สรุปสั้น

กลุ่มแฮ็กเกอร์ที่มีรัฐอิหร่านหนุนหลังซึ่งถูกติดตามในชื่อ Nimbus Manticore (หรือ GalaxyGato, Mirage Kitten, Smoke Sandstorm, Subtle Snail และ UNC1549) ถูกโยงเข้ากับการโจมตีชุดใหม่ที่พุ่งเป้าองค์กรทั่วตะวันออกกลาง แอฟริกา และเอเชียใต้ การบุกรุกครั้งนี้ใช้แบ็กดอร์ Windows ตัวใหม่ที่ไม่เคยถูกบันทึกมาก่อนชื่อ NightLedger รวมถึงเครื่องมือทำอุโมงค์ (Tunneler) ผ่าน WebSocket แบบกำหนดเองอีก 2 ตัวคือ BridgeHead และ ArcBridge โดยมีเป้าหมายเพื่อคงการเข้าถึงแบบลับ (Covert Access) ตามรายงานของบริษัท Kaspersky โดยนักวิจัยนาย Omar Amin และนาย Vasily Berdnikov

เป้าหมายของแคมเปญนี้ครอบคลุมทั้งอียิปต์ องค์กรขนาดกลาง-เล็กและหน่วยงานรัฐในจอร์แดนและแทนซาเนีย องค์กรด้านการบินในปากีสถาน บริษัทโทรคมนาคมในเอธิโอเปีย และองค์กรภาคการเงินในบูร์กินาฟาโซ ชุดเครื่องมือประกอบด้วย NightLedger ซึ่งเป็นแบ็กดอร์ Windows ตัวใหม่สำหรับการสำรวจระบบ (Reconnaissance) การรันคำสั่ง การจัดการไฟล์ การค้นหาโปรเซส และการจับภาพหน้าจอ ส่วน ArcBridge และ BridgeHead เป็นเครื่องมือทำอุโมงค์บนพื้นฐาน WebSocket สำหรับการเข้าถึงเครือข่ายแบบลับและการทำอุโมงค์ที่ผู้ปฏิบัติการควบคุมได้ ทั้งนี้วิธีการเข้าถึงเริ่มต้น (Initial Access) ที่แน่ชัดยังไม่เป็นที่ทราบ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 กรกฎาคม พ.ศ. 2569 ว่าแม้วิธีการเข้าถึงเริ่มต้นจะยังไม่ชัดเจน แต่กลุ่ม Nimbus Manticore เป็นที่รู้จักในการใช้เหยื่อล่อธีมโอกาสการทำงาน (Job Opportunity) ที่ปรับแต่งอย่างประณีต โดยปลอมเป็นแบรนด์และแพลตฟอร์มหางานที่น่าเชื่อถือ รวมถึงหน้าประชุมทางวิดีโอปลอม เพื่อหลอกให้เหยื่อไปยังไฟล์บีบอัดอันตรายที่โฮสต์อยู่บนบริการแชร์ไฟล์ของบุคคลที่สาม เส้นทางการเข้าถึงนี้จะถูกใช้ส่งเพย์โหลดอันตรายรวมถึง NightLedger ซึ่งถูกเรียกทำงานเป็นไฟล์ DLL ผ่านเทคนิค DLL side-loading โดยมัลแวร์จะติดต่อเซิร์ฟเวอร์ภายนอกผ่าน HTTPS เพื่อแปลและรันคำสั่งในลักษณะที่คล้ายกับ TWOSTROKE ซึ่งเป็นแบ็กดอร์อีกตัวที่กลุ่มนี้เคยใช้ในอดีต

รายการคำสั่งที่ NightLedger รองรับมีทั้งการเก็บข้อมูลตัวตนของผู้ใช้และโฮสต์ การรันโปรเซส การแสดงรายการไดเรกทอรี การดาวน์โหลดไฟล์มายังเครื่องที่ติดมัลแวร์ การคัดลอกหรือลบไฟล์ การปรับช่วงเวลา beacon การจับภาพหน้าจอ การโหลด DLL การยุติโปรเซสหรือเธรด การอัปโหลดไฟล์ไปยังเซิร์ฟเวอร์ควบคุมผ่านคำขอ HTTP POST และการเก็บไฟล์ C:\Windows\debug\NetSetup.log ซึ่งเป็นไฟล์วินิจฉัยที่ใช้แก้ปัญหาการเข้าร่วมโดเมน (Domain Join) พร้อมผลลัพธ์รายการโปรเซส ส่วนมัลแวร์อีก 2 ตระกูลที่ถูกส่งมาในการโจมตีคือ BridgeHead (ไฟล์ “unbcl.dll”) ซึ่งเป็นพร็อกซีอุโมงค์ SOCKS5 ที่พบในอียิปต์และปากีสถาน และมีความทับซ้อนด้านการทำงานกับ MiniFast (หรือ MiniUpdate, Retrograde) กับ ArcBridge ซึ่งเป็นเครื่องมือทำอุโมงค์ WebSocket อีกตัวที่พบในเดือนเมษายน 2569 ในกิจกรรมที่พุ่งเป้าเหยื่อในตะวันออกกลาง

