สรุปสั้น

บริษัท Kaspersky เปิดเผยผลวิเคราะห์แคมเปญจารกรรมทางไซเบอร์ระลอกใหม่ที่มุ่งเป้าองค์กรภาครัฐ ซึ่งส่วนใหญ่ตั้งอยู่ในภูมิภาคเอเชียกลาง ทั้งอัฟกานิสถาน คีร์กีซสถาน ทาจิกิสถาน อุซเบกิสถาน คาซัคสถาน และสาธารณรัฐอาหรับซีเรีย โดยกิจกรรมดังกล่าวดำเนินมาตั้งแต่เดือนมกราคม พ.ศ. 2568 องค์กรที่ตกเป็นเป้าหมายกระจายอยู่หลายภาคส่วน ตั้งแต่สาธารณสุข งานวิจัย สำนักงานราชการ กระทรวงการต่างประเทศ โลจิสติกส์ หน่วยงานบังคับใช้กฎหมาย หน่วยงานผังเมืองและบริหารจัดการสาธารณูปโภค ไปจนถึงสถานศึกษาของรัฐ นักวิจัยประเมินว่าผู้อยู่เบื้องหลังน่าจะเป็นผู้ก่อภัยที่พูดภาษาจีน แต่ย้ำชัดว่ายังไม่สามารถเชื่อมโยงกิจกรรมชุดนี้เข้ากับกลุ่มหรือชื่อรหัสใดที่วงการรู้จักอยู่ก่อนได้

จุดเด่นของแคมเปญคือการใช้แบ็กดอร์ที่ผ่านการทำ obfuscation ตัวใหม่ 2 ตัว ซึ่งบริษัท Kaspersky ติดตามในชื่อ OctLurk และ SilkLurk ควบคู่กับเครื่องมือเฉพาะทางชื่อ LurkProxy ที่ทำหน้าที่พร็อกซีทราฟฟิกเครือข่าย นาย Saurabh Sharma และนาย Yaroslav Kikel นักวิจัยผู้จัดทำรายงานระบุว่า แบ็กดอร์ทั้งสองตัวสามารถดาวน์โหลดและฉีดปลั๊กอินเพิ่มเติมเข้าไปทำงานต่อได้ ครอบคลุมตั้งแต่การเปิดคอมมานด์เชลล์ การจัดการไฟล์ในระบบ การสังเคราะห์เหตุการณ์คีย์บอร์ดและเมาส์ การสแกนเครือข่าย การดัมป์ข้อมูลรับรอง การดักแป้นพิมพ์ การขโมยรหัสผ่านจากเบราว์เซอร์ ไปจนถึงการเก็บรวบรวมอีเมล ส่วนเส้นทางที่ผู้โจมตีใช้เข้าถึงระบบครั้งแรกยังไม่เป็นที่ทราบแน่ชัด ซึ่งเป็นข้อจำกัดสำคัญของหลักฐานชุดนี้

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 1 สิงหาคม พ.ศ. 2569 ว่า บริษัท Kaspersky ได้เผยแพร่ผลวิเคราะห์แคมเปญโจมตีที่ใช้ชุดเครื่องมือใหม่ทั้งชุด โดยองค์ประกอบแรกคือ OctLurk ซึ่งถูกฉีดเข้าไปทำงานในหน่วยความจำผ่านตัวโหลด ก่อนหน้านั้นผู้โจมตีจะตรวจสอบว่าเครื่องเป้าหมายเชื่อมต่ออินเทอร์เน็ตได้จริงหรือไม่ ด้วยการทดสอบการติดต่อไปยังโดเมน dns.ssentialserv[.]xyz แล้วจึงรันสคริปต์แบตช์ที่ทำหน้าที่เรียก LurkProxy ขึ้นมาทำงาน จากนั้นเครื่องมือดังกล่าวจะติดต่อกลับไปยังเซิร์ฟเวอร์ควบคุมที่หมายเลข 154.196.162[.]76 (หมายเหตุ: ตัวบ่งชี้ทั้งหมดในบทความนี้ผ่านการ defang แล้ว)

