สรุปสั้น
นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์จากบริษัท Zscaler ThreatLabz ออกมาเปิดเผยแคมเปญโจมตีทางไซเบอร์รูปแบบใหม่ที่พุ่งเป้าไปยังหน่วยงานภาครัฐในภูมิภาคตะวันออกกลาง โดยผู้อยู่เบื้องหลังถูกประเมินว่ามีความเชื่อมโยงกับภูมิภาคเอเชียตะวันออก การบุกรุกครั้งนี้นำไปสู่การติดตั้งมัลแวร์ตระกูลใหม่ที่ไม่เคยมีรายงานมาก่อนถึง 3 ตัว ได้แก่ TELESHIM, MIXEDKEY และ BINDCLOAK ซึ่งบริษัทตรวจพบแคมเปญนี้เมื่อต้นเดือนกรกฎาคมที่ผ่านมา
จุดเด่นของปฏิบัติการนี้อยู่ที่แบ็กดอร์ (backdoor) ชื่อ TELESHIM ที่นำ Telegram API มาใช้เป็นช่องทางบัญชาการและควบคุม (C2) เพื่ออำพรางการสื่อสารให้กลมกลืนไปกับทราฟฟิกอินเทอร์เน็ตปกติ ทำให้ยากต่อการตรวจจับ ห่วงโซ่การโจมตีใช้หลายขั้นตอนเพื่อสร้างและรักษาการเข้าถึงเครื่องที่ติดมัลแวร์ ประกอบกับเทคนิคอำพรางโค้ด (code obfuscation) ที่ซับซ้อนและความสามารถในการตรวจจับสภาพแวดล้อมวิเคราะห์แบบเสมือน (virtualization) เพื่อหลบเลี่ยงการถอดรหัสของนักวิจัย จากหลักฐานหลายด้าน ทั้งที่อยู่ไอพีสาธารณะของผู้โจมตี การตั้งค่าภาษาบนเซิร์ฟเวอร์ Windows ตำแหน่งทางภูมิศาสตร์ และช่วงเวลาปฏิบัติการ ทำให้ประเมินได้ด้วยความมั่นใจระดับปานกลางถึงสูงว่าแคมเปญนี้เป็นฝีมือของผู้โจมตีจากเอเชียตะวันออก แต่ยังไม่สามารถระบุชื่อกลุ่มที่รู้จักได้ในขณะนี้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 กรกฎาคม 2569 ว่า นักวิจัยได้ตรวจพบกิจกรรมมุ่งร้ายครั้งใหม่จากผู้โจมตีที่มีความเชื่อมโยงกับเอเชียตะวันออก ซึ่งพุ่งเป้าไปยังหน่วยงานรัฐในตะวันออกกลาง โดยนาย Sudeep Singh ผู้จัดการอาวุโสฝ่ายวิจัย APT ของบริษัท Zscaler ThreatLabz ระบุในรายงานเชิงเทคนิคว่า แคมเปญนี้ใช้ห่วงโซ่การโจมตีแบบหลายขั้นตอน โดยมี TELESHIM ใช้ Telegram API เป็นช่องทาง C2 เพื่อกลืนไปกับทราฟฟิกที่ถูกกฎหมาย
ห่วงโซ่การโจมตีเริ่มต้นจากไฟล์ ISO ที่บรรจุไฟล์โปรแกรมที่ถูกกฎหมาย (RegSchdTask.exe) ซึ่งถูกใช้ในเทคนิค DLL side-loading เพื่อโหลดไฟล์ DLL อันตราย (AsTaskSched.dll) ที่เป็นแบ็กดอร์ 32 บิตบน Windows ชื่อ TELESHIM แบ็กดอร์ตัวนี้จะใช้ Telegram เป็น C2 เพื่อดึงองค์ประกอบขั้นถัดไปเข้ามา โดยเพย์โหลดสองตัวจะไปกระตุ้นห่วงโซ่ DLL side-loading ชั้นที่สอง ที่ประกอบด้วย GoProAlertService.exe และ pthreadVC2.dll ซึ่งตัวหลังทำหน้าที่เป็นตัวโหลดแบบสะท้อน (reflective loader) ที่มีชื่อรหัสว่า MIXEDKEY เพื่อถอดรหัสและรันเนื้อหาของไฟล์ปลายทาง
