPNet เฝ้าระวังระบบอย่างละเอียด โดยเฉพาะทราฟฟิกที่วิ่งผ่านพอร์ต 5003 และ 5060 ซึ่งเป็นช่องทางของ HelloProxy รวมถึงพอร์ต 443 ที่ HelloBackdoor ใช้งาน

วิธีการโจมตี

ห่วงโซ่การโจมตีเริ่มจากการที่ผู้โจมตีวางไฟล์ wtsapi32.dll หรือ HelloInjector ลงในไดเรกทอรีของระบบอัปเดต ViPNet บนเครื่องเป้าหมาย เทคนิคที่ใช้คือ DLL side-loading กล่าวคืออาศัยลำดับการค้นหาไฟล์ไลบรารีของ Windows ทำให้โปรแกรมที่ถูกต้องอย่าง itcsrvup64.exe หยิบไฟล์ DLL ปลอมขึ้นมาโหลดแทนของจริงตอนระบบเริ่มทำงาน ข้อดีของวิธีนี้ในมุมผู้โจมตีคือโค้ดอันตรายถูกรันในบริบทของกระบวนการที่น่าเชื่อถือและมักอยู่ในรายการยกเว้นของระบบป้องกัน

HelloInjector ทำหน้าที่เป็นตัวโหลดชั้นแรก โดยฉีดโค้ดเข้าไปในโปรเซส svchost.exe ซึ่งเป็นกระบวนการปกติของ Windows ผลลัพธ์คือเพย์โหลดชั้นถัดไปได้สิทธิ์ระดับสูงและฝังตัวอยู่ข้ามการรีบูตเครื่อง จากนั้น HelloInjector จะรันเพย์โหลดที่ฝังอยู่ภายในตัวเองในหน่วยความจำ ซึ่ง Kaspersky ตั้งชื่อว่า HelloProxy แล้วติดต่อไปยังเซิร์ฟเวอร์ควบคุม (C2) เพื่อรับโมดูลเพิ่มเติมเข้ามาทำงานต่อ

โมดูลที่ถูกดึงเข้ามามีหลายตัวและแบ่งหน้าที่กันชัดเจน ตัวแรกคือ HelloExecutor ซึ่งเป็นแบ็กดอร์ที่สามารถรันคำสั่งและสำรวจเครือข่ายจากเครื่องที่ยึดได้ ตัวที่สองคือ HelloCleaner ซึ่งเป็นเครื่องมือลบข้อมูลล็อกของ ViPNet เพื่อปกปิดร่องรอยการโจมตี และยังพบอิมแพลนต์อีกตัวชื่อ HelloBackdoor ที่เขียนด้วยภาษา Rust รองรับทั้งการอัปโหลดและดาวน์โหลดไฟล์ รวมถึงการรันคำสั่ง

การมีเครื่องมือลบล็อกโดยเฉพาะอย่าง HelloCleaner เป็นสัญญาณบ่งชี้ที่ชัดเจนว่าผู้โจมตีตั้งใจอยู่ในระบบเป้าหมายระยะยาว ไม่ใช่การโจมตีเพื่อผลตอบแทนเร็วแบบแรนซัมแวร์ ขณะที่การเลือกเขียนอิมแพลนต์ด้วยภาษา Rust ก็เป็นแนวโน้มที่พบมากขึ้นในกลุ่มผู้โจมตีระดับสูง เพราะช่วยลดอัตราการตรวจจับจากลายเซ็นที่มีอยู่เดิม

ผลกระทบต่อไทย

แม้ ViPNet จะแทบไม่มีการใช้งานในประเทศไทย แต่บทเรียนจากแคมเปญนี้ตรงกับความเสี่ยงที่องค์กรไทยเผชิญอยู่จริง นั่นคือการที่ซอฟต์แวร์ด้านความปลอดภัยและระบบอัปเดตอัตโนมัติกลายเป็นเป้าหมายชั้นดีของผู้โจมตี เพราะผลิตภัณฑ์เหล่านี้ทำงานด้วยสิทธิ์ระดับระบบ ติดตั้งอยู่บนเครื่องจำนวนมากพร้อมกัน และมักถูกตั้งค่ายกเว้นไม่ให้ระบบป้องกันอื่นตรวจสอบ องค์กรไทยหลายแห่งใช้เอเจนต์จัดการอุปกรณ์ปลายทาง ระบบสำรองข้อมูล หรือเครื่องมือควบคุมระยะไกลในลักษณะเดียวกัน ซึ่งมีคุณสมบัติเสี่ยงเหมือนกันทุกประการ

