สรุปสั้น

มัลแวร์ประเภทโทรจันเข้าถึงระยะไกล (Remote Access Trojan — RAT) ตัวใหม่ที่ชื่อว่า Dolphin X กำลังถูกจับตา เพราะอ้างว่ามีฟีเจอร์การทำโปรไฟล์ด้วยปัญญาประดิษฐ์ (AI) ที่ช่วยให้คะแนนและจัดอันดับผู้ที่ติดมัลแวร์ เพื่อให้อาชญากรไซเบอร์รู้ว่าควรพุ่งเป้าโจมตีเหยื่อรายใดก่อน มัลแวร์ตัวนี้ถูกวิเคราะห์โดยนาย Daniel Kelley นักวิจัยจากบริษัท Varonis Threat Labs ซึ่งพบว่ามันถูกโฆษณาขายในฟอรัมอาชญากรรมไซเบอร์โดยผู้ขายที่ใช้นามแฝงว่า “Kontraktnik” และโปรโมตว่าเป็นโทรจันเข้าถึงระยะไกลแบบครบวงจร แผงควบคุมของผู้ปฏิบัติการ (Operator Panel) ระบุความสามารถถึง 329 ฟีเจอร์ใน 10 หมวดหมู่ รวมถึงฟีเจอร์ขโมยข้อมูลรับรอง (Credential) ที่อ้างว่าเล็งเป้าแอปพลิเคชันมากกว่า 300 ตัว แต่จุดที่โดดเด่นที่สุดคือ “AI Profiler” ที่วิเคราะห์ข้อมูลจากเครื่องที่ติดมัลแวร์แล้วกำหนดคะแนนความเสี่ยงให้เหยื่อแต่ละราย ทั้งนี้ บริษัท Varonis ได้ข้อมูลแผงควบคุม Dolphin X มาวิเคราะห์ในห้องแล็บที่แยกออกมา โดยตรวจสอบตัว builder และการรับส่งข้อมูลเครือข่าย มากกว่าจะรันเอเจนต์ Dolphin X ที่ทำงานจริงบนเครื่องที่ติดมัลแวร์ ดังนั้นความสามารถในการเก็บข้อมูลที่โฆษณาไว้จึงยังไม่ได้รับการยืนยันโดยอิสระ

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 23 กรกฎาคม 2569 ว่า มีมัลแวร์ Remote Access Trojan ตัวใหม่ชื่อ Dolphin X ที่อ้างว่าใช้ฟีเจอร์การทำโปรไฟล์ด้วย AI เพื่อให้คะแนนและจัดอันดับผู้ที่ติดมัลแวร์ ช่วยให้อาชญากรไซเบอร์ระบุได้ว่าเหยื่อรายใดควรถูกโจมตีก่อน มัลแวร์ตัวนี้ถูกวิเคราะห์โดยนาย Daniel Kelley นักวิจัยจากบริษัท Varonis Threat Labs ซึ่งพบมันถูกโฆษณาในฟอรัมอาชญากรรมไซเบอร์โดยผู้ขายนามแฝง “Kontraktnik” ตามข้อมูลของ Varonis แผงควบคุมของผู้ปฏิบัติการระบุความสามารถ 329 ฟีเจอร์ใน 10 หมวดหมู่ ซึ่งรวมถึงฟีเจอร์ขโมยข้อมูลรับรองที่อ้างว่าเล็งเป้าแอปมากกว่า 300 ตัว โดยฟีเจอร์ที่น่าจับตาที่สุดคือ “AI Profiler” ที่วิเคราะห์ข้อมูลจากเครื่องเหยื่อและกำหนดคะแนนความเสี่ยง ผู้ขายอธิบายว่ามันเป็น “เครื่องมือทำโปรไฟล์พฤติกรรมด้วย AI ที่ติดตามการใช้งานแอป ให้คะแนนความเสี่ยง และสรุปผลรายวัน” ทั้งนี้ นาย Kelley เน้นย้ำว่า Varonis ได้ตรวจสอบตัว builder และการรับส่งข้อมูลเครือข่ายในห้องแล็บที่แยกออกมา แต่ไม่ได้รันตัวอย่างมัลแวร์ที่ทำงานจริง จึงยังไม่สามารถยืนยันความสามารถทั้งหมดที่ถูกโฆษณาไว้ได้อย่างอิสระ

Dolphin X remote access trojan AI profiler ranks victims

AI Profiler จัดอันดับเหยื่อให้ผู้โจมตี

มัลแวร์ขโมยข้อมูลรับรองสามารถขโมยข้อมูลรับรองสำหรับบัญชีออนไลน์ได้หลายร้อยหรือหลายพันบัญชี ทำให้การไล่ตรวจด้วยมือเพื่อหาเป้าหมายมูลค่าสูงเป็นเรื่องยาก AI Profiler ของ Dolphin X อ้างว่าจะทำงานนี้ให้อัตโนมัติ โดยทำหน้าที่เป็นระบบคัดแยกที่ให้คะแนน จัดหมวดหมู่ และจัดอันดับเครื่องที่ติดมัลแวร์ เพื่อให้ผู้โจมตีรู้ว่าเครื่องใดมีมูลค่าสูงที่สุดที่ควรเจาะต่อ แผงควบคุมอ้างว่า AI Profiler สามารถประมวลผลการใช้งานแอปพลิเคชันของเหยื่อ คะแนนความเสี่ยงและแท็ก โดเมนที่เข้าเบราว์เซอร์ และซอฟต์แวร์ที่ติดตั้ง เพื่อสร้างโปรไฟล์ที่ถูกจัดอันดับ คะแนนเหล่านี้จะถูกส่งให้ผู้โจมตีในรูปแบบสรุปรายวันที่มีโปรไฟล์เหยื่อเรียงตามอันดับ ทำให้พวกเขาสามารถให้ความสำคัญกับเครื่องที่อาจให้การเข้าถึงบัญชีมีค่า สกุลเงินดิจิทัล เครือข่ายองค์กร สภาพแวดล้อมคลาวด์ หรือระบบที่ใช้งานจริง (Production) ได้ก่อน

