APT42 อิหร่านยกระดับฟิชชิงด้วย AI — สร้างตัวตนปลอมคุยสร้างความสนิทหลายสัปดาห์ ก่อนปล่อยมัลแวร์ TAMECAT ใส่เจ้าหน้าที่รัฐและกลาโหม

สรุปสั้น

กลุ่มจารกรรมไซเบอร์ APT42 ซึ่งเชื่อมโยงกับอิหร่าน ได้ขยายปฏิบัติการฟิชชิงของตนด้วยการนำปัญญาประดิษฐ์เข้ามาช่วยค้นคว้าข้อมูลเป้าหมาย สร้างตัวตนปลอมที่ดูน่าเชื่อถือ และพัฒนามัลแวร์ TAMECAT ให้มีความทนทานต่อการถูกตัดวงจรมากขึ้น โดยแคมเปญนี้พุ่งเป้าไปที่เจ้าหน้าที่ระดับสูงของหน่วยงานรัฐและกลาโหม ผู้เชี่ยวชาญด้านนโยบาย และในบางกรณียังลามไปถึงสมาชิกครอบครัวที่เกี่ยวข้องกับบุคคลเป้าหมายมูลค่าสูงด้วย

สิ่งที่ทำให้แคมเปญนี้ต่างจากฟิชชิงทั่วไปคือ กลุ่มนี้ไม่ได้อาศัยการหว่านอีเมลน่าสงสัยจำนวนมาก แต่เลือกสร้างความไว้วางใจผ่านคำเชิญที่ดูสมจริง การสนทนาที่ยืดเยื้อต่อเนื่อง และการส่งข้อความผ่านหลายช่องทางทั้งอีเมลส่วนตัว บัญชีอีเมลองค์กร และ WhatsApp นักวิจัยระบุว่าผู้ปฏิบัติการยอมใช้เวลาหลายวันจนถึงหลายสัปดาห์สร้างความสนิทสนมก่อนจะส่งลิงก์อันตราย ทำให้วิธีสังเกตฟิชชิงแบบเดิม เช่น การดูไวยากรณ์ผิดหรือข้อความที่เขียนกว้าง ๆ ใช้ไม่ได้ผลอีกต่อไป

นักวิเคราะห์จากบริษัท DarkAtlas ระบุว่ากิจกรรมล่าสุดนี้เป็นการผสมผสานระหว่างฟิชชิงที่อาศัยความสัมพันธ์ การขโมยข้อมูลรับรอง และการส่งมัลแวร์เข้าสู่เครื่องเป้าหมาย ผลลัพธ์คือแคมเปญที่ขโมยได้ทั้งบัญชีผู้ใช้และการเข้าถึงอุปกรณ์ของเหยื่อในระยะยาว และกิจกรรมล่าสุดของ TAMECAT ยังแสดงให้เห็นว่าผู้โจมตีไม่ได้พึ่งพาวิธีส่งมัลแวร์วิธีเดียว ผู้ให้บริการโฮสต์รายเดียว หรือช่องทางสั่งการช่องทางเดียวในการรักษาปฏิบัติการให้อยู่รอด

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 21 กรกฎาคม 2569 ว่าบริษัท DarkAtlas ได้เผยแพร่รายงานที่แบ่งปันกับทางเว็บไซต์ ระบุว่ากลุ่ม APT42 ใช้ AI เชิงสร้างสรรค์ (Generative AI) ในการค้นคว้าข้อมูลเป้าหมาย สร้างตัวตนที่น่าเชื่อถือ แปลข้อความ พัฒนาโค้ด และปรับปรุงเหยื่อล่อที่ใช้ในการหลอกลวงทางจิตวิทยา ซึ่งเท่ากับว่า AI เข้ามาช่วยลดต้นทุนในทุกขั้นตอนของงานที่เดิมต้องใช้คนที่มีทักษะภาษาและความรู้เฉพาะด้าน