เมื่อ OctLurk เริ่มทำงาน มันจะเก็บข้อมูลระบบของเครื่องเหยื่อ เข้ารหัส แล้วส่งไปยังเซิร์ฟเวอร์ควบคุมที่ฝังไว้ในโค้ดคือ dns.multitoconference[.]com ผ่านการเชื่อมต่อแบบ stream socket และรองรับการโหลดปลั๊กอินที่ได้รับจากเซิร์ฟเวอร์เข้าไปทำงานในหน่วยความจำโดยตรง เพื่อเปิดความสามารถเพิ่มเติมทั้งการรันคำสั่ง การจัดการไฟล์ การเก็บและแก้ไขเนื้อหาในคลิปบอร์ด การจับภาพหน้าจอ และการสั่งการเมาส์

องค์ประกอบที่สามคือ SilkLurk ซึ่งถูกเรียกทำงานผ่านไฟล์ DLL ที่รันด้วยเทคนิค DLL side-loading เมื่อทำงานแล้วแบ็กดอร์จะสร้าง TCP socket เชื่อมต่อไปยังเซิร์ฟเวอร์ควบคุมตามที่ระบุไว้ในไฟล์ตั้งค่าของตัวเอง เก็บข้อมูลของเครื่องเหยื่อส่งกลับไป แล้วรอรับคำสั่งกลับมาทำงาน คำสั่งที่รองรับมีตั้งแต่การอ่านเวลาท้องถิ่นของระบบ การตั้งช่วงเวลาหลับเพื่อกำหนดความถี่ในการติดต่อเซิร์ฟเวอร์ควบคุม การส่งหรืออัปเดตค่าตั้งของแบ็กดอร์ ไปจนถึงการรับปลั๊กอินเพิ่มเติมมาฉีดเข้าหน่วยความจำ

บริษัท Kaspersky ยังพบว่าโครงสร้างพื้นฐานของแคมเปญนี้ทับซ้อนกับการโจมตีชุดก่อนหน้าที่ใช้อิมแพลนต์เขียนด้วยภาษา C++ ชื่อรหัส SilentRaid (หรือที่รู้จักในชื่อ MystRodX และ TrustFall) โดยระบุว่า “การทับซ้อนนี้ชี้ว่ามีการใช้โครงสร้างพื้นฐานร่วมกันข้ามแคมเปญที่เล็งระบบปฏิบัติการต่างกัน แต่ยังไม่ชัดเจนว่ากิจกรรมเหล่านี้ดำเนินไปพร้อมกันหรือคนละช่วงเวลา” ซึ่งเป็นอีกจุดที่นักวิจัยเลือกไม่ฟันธง และย้ำว่า “การปรากฏตัวของเฟรมเวิร์กมัลแวร์แบบหลายปลั๊กอินอย่าง OctLurk และ SilkLurk สะท้อนว่าผู้ก่อภัยปรับกลยุทธ์อย่างต่อเนื่องเพื่อเลี่ยงการตรวจจับและรักษาการควบคุมเครือข่ายที่ยึดได้”

วิธีการโจมตี

หลังยึดเครื่องได้แล้ว ผู้โจมตีใช้ปลั๊กอินคอมมานด์เชลล์ของ OctLurk เดินสายงานหลังการเจาะระบบเป็นลำดับ เริ่มจากเก็บลายนิ้วมือของโฮสต์และกวาดข้อมูลของระบบที่ถูกเจาะอย่างละเอียด ตามด้วยการรันคำสั่งส่งออกเหตุการณ์ล็อกอินสำเร็จเฉพาะแบบ remote interactive และค้นเหตุการณ์เหล่านั้นเจาะจงรายผู้ใช้ เพื่อไล่หาบัญชีที่มีค่าต่อการขยายสิทธิ์ จากนั้นดึงค่าแฮชของรหัสผ่านจากโดเมนคอนโทรลเลอร์ด้วยเครื่องมือ secretsdump.py ของชุด Impacket