นาย Kelley ระบุว่าในทางปฏิบัติ ฟีเจอร์นี้ดูเหมือนออกแบบมาเพื่อช่วยผู้ปฏิบัติการคัดกรองเหยื่อ (Triage) และเขายืนยันกับ BleepingComputer ว่า AI Profiler มีอยู่จริงในแผงควบคุม พร้อมพบสตริงทางเทคนิคที่สนับสนุนกระบวนการทำโปรไฟล์ เช่น Auto-Start AI Profiler, ProfilerStart, ProfilerGetData, risk_score, risk_factors และ categoryusage ซึ่งบ่งชี้ว่ากระบวนการทำโปรไฟล์ถูกรวมไว้จริงและแผงควบคุมสามารถประมวลผลข้อมูลที่จำเป็นเพื่อจัดอันดับเหยื่อได้ อย่างไรก็ตาม Varonis ยังไม่สามารถระบุได้ว่าใช้เอนจิน AI ตัวใดในการสร้างการจัดอันดับ หากไม่ได้วิเคราะห์ตัวอย่างมัลแวร์ Dolphin X ที่ทำงานจริง นอกจากบทบาทการทำโปรไฟล์แล้ว มัลแวร์ยังทำงานเป็นตัวขโมยข้อมูลรับรอง (Infostealer) โดยแผงควบคุมแสดงว่าเล็งเป้าแอปมากกว่า 300 ตัว รวมถึงเบราว์เซอร์ตระกูล Chromium และ Gecko 9 ตัว ส่วนขยายกระเป๋าคริปโต 100 ตัว กระเป๋าคริปโตแบบเดสก์ท็อป 65 ตัว โปรแกรมจัดการรหัสผ่าน 10 ตัว และเครื่องมือคอมมานด์ไลน์สำหรับคลาวด์กว่า 30 ตัว อีกทั้งยังอ้างว่าขโมยไฟล์ .env, กุญแจ SSH, โทเคนการเข้าถึงคลาวด์, ข้อมูลล็อกอินเบราว์เซอร์, ข้อมูลกระเป๋าคริปโต และข้อมูลรับรองอื่นๆ ของนักพัฒนา

ผลกระทบต่อไทย

Dolphin X สะท้อนแนวโน้มที่น่ากังวลของการนำ AI มาเพิ่มประสิทธิภาพให้อาชญากรรมไซเบอร์ จากเดิมที่มัลแวร์ขโมยข้อมูล (Infostealer) กวาดข้อมูลรับรองมาเป็นจำนวนมหาศาลจนผู้โจมตีไล่ตรวจไม่ไหว การมี AI ช่วยคัดกรองและจัดอันดับเหยื่อ “มูลค่าสูง” ให้อัตโนมัติจะทำให้ผู้โจมตีพุ่งเป้าไปที่บัญชีองค์กร ผู้ดูแลระบบคลาวด์ หรือผู้ถือครองคริปโตได้เร็วและแม่นยำขึ้น ในบริบทไทยที่ Infostealer เป็นหนึ่งในสาเหตุหลักของเหตุบัญชีองค์กรถูกยึดและข้อมูลรั่วไหลอยู่แล้ว พนักงานที่ดาวน์โหลดซอฟต์แวร์เถื่อน โปรแกรมแคร็ก หรือกดลิงก์ในอีเมลฟิชชิงมีความเสี่ยงสูงที่จะติดมัลแวร์กลุ่มนี้ และหากเครื่องที่ติดเป็นของผู้มีสิทธิ์เข้าถึงระบบสำคัญ ก็จะถูก AI Profiler จัดให้อยู่อันดับต้นๆ ที่ผู้โจมตีเลือกเจาะต่อทันที องค์กรไทยจึงควรถือว่าข้อมูลรับรองที่ถูกขโมยไปคือประตูสู่การบุกรุกที่ร้ายแรงกว่าเดิม

คำแนะนำ

องค์กรควรเปิดใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) กับทุกบัญชีสำคัญ โดยเฉพาะบัญชีผู้ดูแลระบบ คลาวด์ และเครื่องมือของนักพัฒนา เพื่อลดผลกระทบแม้ข้อมูลรับรองจะถูกขโมยไป ควรบังคับใช้นโยบายห้ามดาวน์โหลดและติดตั้งซอฟต์แวร์นอกช่องทางที่ได้รับอนุญาต ติดตั้งโซลูชัน Endpoint Detection and Response (EDR) เพื่อตรวจจับพฤติกรรมของ RAT และ Infostealer และหมั่นตรวจสอบไฟล์อ่อนไหวอย่าง .env, กุญแจ SSH และโทเคนคลาวด์ว่าไม่ถูกเก็บไว้ในที่ที่ไม่ปลอดภัย นักพัฒนาควรใช้ตัวจัดการความลับ (Secrets Manager) แทนการเก็บโทเคนไว้ในไฟล์บนเครื่อง และหมุนเวียน (Rotate) กุญแจและโทเคนเป็นระยะ หากสงสัยว่าเครื่องติดมัลแวร์ ควรถือว่าข้อมูลรับรองทั้งหมดบนเครื่องนั้นรั่วไหลแล้ว และรีบเปลี่ยนรหัสผ่านพร้อมเพิกถอนเซสชันและโทเคนที่เกี่ยวข้องทันที

แหล่งอ้างอิง