แคมเปญที่ถูกเรียกว่า SpearSpecter ใช้ธีมเชิงวิชาชีพในการเข้าหาเป้าหมาย เช่น คำเชิญร่วมงานประชุม การขอสัมภาษณ์ และเอกสารประกอบการประชุม ซึ่งล้วนเป็นเรื่องที่นักวิชาการ ผู้เชี่ยวชาญด้านนโยบาย และเจ้าหน้าที่ระดับสูงพบเจอเป็นปกติในการทำงาน จุดที่อันตรายคือผู้ปฏิบัติการใช้เวลาสร้างความสัมพันธ์ก่อนหลายวันถึงหลายสัปดาห์ ทำให้เมื่อลิงก์อันตรายมาถึง เหยื่อได้ผ่านการสนทนาที่ดูปกติมาแล้วหลายรอบและไม่มีเหตุให้สงสัย

นอกจากการส่งมัลแวร์แล้ว กิจกรรมของ APT42 ยังรวมถึงหน้าเว็บเก็บเกี่ยวข้อมูลรับรองที่เลียนแบบบริการเอกสารบนคลาวด์ โดยในปฏิบัติการเมื่อเดือนมีนาคม 2569 ผู้โจมตีใช้ไฟล์ PDF ที่ไม่มีพิษภัยซึ่งโฮสต์อยู่บน OneDrive จริงเป็นตัวสร้างความไว้วางใจก่อน แล้วจึงส่งลิงก์ถัดไปที่พาเหยื่อไปยังหน้าล็อกอินปลอมที่ผู้โจมตีควบคุม กลยุทธ์นี้คล้ายกับการฟิชชิงขโมยบัญชีผ่าน OneDrive ที่พบมากในช่วงหลัง และเป็นเหตุผลที่ทีมความปลอดภัยควรตรวจสอบบทสนทนาทั้งสาย ไม่ใช่ตัดสินว่าผู้ส่งปลอดภัยเพียงเพราะลิงก์แรกที่ส่งมาเป็นลิงก์ที่ถูกต้องจริง

สัญญาณเตือนที่ทีมความปลอดภัยควรถือเป็นจุดต้องตรวจสอบคือ การที่คู่สนทนาย้ายช่องทางจากอีเมลส่วนตัวไปยังอีเมลองค์กรหรือ WhatsApp อย่างกะทันหัน การเปลี่ยนปลายทางของเอกสาร หรือการขอให้ผู้รับล็อกอินซ้ำ ทั้งหมดนี้ควรถูกยืนยันผ่านช่องทางอิสระที่แยกจากบทสนทนาเดิมเสมอ

วิธีการโจมตี

เส้นทางส่งมัลแวร์เส้นหนึ่งที่นักวิจัยพบ เริ่มจากการพาเหยื่อไปยังหน้าเว็บที่กระตุ้นตัวจัดการโปรโตคอล search-ms ของ Windows แล้วขอให้ผู้ใช้เปิด File Explorer หากผู้ใช้กดอนุญาต Explorer จะเชื่อมต่อไปยังแชร์แบบ WebDAV ที่ผู้โจมตีควบคุม ซึ่งมีไฟล์ทางลัด (Shortcut) ที่ปลอมตัวเป็นไฟล์ PDF รออยู่ เมื่อไฟล์ทางลัดถูกเรียกใช้ มันจะเปิด Command Prompt ดาวน์โหลดไฟล์แบตช์ แล้วใช้ PowerShell ดึงส่วนประกอบเพิ่มเติมเข้ามา เทคนิคนี้สะท้อนแนวโน้มการใช้ WebDAV ของ Windows เป็นช่องส่งไฟล์ที่กว้างขึ้น เพราะทำให้ไฟล์ที่อยู่บนเครื่องระยะไกลดูเหมือนไฟล์ปกติในสายตาผู้ใช้ที่คิดว่ากำลังเปิดเอกสารธรรมดา

TAMECAT ไม่ได้เป็นเพียงตัวดาวน์โหลดธรรมดา แต่มีความสามารถเก็บคุกกี้และข้อมูลรับรองจากเบราว์เซอร์ ค้นหาไฟล์ จับภาพหน้าจอ เข้าถึงข้อมูลกล่องจดหมาย Outlook รันคำสั่ง รวบรวมข้อมูลที่ขโมยได้เป็นชุด และส่งออกผ่านหลายช่องทาง ทั้ง HTTPS, Discord และ Telegram การใช้บริการที่ถูกกฎหมายเป็นช่องส่งข้อมูลออกทำให้ทราฟฟิกกลืนไปกับการใช้งานปกติขององค์กร และการที่มีหลายช่องทางสำรองทำให้การบล็อกช่องทางใดช่องทางหนึ่งไม่สามารถตัดวงจรปฏิบัติการได้

