เกาหลีใต้เตือนกลุ่มรัฐหนุนหลังเจาะเว็บในประเทศ ฉวยช่องโหว่ AnySign4PC ฝังแบ็กดอร์ SIGNBT/COPPERHEDGE แค่เปิดหน้าเว็บ

สรุปสั้น

หน่วยงานภาครัฐของเกาหลีใต้ 4 แห่ง ได้แก่ KISA (Korea Internet & Security Agency), หน่วยข่าวกรองแห่งชาติ (National Intelligence Service), สำนักงานตำรวจแห่งชาติ และสถาบันความมั่นคงทางการเงิน (Financial Security Institute) ได้ออกคำเตือนร่วมที่จัดทำขึ้นจากการวิเคราะห์ร่วมกับบริษัทความปลอดภัยไซเบอร์ 4 ราย คือ บริษัท AhnLab, บริษัท S2W, บริษัท ENKI Whitehat และบริษัท Plainbit โดยเปิดเผยแคมเปญจารกรรมของกลุ่มที่มีรัฐหนุนหลัง ซึ่งเจาะเว็บไซต์ในประเทศที่ผู้ใช้ไว้วางใจแล้วดัดแปลงหน้าเว็บให้กลายเป็นกับดัก watering hole สำหรับเล่นงานผู้เข้าชมที่เป็นเป้าหมาย จุดที่ทำให้การโจมตีชุดนี้อันตรายกว่าปกติคือ ผู้เสียหายไม่จำเป็นต้องคลิกลิงก์ ไม่ต้องกดดาวน์โหลด และไม่มีกล่องแจ้งเตือนใดปรากฏขึ้น เพียงแค่เปิดหน้าเว็บที่ถูกฝังสคริปต์ไว้ ซอฟต์แวร์ความปลอดภัยทางการเงินที่ติดตั้งอยู่ในเครื่องก็จะถูกโจมตีผ่านช่องทางสื่อสารภายในเครื่องทันที

ผลิตภัณฑ์ที่ถูกระบุชื่ออย่างเป็นทางการคือ AnySign4PC ซึ่งเป็นซอฟต์แวร์สำหรับลงลายมือชื่ออิเล็กทรอนิกส์ด้วยใบรับรองดิจิทัลที่ผู้ใช้บริการธนาคารและบริการภาครัฐของเกาหลีใต้ต้องติดตั้งกันอย่างแพร่หลาย โดย KISA ระบุว่าเวอร์ชัน 1.1.4.4 ถึง 1.1.4.6 มีช่องโหว่ buffer overflow ที่นำไปสู่การรันโค้ดจากระยะไกล และแก้ไขแล้วในเวอร์ชัน 1.1.5.0 พร้อมแนะนำให้ลบเวอร์ชันที่มีช่องโหว่ทิ้ง ขณะที่บริษัท ENKI Whitehat ระบุว่าผู้โจมตีใช้ช่องโหว่นี้ในสถานะ zero-day มาตั้งแต่ครึ่งหลังของปี 2568 ก่อนที่ KISA จะออกประกาศแจ้งเตือนให้แพตช์เมื่อวันที่ 1 มิถุนายน 2569 ส่วนบริษัท AhnLab เรียกซอฟต์แวร์ที่ถูกโจมตีอีก 2 ตัวเพียงว่า “ซอฟต์แวร์ความปลอดภัยทางการเงิน A และ I” โดยไม่เปิดเผยชื่อ เวอร์ชันที่กระทบ หรือรหัส CVE