เทคนิค DLL side-loading ที่ใช้ในแคมเปญนี้ก็ไม่ได้ผูกกับผลิตภัณฑ์ใดผลิตภัณฑ์หนึ่ง แต่เป็นเทคนิคพื้นฐานที่ใช้ได้กับซอฟต์แวร์เกือบทุกตัวบน Windows ที่โหลดไลบรารีจากไดเรกทอรีของตัวเอง ทีมความปลอดภัยในไทยจึงควรตั้งสมมติฐานว่าเทคนิคนี้จะถูกใช้กับซอฟต์แวร์ที่องค์กรตัวเองใช้อยู่ ไม่ใช่มองว่าเป็นเรื่องไกลตัวเพราะเป็นข่าวที่เกิดในรัสเซีย

อีกประเด็นที่ควรพิจารณาคือความไม่แน่นอนของการระบุตัวผู้โจมตี กรณีนี้เป็นตัวอย่างที่ดีว่าการชี้เป้าโดยอาศัยเพียงข้อความในโค้ดหรือที่ตั้งของเซิร์ฟเวอร์นั้นเปราะบางเพียงใด และการปักธงลวงเป็นเรื่องที่เกิดขึ้นได้จริง องค์กรไทยที่นำข้อมูลข่าวกรองภัยคุกคามมาใช้จึงควรให้น้ำหนักกับเทคนิคและตัวบ่งชี้มากกว่าชื่อกลุ่มผู้โจมตี

คำแนะนำ

องค์กรที่ใช้ซอฟต์แวร์ ViPNet ควรตรวจสอบไดเรกทอรีของระบบอัปเดตว่ามีไฟล์ wtsapi32.dll แปลกปลอมอยู่หรือไม่ และเฝ้าระวังทราฟฟิกที่วิ่งผ่านพอร์ต 5003, 5060 และ 443 ตามคำแนะนำของ Kaspersky

สำหรับองค์กรทั่วไป ควรตั้งกฎตรวจจับพฤติกรรมโหลด DLL ที่ผิดปกติของโปรแกรมที่ถูกต้อง โดยเฉพาะกรณีที่ไฟล์ DLL ในไดเรกทอรีโปรแกรมไม่มีลายเซ็นดิจิทัลหรือลายเซ็นไม่ตรงกับผู้พัฒนา รวมถึงเฝ้าระวังการฉีดโค้ดเข้าโปรเซส svchost.exe ซึ่งเป็นพฤติกรรมที่ไม่ควรเกิดขึ้นในการทำงานปกติ

ควรจำกัดสิทธิ์การเขียนไฟล์ในไดเรกทอรีติดตั้งของซอฟต์แวร์ที่ทำงานด้วยสิทธิ์ระบบ ให้เฉพาะบัญชีที่จำเป็นเท่านั้น และตรวจสอบว่ากลไกอัปเดตของผลิตภัณฑ์ที่ใช้มีการตรวจสอบลายเซ็นดิจิทัลของไฟล์ก่อนโหลดจริงหรือไม่

สำคัญไม่แพ้กันคือการส่งล็อกออกไปเก็บนอกเครื่องแบบเรียลไทม์ เพราะแคมเปญนี้มีเครื่องมือลบล็อกโดยเฉพาะ หากล็อกถูกเก็บไว้บนเครื่องเดียวกับที่ถูกเจาะ การสืบสวนย้อนหลังจะทำได้ยากมากหรือทำไม่ได้เลย และควรตั้งการแจ้งเตือนเมื่อพบว่าล็อกหายไปเป็นช่วงหรือบริการเก็บล็อกหยุดทำงานผิดปกติ

Indicators of Compromise (IoCs)

แหล่งอ้างอิง

• BleepingComputer — Hackers abuse ViPNet software to target Russian govt agencies
• Securelist by Kaspersky — งานวิจัยด้านภัยคุกคาม
• MITRE ATT&CK — DLL Side-Loading (T1574.002)