วิธีการโจมตี

จุดเด่นของแคมเปญนี้คือการเปลี่ยนเครื่องของเหยื่อให้กลายเป็นจุดรีเลย์ (Relay Node) ในเครือข่ายลับ Kaspersky อธิบายกลไกของ BridgeHead ว่า เซิร์ฟเวอร์ควบคุม (C2) จะเริ่มการเชื่อมต่ออุโมงค์ทั้งหมดด้วยการส่งคำสั่งไบนารีผ่าน WebSocket ขณะที่ implant บนเครื่องเหยื่อเพียงส่งต่อทราฟฟิกระหว่างเป้าหมายที่เซิร์ฟเวอร์ระบุกับช่องทาง WebSocket เท่านั้น ทำให้เครื่องเหยื่อกลายเป็นจุดรีเลย์ที่ผู้ปฏิบัติการรันเครื่องมือฝั่งเซิร์ฟเวอร์ แล้วให้ทราฟฟิก TCP ทั้งหมดถูกส่งผ่านเครื่องของเหยื่อราวกับว่ามาจากเครือข่ายของเหยื่อเอง การใช้ BridgeHead และ ArcBridge สะท้อนว่ากลุ่มนี้ยังคงใช้เครื่องมือทำอุโมงค์อย่างต่อเนื่อง ต่อจากที่เคยพึ่งพา tunneler แบบกำหนดเองอย่าง LIGHTRAIL และ POLLBLEND มาก่อน

การเปิดเผยนี้เกิดขึ้นไม่กี่วันหลังจากบริษัท Group-IB ค้นพบตัวอย่างมัลแวร์ใหม่ชื่อ HOLLOWGRAPH ที่เชื่อมโยงกับเฟรมเวิร์ก Cavern (หรือ Cav3rn) ซึ่งกลุ่มแฮ็กเกอร์อิหร่านอีกกลุ่มชื่อ Cavern Manticore ใช้งาน โดย HOLLOWGRAPH ใช้ Microsoft Graph API เปลี่ยนปฏิทินของบัญชี Microsoft 365 ที่ถูกเจาะให้กลายเป็นช่องทางสั่งการและควบคุมแบบสองทางที่ซ่อนเร้น ผู้ปฏิบัติการจะฝังคำสั่งเป็นอีเวนต์ในปฏิทิน ส่วน implant จะขโมยไฟล์ออกด้วยการสร้างอีเวนต์ของตัวเองพร้อมแนบข้อมูลที่เข้ารหัส และเพื่อไม่ให้เจ้าของบัญชีสังเกตเห็น ทุกอีเวนต์จะถูกตั้งวันที่ไว้ไกลถึงวันที่ 13 พฤษภาคม ค.ศ. 2050

ผลกระทบต่อไทย

แม้เป้าหมายที่ระบุในแคมเปญนี้จะอยู่ในตะวันออกกลาง แอฟริกา และเอเชียใต้ ไม่ได้ระบุประเทศไทยโดยตรง แต่กลุ่ม Nimbus Manticore (UNC1549) เป็นกลุ่มจารกรรมไซเบอร์ที่รัฐอิหร่านหนุนหลังและมีเป้าหมายเชิงยุทธศาสตร์ในภาคการบิน โทรคมนาคม การเงิน และหน่วยงานรัฐ ซึ่งเป็นภาคส่วนที่ประเทศไทยก็มีองค์กรสำคัญอยู่เช่นกัน เทคนิคการล่อด้วยธีมสมัครงานและหน้าประชุมวิดีโอปลอมเป็นวิธีที่ใช้ได้ผลกับพนักงานทั่วโลกรวมถึงในไทย ขณะที่ความสามารถในการเปลี่ยนเครื่องเหยื่อเป็นจุดรีเลย์ลับทำให้การตรวจจับและสืบย้อนการโจมตียากขึ้นมาก องค์กรไทยในภาคส่วนเป้าหมายจึงควรตระหนักถึงรูปแบบภัยคุกคามนี้และเฝ้าระวังกิจกรรมทำอุโมงค์เครือข่ายที่ผิดปกติ รวมถึงการใช้ DLL side-loading ที่อาจบ่งชี้การบุกรุก

คำแนะนำ

องค์กรควรฝึกอบรมพนักงานให้ระวังการล่อด้วยข้อเสนองานและหน้าประชุมวิดีโอปลอมที่นำไปสู่การดาวน์โหลดไฟล์บีบอัดจากบริการแชร์ไฟล์ภายนอก ควรเฝ้าระวังพฤติกรรม DLL side-loading โดยตรวจสอบ DLL ที่ถูกโหลดจากตำแหน่งผิดปกติควบคู่กับไบนารีที่ถูกต้อง เฝ้าระวังทราฟฟิก WebSocket และการเชื่อมต่อ HTTPS ขาออกที่ผิดปกติซึ่งอาจเป็นการทำอุโมงค์ผ่าน BridgeHead หรือ ArcBridge รวมถึงตรวจสอบการเข้าถึงไฟล์ C:\Windows\debug\NetSetup.log ที่ผิดปกติ สำหรับองค์กรที่ใช้ Microsoft 365 ควรตรวจสอบการใช้งาน Microsoft Graph API และอีเวนต์ปฏิทินที่ถูกตั้งวันที่ไว้ไกลผิดปกติซึ่งอาจเป็นร่องรอยของ HOLLOWGRAPH พร้อมทั้งเสริมการแบ่งเครือข่าย การยืนยันตัวตนหลายปัจจัย (MFA) และการมองเห็นภาพรวมเครือข่ายเพื่อจำกัดการเคลื่อนไหวของผู้โจมตี

แหล่งอ้างอิง