บริษัท AhnLab ระบุว่าพบหลักฐานการโจมตีที่เกี่ยวข้องใน 72 องค์กรตลอดปี 2569 และพบเว็บไซต์ที่ถูกกฎหมาย 15 แห่งถูกใช้เป็น watering hole โดยเหยื่อเป้าหมายกระจายทั้งภาคข่าว สาธารณสุข การศึกษา และการผลิต ที่น่าสนใจยิ่งกว่านั้นคือ AhnLab พบหลักฐานทับซ้อนระหว่างปฏิบัติการจารกรรมชุดนี้กับการบุกรุกที่จบลงด้วยแรนซัมแวร์ Gunra ทั้งช่องโหว่ที่ใช้เข้าระบบครั้งแรก ชื่อไฟล์มัลแวร์ รูปแบบการรัน ลายนิ้วมือกุญแจ SSH และโครงสร้างพื้นฐานเครือข่าย แต่บริษัทย้ำว่าหลักฐานเหล่านี้ยังไม่พอสรุปว่าเป็นผู้ลงมือรายเดียวกัน และรายงานของทางการก็ยังไม่ระบุชื่อกลุ่มรัฐหนุนหลังอย่างเป็นทางการ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 กรกฎาคม 2569 ว่า ทางการเกาหลีใต้และบริษัทความปลอดภัย 4 รายได้เปิดเผยแคมเปญที่ผู้โจมตีเจาะเว็บไซต์ในประเทศเพื่อใช้เป็นช่องทางส่งมัลแวร์เข้าเครื่องเป้าหมาย โดยอาศัยช่องโหว่ในซอฟต์แวร์ความปลอดภัยที่ติดตั้งอยู่ในเครื่องผู้ใช้เอง ทำให้การติดเชื้อเกิดขึ้นแบบไร้การโต้ตอบจากผู้ใช้โดยสมบูรณ์

KISA ระบุว่าการโจมตีแบบฟิชชิงและ watering hole ที่มีรัฐหนุนหลังในลักษณะนี้ยังคงถูกตรวจพบต่อเนื่อง โดยผู้โจมตีส่งข้อความสเปียร์ฟิชชิงที่ปลอมเป็นเรซูเม การชักชวนสมัครงาน เอกสารการลงทุน และแบบสำรวจในอุตสาหกรรม ควบคู่ไปกับการเจาะเว็บไซต์ด้านข่าว สาธารณสุข การศึกษา การผลิต และเว็บไซต์ขนาดเล็กที่ป้องกันตัวไม่ดีนัก ซึ่งเป็นเว็บที่กลุ่มเป้าหมายมีแนวโน้มจะเข้าเยี่ยมชมอยู่แล้ว

บริษัท ENKI Whitehat เป็นผู้ระบุว่า AnySign4PC คือหนึ่งในผลิตภัณฑ์ที่มีช่องโหว่ และผู้โจมตีใช้เป็น zero-day มาตั้งแต่ครึ่งหลังปี 2568 ขณะที่รายงาน Operation Double Barrel ของบริษัท AhnLab อธิบายลูกโซ่การโจมตีที่ใช้ไฟล์ภาพ PNG ถึง 4 ไฟล์ในการแลกกุญแจเข้ารหัส ตรวจสอบเวอร์ชันซอฟต์แวร์ที่ติดตั้ง ส่งโค้ดโจมตีที่ตรงกับเวอร์ชันนั้น และรายงานกลับว่าการรันสำเร็จหรือไม่ หน้าเว็บอันตรายจะสื่อสารกับโปรแกรมความปลอดภัยในเครื่องผ่าน WebSocket แล้วกระตุ้น buffer overflow เพื่อรันเชลล์โค้ด

เพย์โหลดที่ได้จะถูกฉีดเข้าไปในโปรเซสของ Microsoft ที่ถูกกฎหมาย จากนั้นผู้โจมตีจะติดตั้ง Struggle ซึ่ง AhnLab เทียบว่าคือ SIGNBT 3.0 หรือไม่ก็ Brandoor ซึ่งเป็นชื่อที่บริษัทใช้เรียก COPPERHEDGE ขึ้นกับลักษณะการบุกรุกแต่ละกรณี มัลแวร์ทั้งสองรองรับการสั่งรันคำสั่งจากระยะไกล ขโมยไฟล์ สำรวจเครือข่ายภายใน ฉีดโค้ดเข้าโปรเซส และส่งเพย์โหลดเพิ่มเติมเข้ามาได้