ขั้นถัดมาคือการวางและรันคีย์ล็อกเกอร์ที่ปลอมตัวเป็นโปรแกรม AnyDesk เพื่อเลี่ยงการตรวจจับ ควบคู่กับการถอดรหัสและดึงรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์ Google Chrome และ Mozilla Firefox แล้วสร้างช่องทางเข้าถึงเครื่องเหยื่อจากระยะไกลด้วยเอเจนต์ Pandora RC ก่อนจะสแกนทั้งเครือข่ายภายในและเครือข่ายสาธารณะด้วยเครื่องมือ Fscan เพื่อหาบริการที่เปิดอยู่บนพอร์ตสำคัญ เช่น SSH บนพอร์ต 22 และ MySQL บนพอร์ต 3306 แล้วพยายามเข้าใช้บริการเหล่านั้นด้วยรหัสผ่านจากไฟล์ชื่อ pp.txt นอกจากนี้ยังพบการเชื่อมต่อไปยังเซิร์ฟเวอร์อีเมล ยืนยันตัวตนด้วยชื่อผู้ใช้และรหัสผ่าน แล้วสั่งเก็บหรือจัดการอีเมลของเหยื่อโดยตรง

ฝั่ง LurkProxy ทำงานเป็น reverse proxy ได้ 2 โหมด คือเป็นพร็อกซีแบบ SOCKS5 หรือพร็อกซีแบบโปร่งใส (transparent proxy) โดยในเวลาหนึ่ง ๆ มัลแวร์จะทำงานได้เพียงโหมดเดียวเพื่อส่งต่อทราฟฟิกไปยังปลายทางที่กำหนด ส่วนกิจกรรมหลังการเจาะระบบที่โยงกับ SilkLurk คือการเรียก cmd.exe เพื่อเปิด PowerShell แล้วรันคำสั่งเชื่อมต่อทรัพยากรที่แชร์บนเครือข่ายด้วยข้อมูลรับรองระดับผู้ดูแลระบบ ค้นและรวบรวมเอกสารลับไว้ที่จุดพัก ตัดการเชื่อมต่อจากแชร์ แล้วใช้โปรแกรมบีบอัดที่ถูกกฎหมายอย่าง WinRAR และ 7-Zip บีบอัดข้อมูลที่ขโมยมา นอกจากนี้ยังพบการเรียก cmd.exe เพื่อเริ่มห่วงโซ่ DLL side-loading สำหรับวางแบ็กดอร์ PlugX ซึ่งเป็นเครื่องมือที่กลุ่มแฮ็กเกอร์จีนใช้กันมานาน

ผลกระทบ

เป้าหมายของแคมเปญนี้เป็นหน่วยงานรัฐโดยตรง ทั้งกระทรวงการต่างประเทศ หน่วยงานบังคับใช้กฎหมาย และหน่วยงานผังเมือง ซึ่งเป็นชุดเป้าหมายที่สอดคล้องกับงานจารกรรมเชิงข่าวกรองมากกว่าอาชญากรรมเรียกค่าไถ่ ความสามารถที่พบครบตั้งแต่ดักแป้นพิมพ์ เก็บอีเมล ดัมป์แฮชจากโดเมนคอนโทรลเลอร์ ไปจนถึงบีบอัดเอกสารลับส่งออก หมายความว่าองค์กรที่ถูกเจาะสำเร็จมีโอกาสสูญเสียทั้งข้อมูลนโยบาย เอกสารทางการทูต และข้อมูลรับรองของผู้ดูแลระบบไปพร้อมกัน