บริษัท Zscaler ระบุว่า ทั้ง TELESHIM และ MIXEDKEY อาศัยเทคนิคอำพรางโค้ดอย่างหนัก ทั้งการเข้ารหัสสตริง (string encryption) การทำให้ผังการทำงานแบนราบ (control flow flattening) การใช้เลขคณิตบูลีนผสม (mixed boolean arithmetic) และ opaque predicates เพื่อขัดขวางการวิศวกรรมย้อนกลับ นอกจากนี้ TELESHIM ยังมีวิธีตรวจจับสภาพแวดล้อมวิเคราะห์แบบเสมือนหลายวิธี เช่น การตรวจจับ hypervisor ผ่านคำสั่ง CPUID และการตรวจสอบความเร็ว RAM ผ่าน WMI สุดท้ายห่วงโซ่การโจมตีจบลงด้วยการติดตั้ง BINDCLOAK ซึ่งเป็น implant C2 ขนาด 64 บิตที่เขียนด้วยภาษา C++ และติดต่อไปยังเซิร์ฟเวอร์ภายนอกชื่อ cert.hypersnet[.]com
วิธีการโจมตี
หัวใจของการสื่อสาร C2 ของ TELESHIM รองรับข้อความสองประเภท ประเภทแรกคือข้อความควบคุม (control messages) ที่ใช้ลงทะเบียนเครื่องที่ติดมัลแวร์ด้วยการส่งที่อยู่ MAC ของเครื่อง รันคำสั่งที่ได้รับ และส่งผลลัพธ์กลับไปยังเซิร์ฟเวอร์เป็นชิ้นๆ หากผลลัพธ์มีขนาดเกิน 1,000 ไบต์ ประเภทที่สองคือข้อความดาวน์โหลดและรัน (download and execute) ที่ใช้ดึงและรันเพย์โหลดขั้นถัดไปในรูปของ scheduled task
สิ่งที่น่าสังเกตเกี่ยวกับเพย์โหลดตัวสุดท้ายคือ มันถูกล็อกไว้ด้วยการเข้ารหัส XOR ถึงสองชั้น โดยชั้นที่สองใช้เทคนิคที่เรียกว่า environmental keying นั่นคือเข้ารหัสด้วยกุญแจที่สร้างจากหมายเลขซีเรียลของไดรฟ์ (volume serial number) ในเครื่องเป้าหมาย เทคนิคนี้ทำให้มัลแวร์ทำงาน (detonate) ได้เฉพาะบนเครื่องที่ตั้งใจโจมตีเท่านั้น ไม่ทำงานหากถูกนำไปวิเคราะห์ในเครื่องอื่น ซึ่งเป็นวิธีป้องกันการถอดรหัสของนักวิจัยที่มีประสิทธิภาพสูง