บริษัท Plainbit ได้จำลองเหตุการณ์ watering hole กรณีหนึ่งขึ้นใหม่ในรายงานนิติวิทยาศาสตร์ดิจิทัล พบว่าผู้โจมตีสำรวจระบบที่เปิดออกอินเทอร์เน็ตของเหยื่อ เจาะเว็บไซต์ ติดตั้งเว็บเชลล์ แล้วแทรกโค้ด JavaScript เข้าไปในหน้าบทความข่าวปกติ เมื่อเป้าหมายเข้าชมหน้านั้น โปรแกรมความปลอดภัยที่มีช่องโหว่จะเกิดข้อผิดพลาดและสร้างไฟล์ DLL อันตรายขึ้นมาโดยไม่มีกล่องดาวน์โหลดหรือการโต้ตอบใด ๆ จากผู้ใช้ แบ็กดอร์ที่ได้จะถอดรหัสขั้นถัดไปในหน่วยความจำ ฉีดโค้ดเข้า svchost.exe และอ่านข้อมูลเซิร์ฟเวอร์ควบคุมจากรีจิสทรีของ Windows ก่อนที่ผู้โจมตีจะใช้เอ็กซ์พลอยต์ยกระดับสิทธิ์ เครื่องมือขโมยข้อมูลยืนยันตัวตนอย่าง Mimikatz การเชื่อมต่อ RDP และเครื่องมือ NLBrute เพื่อเคลื่อนตัวในเครือข่าย

ด้านบริษัท S2W วิเคราะห์คลัสเตอร์มัลแวร์ 3 ชุด และพบรูปแบบซ้ำ ๆ ของการทำ DLL side-loading การเก็บข้อมูลเข้ารหัสไว้ในรีจิสทรี และการโหลดไฟล์ PE ในหน่วยความจำ โดย 2 คลัสเตอร์ปล่อย SIGNBT เวอร์ชัน 0.0.1 และ 1.2 ส่วนคลัสเตอร์ที่สามเป็นโหลดเดอร์ที่ถอดรหัสเพย์โหลดจากภายนอกซึ่งนักวิจัยกู้กลับมาไม่ได้

รายละเอียดช่องโหว่

ประกาศความปลอดภัยของ KISA เมื่อวันที่ 1 มิถุนายน 2569 ระบุว่า AnySign4PC เวอร์ชัน 1.1.4.4 ถึง 1.1.4.6 มีช่องโหว่ประเภท buffer overflow ที่เปิดทางให้รันโค้ดจากระยะไกลได้ และกำหนดให้เวอร์ชัน 1.1.5.0 เป็นเวอร์ชันที่แก้ไขแล้ว พร้อมแนะนำให้ผู้ใช้ลบเวอร์ชันที่มีช่องโหว่ออกจากเครื่อง จุดที่ทำให้ช่องโหว่นี้อันตรายเป็นพิเศษคือสถาปัตยกรรมของซอฟต์แวร์กลุ่มนี้เอง เพราะมันทำงานเป็นบริการอยู่เบื้องหลังและเปิดช่องทางสื่อสารภายในเครื่องผ่าน WebSocket เพื่อให้หน้าเว็บของธนาคารเรียกใช้งานได้ นั่นแปลว่าหน้าเว็บใด ๆ ที่ผู้ใช้เปิดก็สามารถส่งข้อมูลไปหาโปรแกรมที่มีสิทธิ์สูงในเครื่องได้เช่นกัน

ประกาศของ KISA ไม่ได้ระบุรหัส CVE สำหรับช่องโหว่ AnySign4PC ตัวนี้ และ ณ วันที่ 30 กรกฎาคม 2569 The Hacker News พบเพียง CVE-2020-7882 ในฐานข้อมูล CVE Program และ NVD ซึ่งเป็นช่องโหว่ directory traversal คนละตัวในเวอร์ชันเก่า สิ่งนี้ไม่ได้ตัดความเป็นไปได้ว่าจะมีรหัสที่จองไว้แต่ยังไม่เผยแพร่ หรือถูกอธิบายด้วยชื่ออื่น ส่วนซอฟต์แวร์ A และ I ที่ AhnLab อ้างถึงยังคงไม่มีการเปิดเผยชื่อ เวอร์ชันที่กระทบ หรือเวอร์ชันที่แก้ไขแล้ว ทำให้ผู้ดูแลระบบยังไม่มีทางตรวจสอบความเสี่ยงของผลิตภัณฑ์อีก 2 ตัวนั้นได้