ความสามารถขโมยคุกกี้เบราว์เซอร์เป็นจุดที่ต้องเน้นเป็นพิเศษ เพราะสร้างความเสี่ยงด้านตัวตนอย่างร้ายแรง การเปลี่ยนรหัสผ่านเพียงอย่างเดียว ไม่เพียงพอ ที่จะตัดการเข้าถึงของผู้โจมตี เนื่องจากคุกกี้เซสชันที่ถูกขโมยไปยังใช้เข้าระบบได้ต่อไป องค์กรที่สงสัยว่าเครื่องติดมัลแวร์จึงต้องเพิกถอนเซสชันที่ยังทำงานอยู่และโทเคนรีเฟรชทั้งหมด ตรวจสอบข้อมูลรับรองที่เก็บไว้ในเบราว์เซอร์ และสอบสวนการล็อกอินที่น่าสงสัยควบคู่กันไปด้วย

สำหรับการตรวจจับบนอุปกรณ์ปลายทาง นักวิจัยแนะนำให้โฟกัสที่ลำดับเหตุการณ์ที่เชื่อมโยงกัน มากกว่าจะดูเหตุการณ์เดี่ยว ๆ ได้แก่ การที่เบราว์เซอร์เปิด search-ms, การที่ rundll32.exe เรียกใช้ davclnt.dll เพื่อสร้างการเข้าถึง WebDAV, การที่ไฟล์ LNK จากเครื่องระยะไกลเปิด cmd.exe และการที่ curl หรือ PowerShell ดึงเนื้อหาเข้ามา ลำดับเหตุการณ์เช่นนี้เป็นสัญญาณเตือนที่หนักแน่นกว่าการดูโดเมน ค่าแฮชของไฟล์ หรือเหตุการณ์ของโปรเซสเพียงอย่างเดียวมาก

ผลกระทบต่อไทย

แม้เป้าหมายหลักของ APT42 จะเป็นเจ้าหน้าที่รัฐและกลาโหมในภูมิภาคที่อิหร่านให้ความสนใจ แต่รูปแบบการโจมตีในแคมเปญนี้ถ่ายทอดไปใช้กับองค์กรไทยได้ทันที โดยเฉพาะหน่วยงานด้านการต่างประเทศ ความมั่นคง สถาบันวิจัยนโยบาย และมหาวิทยาลัยที่มีความร่วมมือระหว่างประเทศ เพราะบุคลากรกลุ่มนี้ได้รับคำเชิญประชุมวิชาการและคำขอสัมภาษณ์จากคนแปลกหน้าเป็นเรื่องปกติในการทำงานอยู่แล้ว

ประเด็นที่กระทบตรงที่สุดคือการที่ผู้โจมตีย้ายบทสนทนาไปยัง WhatsApp และอีเมลส่วนตัว ซึ่งเป็นพฤติกรรมที่พบได้ทั่วไปมากในบริบทการทำงานของไทย ที่การติดต่อประสานงานผ่านแอปแชตส่วนตัวถือเป็นเรื่องปกติ ช่องทางเหล่านี้อยู่นอกเหนือระบบกรองอีเมลและระบบเฝ้าระวังขององค์กรทั้งหมด ทำให้ทีมความปลอดภัยแทบไม่มีทางเห็นขั้นตอนการสร้างความสนิทสนมที่เกิดขึ้นก่อนการโจมตีจริงเลย

นอกจากนี้ การที่แคมเปญขยายเป้าหมายไปถึงสมาชิกครอบครัวของบุคคลสำคัญ เป็นเรื่องที่องค์กรไทยแทบไม่เคยรวมไว้ในแบบจำลองภัยคุกคาม เพราะเครื่องคอมพิวเตอร์ที่บ้านและบัญชีส่วนตัวของครอบครัวไม่ได้อยู่ภายใต้การควบคุมขององค์กร แต่กลับเป็นเส้นทางที่ผู้โจมตีใช้เข้าถึงตัวบุคคลเป้าหมายได้ในที่สุด

