BlackTech ฝังแบ็กดอร์ BlueShell เวอร์ชัน Linux ในองค์กรญี่ปุ่น — ลบไฟล์ตัวเองทิ้งหลังรัน แล้วลอดออกผ่านพร็อกซีของเหยื่อเอง

สรุปสั้น

กลุ่มภัยคุกคาม BlackTech ซึ่งเป็นกลุ่มจารกรรมไซเบอร์ที่เคลื่อนไหวในเอเชียตะวันออกมายาวนาน ถูกเชื่อมโยงกับการนำแบ็กดอร์เวอร์ชัน Linux เข้าไปติดตั้งในเครือข่ายขององค์กรในประเทศญี่ปุ่น โดยนักวิเคราะห์ของ IIJ Security Diary ระบุว่ามัลแวร์ที่พบคือ BlueShell เวอร์ชันสำหรับ Linux ซึ่งถูกใช้ในขั้นตอนหลังเจาะระบบสำเร็จแล้ว ไม่ใช่เครื่องมือสำหรับเจาะเข้ามาครั้งแรก และรายงานระบุว่าพบตัวอย่างใหม่ถึง 3 รูปแบบภายในเดือนพฤษภาคม 2569 เพียงเดือนเดียว ตัวมัลแวร์เขียนด้วยภาษา Go และพัฒนาต่อยอดมาจากเครื่องมือเข้าถึงระยะไกลแบบโอเพนซอร์สที่หาได้ทั่วไป แต่เวอร์ชันที่พบครั้งนี้ถูกเติมฟังก์ชันที่ตั้งใจทำให้การสืบสวนยากขึ้นอย่างชัดเจน

ความสามารถของแบ็กดอร์ตัวนี้ครอบคลุมการรันคำสั่งบนเครื่องเหยื่อ การรับส่งไฟล์ การเปิดเชลล์ และการสร้างพร็อกซี SOCKS5 ซึ่งเปิดทางให้ผู้โจมตีใช้เครื่องที่ยึดได้เป็นหัวสะพานไปยังระบบภายในเครื่องอื่นต่อ ผลกระทบจึงไม่จำกัดอยู่แค่เซิร์ฟเวอร์ที่ติดเชื้อ แต่ลามไปถึงระบบภายในและข้อมูลอ่อนไหวขององค์กรทั้งหมดที่เซิร์ฟเวอร์ตัวนั้นมองเห็น จุดที่ทำให้เคสนี้ยากเป็นพิเศษสำหรับทีมตอบสนองเหตุคือโหลดเดอร์จะลบไฟล์แบ็กดอร์ออกจากระบบไฟล์ทันทีหลังรันสำเร็จ และตัวโหลดเดอร์เองก็อาจถูกลบตามไปด้วย ทำให้การตรวจดิสก์ตามขั้นตอนปกติแทบไม่เหลือหลักฐานให้เก็บ

สิ่งที่ถือเป็นพัฒนาการใหม่ที่สุดคือความสามารถในการติดต่อเซิร์ฟเวอร์ควบคุมโดยวิ่งผ่านพร็อกซีเซิร์ฟเวอร์ขององค์กรเหยื่อเอง ซึ่งเวอร์ชันก่อนปี 2566 ยังไม่มี แต่ตัวอย่างที่พบตั้งแต่ปี 2567 เป็นต้นมาใช้ความสามารถนี้มากขึ้นเรื่อย ๆ ผลคือการเชื่อมต่อของมัลแวร์ดูกลืนไปกับทราฟฟิกธุรกิจปกติจนแยกยาก ยังไม่มีการเปิดเผยว่าองค์กรใดบ้างที่ตกเป็นเหยื่อ จำนวนเครื่องที่ได้รับผลกระทบ หรือเป้าหมายสุดท้ายของการจารกรรมครั้งนี้คืออะไร รายงานเน้นเฉพาะการวิเคราะห์ตัวมัลแวร์และพฤติกรรมหลังเจาะระบบเป็นหลัก