ประเด็นที่ต้องอ่านอย่างระวังคือตัวเลข 72 องค์กร เพราะรายงานไม่ได้อธิบายว่าใช้หลักฐานระดับใดจึงนับองค์กรหนึ่งเข้าไปในสถิติ ตัวเลขนี้จึงไม่ใช่จำนวนองค์กรที่ยืนยันแล้วว่าถูกยึดครองระบบเต็มรูปแบบเท่ากันทุกราย เช่นเดียวกับคำถามว่าผู้โจมตียังคงใช้ช่องโหว่ AnySign4PC ต่อหลังเวอร์ชัน 1.1.5.0 ออกมาแล้วหรือไม่ ซึ่งรายงานสาธารณะยังไม่ได้ตอบ อีกจุดที่ AhnLab ตั้งข้อสังเกตคือ เว็บไซต์ที่ถูกเจาะหลายแห่งเชื่อมโยงกับบริษัทพัฒนาและดูแลระบบรายเดียวกัน ซึ่งอาจเป็นเส้นทางแบบ supply chain แต่หลักฐานที่มีอยู่ยังไม่พอยืนยันว่าซอร์สโค้ด กระบวนการอัปเดตซอฟต์แวร์ หรือแพลตฟอร์มบริหารจัดการส่วนกลางของบริษัทนั้นถูกเจาะจริง

เส้นทางที่โยงไปถึง Gunra และปม Lazarus

การบุกรุกที่จบด้วยแรนซัมแวร์ Gunra เมื่อเดือนมีนาคม 2569 ใช้เว็บไซต์ด้านสาธารณสุขที่ถูกเจาะแห่งเดียวกัน และใช้ช่องโหว่ตัวเดียวกันในผลิตภัณฑ์ที่ AhnLab เรียกว่าซอฟต์แวร์ A จากนั้นทั้งสายจารกรรมและสายแรนซัมแวร์ต่างก็ฉีดโค้ดเข้า SyncHost.exe เหมือนกัน แต่เนื่องจาก AhnLab ไม่เปิดเผยว่าซอฟต์แวร์ A คือตัวใด รายงานจึงยังไม่ได้พิสูจน์ว่าช่องโหว่ที่โยงกับ Gunra คือ AnySign4PC

หลักฐานทับซ้อนอื่นที่พบ ได้แก่ การใช้ชื่อไฟล์ net.tmp และ inet.tmp เหมือนกัน โดยอาร์กิวเมนต์ของ inet.tmp เหมือนกันทุกประการ ส่วนอาร์กิวเมนต์ของ net.tmp อยู่ในรูปแบบ GUID ที่คล้ายกัน ทั้งสองปฏิบัติการยังใช้ลายนิ้วมือกุญแจสาธารณะ SSH ชุดเดียวกัน ใช้ที่อยู่สำหรับทำ reverse tunnel เดียวกัน และใช้โดเมน jshosting[.]me กระจายสคริปต์โจมตีเหมือนกัน รวมถึงใช้ขั้นตอนต้านการพิสูจน์หลักฐานแบบเดียวกันคือเปลี่ยนชื่อไฟล์อันตรายเป็นชื่อสุ่ม 4 ตัวอักษรก่อนลบ ขณะที่ Plainbit ยังพบการทำลายหลักฐานเพิ่มเติมด้วย SDelete และ CCleaner

บริษัท AhnLab ประเมินว่าหลักฐานชี้ถึงความเชื่อมโยงทางเทคนิคที่น่าจะเป็นไปได้ แต่ไม่สามารถระบุความสัมพันธ์ระหว่างผู้ลงมือทั้งสองฝ่ายได้ พร้อมยกความเป็นไปได้หลายทาง ทั้งการร่วมมือกันแบบจำกัด การใช้เครื่องมือหรือโครงสร้างพื้นฐานร่วมกัน การซื้อสิทธิ์เข้าถึงจากนายหน้ารายเดียวกัน หรือการเข้าถึงทรัพยากรปฏิบัติการชุดเดียวกัน สรุปคือสิ่งที่เห็นเป็นเส้นทางเข้าที่ถูกใช้ร่วมหรือใช้ซ้ำ ไม่ใช่หลักฐานว่าผู้ควบคุมเป็นรายเดียวกัน ทั้งนี้ Gunra ดำเนินการในรูปแบบ ransomware-as-a-service ตามงานวิจัยแยกของ S2W ซึ่งระบุว่ามีเหยื่อ 32 บริษัท ณ วันที่ 9 มีนาคม 2569 รวมถึงธุรกิจเกาหลีใต้ 5 ราย และได้เปลี่ยนจากโค้ดแรนซัมแวร์ที่พัฒนาต่อจาก Conti ไปใช้บิลด์ Windows และ Linux ของตัวเอง