ในส่วนของการระบุตัวตน บริษัท ThreatLabz พบกิจกรรมหลังการเจาะระบบจากผู้ควบคุม C2 เช่น คำสั่งสำรวจระบบ ผู้ใช้ และเครือข่าย ตลอดจนการส่งเพย์โหลดขั้นถัดไป โดยส่วนใหญ่เกิดขึ้นระหว่างวันที่ 7 ถึง 9 กรกฎาคม 2569 และคำสั่ง C2 ถูกรันเฉพาะในช่วงเวลา 4.00 น. ถึงเที่ยงวันตามเวลา UTC โดยกิจกรรมส่วนใหญ่กระจุกตัวระหว่าง 7.00 ถึง 11.00 น. UTC ซึ่งช่วงเวลาทำงานที่สม่ำเสมอนี้เอง ประกอบกับที่อยู่ไอพีและการตั้งค่าภาษาบนเซิร์ฟเวอร์ เป็นหลักฐานที่ทำให้ประเมินได้ว่าผู้โจมตีมาจากเอเชียตะวันออก แคมเปญนี้ยังสะท้อนแนวโน้มภาพกว้าง ทั้งการหลบเลี่ยงระบบ EDR การกลืนกับทราฟฟิกปกติผ่านการใช้แพลตฟอร์มที่น่าเชื่อถืออย่าง Telegram และการใช้เทคนิคอำพรางโค้ดเพื่อขัดขวางการวิเคราะห์
ผลกระทบต่อไทย
แม้เป้าหมายของแคมเปญนี้จะอยู่ในตะวันออกกลาง แต่เทคนิคที่ใช้เป็นภัยคุกคามที่หน่วยงานรัฐและองค์กรในไทยควรจับตาอย่างใกล้ชิด โดยเฉพาะการนำแพลตฟอร์มที่ถูกกฎหมายและได้รับความนิยมอย่าง Telegram มาใช้เป็นช่องทาง C2 ซึ่งทำให้การสื่อสารของมัลแวร์กลืนไปกับทราฟฟิกปกติ ระบบป้องกันที่อาศัยการบล็อกโดเมนแปลกปลอมจึงอาจตรวจไม่พบ นอกจากนี้ผู้โจมตีที่ถูกประเมินว่ามาจากเอเชียตะวันออกและมุ่งเป้าหน่วยงานรัฐ ก็เป็นรูปแบบภัยจารกรรมที่ภูมิภาคเอเชียตะวันออกเฉียงใต้รวมถึงไทยเคยตกเป็นเป้าหมายมาแล้วหลายครั้ง
เทคนิค DLL side-loading ที่อาศัยไฟล์โปรแกรมถูกกฎหมายมาโหลด DLL อันตราย และการใช้ environmental keying เพื่อให้มัลแวร์ทำงานเฉพาะเครื่องเป้าหมาย ล้วนเป็นเทคนิคที่หลบเลี่ยงเครื่องมือตรวจจับทั่วไปได้ดี องค์กรไทยที่ดูแลข้อมูลสำคัญของรัฐจึงควรยกระดับการตรวจจับพฤติกรรมผิดปกติ ไม่ใช่พึ่งการตรวจจับลายเซ็นมัลแวร์เพียงอย่างเดียว
คำแนะนำ
ผู้ดูแลระบบควรระมัดระวังไฟล์ ISO หรือไฟล์อิมเมจดิสก์ที่มาจากแหล่งไม่น่าเชื่อถือ เพราะเป็นช่องทางแรกที่ใช้ส่งมัลแวร์ในแคมเปญนี้ และควรเฝ้าระวังพฤติกรรม DLL side-loading โดยตรวจสอบว่าโปรแกรมถูกกฎหมายกำลังโหลด DLL จากตำแหน่งผิดปกติหรือไม่ ควรตั้งการเฝ้าระวังการเชื่อมต่อออกไปยัง Telegram API จากเครื่องหรือเซิร์ฟเวอร์ที่ไม่ควรใช้งาน Telegram เพราะอาจเป็นสัญญาณของการสื่อสาร C2
นอกจากนี้ควรใช้โซลูชัน EDR ที่เน้นตรวจจับพฤติกรรม เช่น การสร้าง scheduled task ผิดปกติ การรันคำสั่งสำรวจระบบ และการโหลดโค้ดแบบสะท้อน (reflective loading) พร้อมตรวจสอบตัวบ่งชี้การถูกโจมตี เช่น โดเมน cert.hypersnet[.]com ในบันทึกการเชื่อมต่อเครือข่ายขององค์กร