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 31 กรกฎาคม 2569 ว่า มีการตรวจพบแบ็กดอร์ BlueShell เวอร์ชัน Linux ถูกนำไปใช้โจมตีองค์กรในประเทศญี่ปุ่น โดยเชื่อมโยงกับกลุ่ม BlackTech ซึ่งเป็นกลุ่มจารกรรมไซเบอร์ที่มีประวัติการโจมตีองค์กรในภูมิภาคเอเชียตะวันออกมาอย่างต่อเนื่อง รายงานฉบับนี้อ้างอิงการวิเคราะห์ของ IIJ Security Diary ซึ่งเป็นทีมวิจัยด้านความมั่นคงปลอดภัยของผู้ให้บริการอินเทอร์เน็ตรายใหญ่ในญี่ปุ่น

นักวิเคราะห์ของ IIJ Security Diary ระบุในรายงานที่ส่งให้ Cyber Security News ว่าได้สังเกตพบตัวอย่างมัลแวร์เวอร์ชันใหม่ถึง 3 รูปแบบภายในเดือนพฤษภาคม 2569 ทั้งหมดเป็น BlueShell เวอร์ชัน Linux ที่ถูกใช้ในกิจกรรมช่วงหลังการเจาะระบบ ซึ่งหมายความว่าผู้โจมตีได้เข้าถึงเครือข่ายเป้าหมายอยู่แล้วก่อนจะนำเครื่องมือตัวนี้เข้ามาใช้ต่อ

รูปแบบการโจมตีที่พบเริ่มจากผู้โจมตีที่มีสิทธิ์เข้าถึงเครือข่ายอยู่แล้ว เคลื่อนตัวด้านข้างไปยังเครื่องอื่นภายในองค์กรผ่านโพรโทคอล SSH จากนั้นจึงติดตั้งโหลดเดอร์ที่ทำหน้าที่เรียกแบ็กดอร์ขึ้นมาทำงาน แนวทางนี้สอดคล้องกับความสนใจเดิมของกลุ่ม BlackTech ที่เน้นการเข้าถึงเครือข่ายแบบหลบซ่อนตัว รวมถึงกิจกรรมในอดีตที่กลุ่มนี้เจาะเราเตอร์ขององค์กรเพื่อใช้เป็นจุดตั้งหลักในเครือข่ายบริษัท

BlueShell เองไม่ใช่ของใหม่ เพราะเป็นเครื่องมือที่พัฒนาจากโครงการโอเพนซอร์สและถูกใช้โดยผู้โจมตีหลายกลุ่มมาก่อน แต่สิ่งที่ IIJ ชี้ให้เห็นคือเวอร์ชันที่ BlackTech ใช้นั้นถูกดัดแปลงเพิ่มหลายจุด ตั้งแต่การเปลี่ยนชื่อคำสั่งภายในเพื่อชะลอการวิเคราะห์ ไปจนถึงกลไกตรวจสอบสภาพแวดล้อมก่อนทำงานจริง แม้นักวิจัยจะยังพอเดาหน้าที่ของคำสั่งเหล่านั้นได้จากข้อมูลที่หลงเหลืออยู่ในไบนารีของภาษา Go ก็ตาม

การที่กลุ่มนี้ยังคงปรับปรุงเครื่องมือของตัวเองอย่างต่อเนื่องขณะที่ฝ่ายป้องกันพัฒนาการเฝ้าระวังขึ้น สะท้อนว่าปฏิบัติการจารกรรมต่อเป้าหมายในญี่ปุ่นยังไม่มีทีท่าจะยุติ และการเลือกโจมตีระบบ Linux ก็เป็นการเล็งไปที่จุดที่หลายองค์กรยังตรวจตราน้อยกว่าฝั่ง Windows อย่างเห็นได้ชัด