ในแง่การระบุตัวผู้ก่อเหตุ ทั้งคำเตือนของทางการและรายงาน Operation Double Barrel เรียกผู้ลงมือฝั่งจารกรรมเพียงว่ากลุ่มที่มีรัฐหนุนหลัง ไม่มีเอกสารฉบับใดชี้ชัดว่าแคมเปญตลอดปี 2568-2569 เป็นฝีมือของ Lazarus และไม่มีฉบับใดโยง Lazarus เข้ากับ Gunra อย่างไรก็ตาม AhnLab เคยระบุว่าการโจมตี watering hole ผ่าน AnySign4PC เมื่อเดือนมีนาคม 2569 เป็นฝีมือ Lazarus ในรายงานแยกที่เผยแพร่เดือนเมษายน ขณะที่บริษัท Kaspersky ก็เคยบันทึกว่า Lazarus ใช้ทั้ง watering hole ซอฟต์แวร์ความปลอดภัยของเกาหลีใต้ SIGNBT และ COPPERHEDGE ในปฏิบัติการ Operation SyncHole มาก่อน

ผลกระทบต่อไทย

ประเทศไทยไม่ได้ใช้ AnySign4PC โดยตรง แต่แบบแผนการโจมตีชุดนี้ตรงกับความเสี่ยงในบ้านเราอย่างน่ากังวล เพราะหน่วยงานราชการ ธนาคาร และระบบภาษีของไทยจำนวนมากยังบังคับให้ผู้ใช้ติดตั้งซอฟต์แวร์เสริมฝั่งไคลเอนต์ ไม่ว่าจะเป็นตัวจัดการใบรับรองดิจิทัล ปลั๊กอินลงลายมือชื่ออิเล็กทรอนิกส์ โปรแกรมอ่านบัตรประชาชน หรือ agent สำหรับยืนยันตัวตน ซอฟต์แวร์กลุ่มนี้มักทำงานด้วยสิทธิ์สูง เปิดพอร์ตหรือ WebSocket ภายในเครื่องเพื่อให้หน้าเว็บเรียกใช้ และมักไม่มีกลไกอัปเดตอัตโนมัติที่ดี ทำให้เครื่องผู้ใช้จำนวนมากค้างอยู่ที่เวอร์ชันเก่านานหลายปี

รูปแบบ watering hole ที่เจาะเว็บข่าว เว็บโรงพยาบาล และเว็บสถาบันการศึกษาซึ่งดูแลความปลอดภัยได้ไม่ดีนัก เพื่อดักผู้เข้าชมที่เป็นเป้าหมายจริง ก็เป็นวิธีที่ใช้กับไทยได้ทันทีโดยไม่ต้องดัดแปลงอะไร โดยเฉพาะเมื่อเว็บไซต์หน่วยงานไทยจำนวนมากใช้ผู้รับจ้างพัฒนาและดูแลระบบรายเดียวกันหลายเว็บ ซึ่งเป็นรูปแบบเดียวกับที่ AhnLab ตั้งข้อสังเกตไว้ในเกาหลีใต้ นอกจากนี้กลุ่มเกาหลีเหนือยังมีประวัติปฏิบัติการในภูมิภาคเอเชียตะวันออกเฉียงใต้อย่างต่อเนื่อง ทั้งสายจารกรรมและสายขโมยคริปโต ขณะที่การทับซ้อนกับแรนซัมแวร์ Gunra สะท้อนว่าองค์กรที่ถูกเจาะด้วยเส้นทางเดียวกันอาจจบลงด้วยการถูกเข้ารหัสเรียกค่าไถ่ ไม่ใช่แค่ถูกขโมยข้อมูลเงียบ ๆ