คำแนะนำ

ผู้ใช้ที่มีความเสี่ยงสูง เช่น ผู้บริหารระดับสูง เจ้าหน้าที่ด้านความมั่นคง และนักวิจัยนโยบาย ควรใช้การยืนยันตัวตนหลายปัจจัยชนิดที่ต้านฟิชชิงได้ เช่น กุญแจความปลอดภัย FIDO2 หรือ Passkey ซึ่งไม่สามารถถูกหลอกให้กรอกในหน้าเว็บปลอมได้ ขณะเดียวกันองค์กรควรปิดการยืนยันตัวตนแบบเดิม (Legacy Authentication) ทุกที่ที่ทำได้ เพราะเป็นช่องทางที่ข้ามการบังคับใช้ MFA ได้

ทีมความปลอดภัยควรเฝ้าระวังกฎกล่องจดหมายที่ผิดปกติ การเปลี่ยนแปลงการส่งต่ออีเมล การอนุญาตสิทธิ์ OAuth ใหม่ การเปลี่ยนช่องทางกู้คืนบัญชี และการนำโทเคนเซสชันกลับมาใช้ซ้ำ โดยเฉพาะหลังพบการติดต่อที่น่าสงสัย เพราะสิ่งเหล่านี้คือร่องรอยที่ผู้โจมตีทิ้งไว้เพื่อรักษาการเข้าถึงระยะยาว

หากสงสัยว่าเครื่องติดมัลแวร์ TAMECAT ให้ถือว่าข้อมูลรับรองและคุกกี้ในเบราว์เซอร์รั่วไหลทั้งหมด ขั้นตอนที่ต้องทำคือเพิกถอนเซสชันและโทเคนรีเฟรชทุกตัว เปลี่ยนรหัสผ่านทุกบัญชีที่เคยเก็บไว้ในเบราว์เซอร์ และตรวจสอบประวัติการล็อกอินย้อนหลัง ไม่ใช่เพียงรีเซ็ตรหัสผ่านแล้วจบ

ในเชิงกระบวนการทำงาน ควรกำหนดเป็นวัฒนธรรมองค์กรว่าคำขอที่ให้ล็อกอินซ้ำ การเปลี่ยนช่องทางติดต่อกะทันหัน หรือการเปลี่ยนปลายทางของเอกสาร ต้องถูกยืนยันผ่านช่องทางอิสระเสมอ ไม่ว่าจะคุยกันมานานเพียงใดก็ตาม เพราะจุดแข็งของแคมเปญนี้คือความอดทนในการสร้างความไว้วางใจ ซึ่งเอาชนะได้ด้วยขั้นตอนการยืนยันที่บังคับใช้เป็นระบบเท่านั้น สุดท้าย การตรวจสอบว่าการเข้าถึงกลายเป็นการถูกเจาะจริงหรือไม่ ต้องอาศัยการนำประวัติอีเมล ข้อมูลเทเลเมทรีจากอุปกรณ์ปลายทาง ล็อกด้านตัวตน และข่าวกรองด้านโครงสร้างพื้นฐานมาประกอบกัน ไม่สามารถดูจากแหล่งใดแหล่งหนึ่งได้

Indicators of Compromise (IoCs)

หมายเหตุ: โดเมนและหมายเลขไอพีข้างต้นถูกทำ defang แล้ว (แทน . ด้วย [.]) เพื่อป้องกันการเชื่อมโยงหรือเปิดโดยไม่ตั้งใจ ควรแปลงกลับเฉพาะภายในแพลตฟอร์มข่าวกรองภัยคุกคามที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM ขององค์กรเท่านั้น รายการ IoC ฉบับเต็มซึ่งรวมค่าแฮชของโมดูลทั้งหมดอยู่ในรายงานของบริษัท DarkAtlas

แหล่งอ้างอิง

• APT42 Uses AI-Assisted Phishing and TAMECAT Malware to Target Government and Defense Officials — Cyber Security News
• DarkAtlas Research
• MITRE ATT&CK — APT42