ต้องระบุด้วยว่ารายงานนี้ไม่ได้เปิดเผยชื่อองค์กรที่ตกเป็นเหยื่อ ไม่ได้ระบุจำนวนเครื่องที่ถูกเจาะ และไม่ได้ฟันธงว่าข้อมูลใดถูกขโมยออกไปบ้าง ขอบเขตของรายงานจำกัดอยู่ที่การวิเคราะห์ตัวมัลแวร์ พฤติกรรมของโหลดเดอร์ และตัวบ่งชี้การถูกบุกรุกเป็นหลัก ผู้อ่านจึงไม่ควรตีความว่าเป็นภาพรวมความเสียหายทั้งหมดของแคมเปญ

วิธีการโจมตี

ลูกโซ่การทำงานเริ่มที่โหลดเดอร์ ซึ่งจะถอดรหัสข้อมูลที่ซ่อนไว้ในตัวเอง คลายการบีบอัดออกมาเป็นตัวแบ็กดอร์ แล้วสั่งให้ทำงานพร้อมกับแก้ไขข้อมูลของโปรเซสให้ดูเหมือน kernel worker ตามปกติของ Linux โดยตัวอย่างชื่อโปรเซสที่พบคือ kworker1212 ซึ่งเลียนแบบรูปแบบการตั้งชื่อของเคอร์เนลจริงจนผู้ดูแลระบบที่เปิดดูรายการโปรเซสแบบผ่าน ๆ แทบไม่มีทางสังเกตเห็น

ขั้นตอนถัดมาคือการลบร่องรอย โหลดเดอร์จะลบไฟล์แบ็กดอร์ออกจากระบบไฟล์หลังเริ่มรันเรียบร้อยแล้ว และตัวโหลดเดอร์เองก็อาจถูกลบตามไปด้วยหลังทำงานเสร็จ ผลคือเมื่อทีมตอบสนองเหตุเข้าไปตรวจ มักไม่พบไฟล์มัลแวร์ที่คาดว่าจะเจอ ทั้งที่โปรเซสยังทำงานอยู่ในหน่วยความจำ นักวิจัยจึงแนะนำให้รักษาสภาพเครื่องที่สงสัยไว้โดยเร็วที่สุด และพิจารณาใช้เทคนิค file-system carving หรือการตรวจพิสูจน์หลักฐานจากหน่วยความจำแทนการพึ่งพาการตรวจดิสก์เพียงอย่างเดียว โดยเฉพาะเมื่อพบกิจกรรม SSH ที่น่าสงสัยหรือมีสัญญาณว่าข้อมูลรับรอง SSH ถูกขโมย

เมื่อแบ็กดอร์ทำงาน มันจะอ่านค่าคอนฟิกที่ซ่อนไว้จากตัวแปรสภาพแวดล้อม แล้วตรวจสอบก่อนว่ากำลังรันอยู่บนเครื่องที่เป็นเป้าหมายจริงหรือไม่ ซึ่งเป็นกลไกกันไม่ให้มัลแวร์เผยตัวเมื่อถูกนำไปรันในแซนด์บ็อกซ์หรือห้องแล็บวิเคราะห์ หากผ่านการตรวจสอบ มันจึงจะเริ่มเก็บข้อมูลพื้นฐานของเครื่อง รับคำสั่งจากระยะไกล รับส่งไฟล์ เปิดเชลล์ และสร้างพร็อกซี SOCKS5 ให้ผู้โจมตีใช้เป็นทางผ่านไปยังทรัพยากรอื่นในเครือข่าย