คำแนะนำ

ผู้ที่ใช้ AnySign4PC ควรอัปเดตเป็นเวอร์ชัน 1.1.5.0 ทันที หรือถอนการติดตั้งหากไม่จำเป็นต้องใช้แล้วตามคำแนะนำของ KISA ส่วนองค์กรไทยควรจัดทำบัญชีซอฟต์แวร์เสริมฝั่งไคลเอนต์ทั้งหมดที่บังคับติดตั้งเพื่อใช้บริการธนาคารและบริการภาครัฐ ตรวจสอบว่าเวอร์ชันที่ใช้อยู่ยังได้รับการสนับสนุนหรือไม่ และถอนตัวที่เลิกใช้แล้วออกจากเครื่อง เพราะซอฟต์แวร์ที่ค้างอยู่โดยไม่มีใครดูแลคือพื้นที่โจมตีที่มองไม่เห็น

ในเชิงการตรวจจับ รายงานทั้งหมดแนะนำให้ล่าหาพฤติกรรมมากกว่าไล่จับไฟล์ ได้แก่ การที่ไฟล์รันที่ถูกกฎหมายโหลด DLL แปลกปลอม ข้อมูลเข้ารหัสที่ถูกเก็บไว้ใต้รีจิสทรีของเซอร์วิส การรันไฟล์ PE ในหน่วยความจำ การสร้างเซอร์วิสผิดปกติ การฉีดโค้ดเข้า SyncHost.exe หรือ svchost.exe และการเชื่อมต่อ SSH ขาออกที่ไม่ควรมี เหตุผลที่ต้องเน้นพฤติกรรมคือ ENKI พบว่าแบ็กดอร์ Type 1 จะลบทั้งค่ารีจิสทรี โหลดเดอร์ และไฟล์แบ็กดอร์ทิ้งหลังคัดลอกตัวเองเข้าหน่วยความจำ เมื่อทำงานในโหมด 1, 2, 4 หรือ 5 พร้อมเปิดการป้องกันตัวเอง ทำให้ไฟล์หายไปจากดิสก์จนกว่าจะปิดเครื่องอย่างถูกวิธี และโหลดเดอร์ที่ถูกเขียนกลับมาก็มีค่าแฮชต่างจากเดิม

ทีมตอบสนองเหตุการณ์ควรทำตามคำแนะนำของ S2W คือเก็บรักษาหน่วยความจำของโปรเซส บรรทัดคำสั่ง ค่ารีจิสทรี เหตุการณ์การโหลด DLL และบันทึกการเชื่อมต่อเครือข่ายให้ครบก่อนสั่งปิดโปรเซสหรือตัดเครื่องออกจากเครือข่าย นอกจากนี้ควรตรวจสอบ scheduled task ที่ตั้งชื่อกลมกลืน เช่นกรณีที่ Plainbit พบงานชื่อ RuntimeBroker เรียก task.vbs แล้วรันไคลเอนต์ SSH ที่ถูกเปลี่ยนชื่อเป็น SearchHost.exe เพื่อเปิด reverse tunnel ออกไปหาผู้โจมตี สำหรับผู้ดูแลเว็บไซต์ ควรตรวจหาเว็บเชลล์และ JavaScript แปลกปลอมที่ถูกแทรกในหน้าบทความ รวมถึงทบทวนสิทธิ์การเข้าถึงของผู้รับจ้างพัฒนาระบบภายนอกด้วย

Indicators of Compromise (IoCs)

หมายเหตุ: ตัวบ่งชี้ด้านล่างถูก defang (ใส่วงเล็บคั่นจุด) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ

แหล่งอ้างอิง

• Hackers Exploit AnySign4PC via Hacked Korean Sites to Install Backdoors Without Prompts — The Hacker News
• Joint Cybersecurity Advisory: Watering Hole Malware Analysis — ENKI Whitehat
• Operation Double Barrel (ENG) — AhnLab
• ประกาศความปลอดภัย AnySign4PC — KISA
• Operation SyncHole: Watering Hole Attacks by Lazarus — Securelist