จุดเด่นที่สุดในเชิงเทคนิคคือกลไกหลบเลี่ยงการตรวจจับที่ระดับเครือข่าย แบ็กดอร์รุ่นนี้สามารถติดต่อเซิร์ฟเวอร์ควบคุมโดยวิ่งผ่านพร็อกซีเซิร์ฟเวอร์ขององค์กรเหยื่อเอง ตัวอย่างคอนฟิกที่พบระบุพร็อกซีภายในที่ 10.210.20.254:3128 ซึ่งเป็นพอร์ตมาตรฐานของพร็อกซีองค์กร การส่งทราฟฟิกออกผ่านช่องทางที่ระบบถือว่าน่าเชื่อถืออยู่แล้วทำให้การเชื่อมต่ออันตรายดูใกล้เคียงกับกิจกรรมทางธุรกิจปกติ และรอดจากกฎการตรวจจับที่จับเฉพาะการเชื่อมต่อออกอินเทอร์เน็ตโดยตรงจากเซิร์ฟเวอร์

นอกจากนี้มัลแวร์ยังตรวจสอบบางส่วนของใบรับรองดิจิทัลของเซิร์ฟเวอร์ควบคุมก่อนจะเชื่อมต่อต่อไป ซึ่งเป็นการควบคุมอีกชั้นหนึ่งว่าจะยอมคุยกับปลายทางไหน กลไกนี้ทำให้การจำลองเซิร์ฟเวอร์ควบคุมเพื่อวิเคราะห์พฤติกรรม หรือการดักกลางด้วยอุปกรณ์ตรวจสอบ TLS ขององค์กร ทำได้ยากขึ้นด้วย

ผลกระทบ

ในเชิงปฏิบัติการ ผลกระทบที่หนักที่สุดตกอยู่กับกระบวนการตอบสนองเหตุ เพราะเทคนิคลบไฟล์ตัวเองบวกกับการปลอมชื่อโปรเซสเป็น kernel worker ทำให้ขั้นตอนตรวจสอบมาตรฐานอย่างการสแกนดิสก์หรือไล่ดูรายการโปรเซสให้ผลเป็นลบทั้งที่เครื่องติดเชื้ออยู่จริง องค์กรที่ไม่มีการเก็บล็อกการยืนยันตัวตน ล็อกพร็อกซี และเทเลเมทรีของเอนด์พอยต์ไว้นานพอ จะไม่สามารถประกอบภาพย้อนหลังได้เลยว่าผู้โจมตีเดินทางผ่านเครื่องใดมาบ้าง

การใช้พร็อกซีขององค์กรเป็นทางออกของ C2 ยังท้าทายสมมติฐานพื้นฐานของหลายทีมที่ตั้งกฎเฝ้าระวังไว้ว่า “เซิร์ฟเวอร์ในดาต้าเซ็นเตอร์ไม่ควรต่อออกอินเทอร์เน็ตเอง” เพราะในกรณีนี้มัลแวร์ไม่ได้ต่อออกเอง แต่ขอให้พร็อกซีต่อให้ ทราฟฟิกจึงถูกนับรวมอยู่ในกองเดียวกับการเรียกใช้งานเว็บของระบบอื่นทั้งบริษัท ทีมที่ไม่ได้แยกวิเคราะห์ล็อกพร็อกซีตามต้นทางจะมองไม่เห็นความผิดปกตินี้

สำหรับผู้ดูแลระบบในไทย มุมที่ควรจับตาคือโครงสร้างความสัมพันธ์ของธุรกิจ เนื่องจากภาคการผลิตในไทยมีบริษัทลูกและโรงงานในเครือของกลุ่มทุนญี่ปุ่นอยู่จำนวนมาก โดยเฉพาะในอุตสาหกรรมยานยนต์และอิเล็กทรอนิกส์ ซึ่งหลายแห่งเชื่อมต่อเครือข่ายกับบริษัทแม่ที่ญี่ปุ่นผ่านลิงก์เฉพาะหรือ VPN ระหว่างสาขา กลุ่ม BlackTech มีประวัติที่ถูกหน่วยงานความมั่นคงหลายประเทศระบุว่าใช้เครือข่ายของบริษัทลูกในภูมิภาคเป็นทางเข้าไปยังสำนักงานใหญ่ ดังนั้นเซิร์ฟเวอร์ Linux ในโรงงานไทยที่ดูเหมือนไม่มีข้อมูลสำคัญอะไร อาจมีค่าสำหรับผู้โจมตีในฐานะหัวสะพานมากกว่าที่เจ้าของระบบประเมินไว้

คำแนะนำ

อันดับแรก ให้ยกระดับการเคลื่อนตัวด้านข้างผ่าน SSH ระหว่างเซิร์ฟเวอร์ภายในเป็นสัญญาณความสำคัญสูง ไม่ใช่เหตุการณ์ปกติที่ปล่อยผ่าน ควรตั้งกฎแจ้งเตือนเมื่อมีการล็อกอิน SSH จากเซิร์ฟเวอร์หนึ่งไปยังอีกเซิร์ฟเวอร์หนึ่งในรูปแบบที่ไม่เคยเกิดขึ้นมาก่อน และตรวจสอบการใช้กุญแจ SSH ที่ถูกเพิ่มเข้ามาใหม่ในไฟล์ authorized_keys ของบัญชีที่มีสิทธิ์สูง

ด้านการเก็บหลักฐาน ต้องกำหนดระยะเวลาเก็บล็อกของเอนด์พอยต์ ล็อกการยืนยันตัวตน และล็อกพร็อกซี ให้ยาวพอจะประกอบเส้นทางการโจมตีย้อนหลังได้จริง เมื่อสงสัยว่าเครื่องใดถูกบุกรุก ห้ามรีบูตหรือรีอิมเมจทันที เพราะจะทำลายหลักฐานในหน่วยความจำซึ่งอาจเป็นที่เดียวที่ยังมีตัวมัลแวร์อยู่ ให้แยกเครื่องออกจากเครือข่ายแล้วเก็บ memory image ก่อนเสมอ

ด้านการเฝ้าระวังเครือข่าย ให้เพิ่มการตรวจสอบล็อกพร็อกซีโดยแยกตามเครื่องต้นทาง แล้วมองหาเซิร์ฟเวอร์ Linux ที่จู่ ๆ เริ่มใช้พร็อกซีทั้งที่ไม่เคยใช้มาก่อน เซสชันเข้ารหัสที่ปลายทางไม่คุ้นเคย และรูปแบบการติดต่อออกที่สม่ำเสมอเป็นจังหวะแบบ beacon ควบคู่กับการตรวจสอบชื่อโปรเซสที่อ้างว่าเป็น kernel worker แต่มี PID หรือคุณสมบัติไม่ตรงกับที่เคอร์เนลสร้างจริง เช่น มีไฟล์ปฏิบัติการอ้างอิงอยู่ใน /proc ทั้งที่ kernel thread ของจริงจะไม่มี

สุดท้าย ให้นำตัวบ่งชี้การถูกบุกรุกด้านล่างไปตรวจย้อนหลังในระบบ SIEM และแพลตฟอร์มข่าวกรองภัยคุกคามขององค์กร โดยเฉพาะการค้นหาการเชื่อมต่อไปยังที่อยู่ IP ของเซิร์ฟเวอร์ควบคุมที่ระบุไว้ และการค้นหาชื่อไฟล์กับชื่อโปรเซสที่มัลแวร์ใช้อำพรางตัว

Indicators of Compromise (IoCs)

หมายเหตุ: ตัวบ่งชี้ประเภทที่อยู่ IP ถูก defang (ใส่วงเล็บคั่นจุด) เพื่อป้องกันการคลิกหรือเชื่อมต่อโดยไม่ตั้งใจ ให้แปลงกลับเฉพาะภายในระบบข่าวกรองภัยคุกคามที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM ขององค์กร

แหล่งอ้างอิง

• BlueShell variant deployed by APT group — IIJ Security Diary
• BlackTech APT Deploys BlueShell Linux Backdoor Against Japanese Organizations — Cyber Security News