สิ่งที่ทำให้การตรวจจับยากเป็นพิเศษคือสถาปัตยกรรมของมัลแวร์ทั้งสองตระกูล ซึ่งบริษัท Kaspersky ระบุว่าทำงานในหน่วยความจำเป็นหลัก และทิ้งไว้บนดิสก์เพียงตัวโหลดขนาดเล็กที่สุดเท่าที่จำเป็น โดยตัวโหลดจะอาศัยข้อมูลเฉพาะของเครื่องแต่ละเครื่องมาถอดตำแหน่งและเนื้อหาของเพย์โหลด — OctLurk ใช้หมายเลขซีเรียลของไดรฟ์ ส่วน SilkLurk ใช้ชื่อคอมพิวเตอร์ — การเข้ารหัสที่ผูกกับเหยื่อรายเครื่องแบบนี้ทำให้การทำวิศวกรรมย้อนกลับและการสร้างระบบตรวจจับอัตโนมัติยากขึ้นมาก เพราะตัวอย่างที่เก็บมาจากเครื่องหนึ่งอาจถอดออกมาไม่ได้เลยหากไม่มีบริบทของเครื่องนั้น

อย่างไรก็ตาม ต้องระบุข้อจำกัดของหลักฐานให้ชัด รายงานยังไม่ทราบเส้นทางเข้าถึงครั้งแรก ไม่ระบุจำนวนองค์กรที่ถูกเจาะสำเร็จ และไม่ได้ผูกกิจกรรมเข้ากับกลุ่มที่มีชื่ออยู่แล้ว การประเมินว่าเป็นผู้ก่อภัยที่พูดภาษาจีนจึงเป็นการอนุมานจากร่องรอยและเครื่องมือที่ใช้ เช่น Fscan และ PlugX เป็นสำคัญ ไม่ใช่การระบุตัวตนที่ยืนยันได้

คำแนะนำ

ผู้ดูแลระบบขององค์กรภาครัฐควรตรวจสอบทราฟฟิกขาออกที่มุ่งไปยังโดเมนและหมายเลขไอพีที่ปรากฏในรายงาน และเฝ้าระวังการเรียกใช้ cmd.exe ที่ตามด้วย PowerShell เพื่อเชื่อมต่อ network share ด้วยสิทธิ์ผู้ดูแลระบบ รวมถึงการเรียกใช้ WinRAR หรือ 7-Zip ในบริบทที่ไม่ใช่งานปกติของผู้ใช้ ซึ่งมักเป็นสัญญาณของการรวบรวมข้อมูลก่อนส่งออก

ควรจำกัดสิทธิ์บัญชีผู้ดูแลโดเมนอย่างเข้มงวดและเฝ้าระวังการเข้าถึงโดเมนคอนโทรลเลอร์ในลักษณะที่เข้าข่ายการดัมป์ข้อมูลรับรอง เนื่องจากผู้โจมตีใช้ Impacket ซึ่งทิ้งร่องรอยที่ตรวจจับได้หากเปิดล็อกที่เหมาะสม พร้อมกันนั้นควรตรวจสอบไฟล์ปฏิบัติการที่ใช้ชื่อหรือไอคอนของโปรแกรมยอดนิยมอย่าง AnyDesk แต่รันจากพาธที่ผิดปกติ เพราะเป็นเทคนิคอำพรางที่พบในแคมเปญนี้โดยตรง

นอกจากนี้ควรบังคับใช้รหัสผ่านที่แข็งแรงและไม่ซ้ำกันสำหรับบริการภายในอย่าง SSH และ MySQL เพราะผู้โจมตีใช้วิธีสแกนหาพอร์ตแล้วลองรหัสผ่านจากไฟล์รายการที่เตรียมไว้ ซึ่งจะได้ผลก็ต่อเมื่อองค์กรยังใช้รหัสผ่านซ้ำหรือรหัสผ่านที่คาดเดาได้ และควรวางระบบตรวจจับที่มองพฤติกรรมในหน่วยความจำ ไม่พึ่งการสแกนไฟล์บนดิสก์เพียงอย่างเดียว เพราะมัลแวร์ชุดนี้ออกแบบมาให้เหลือร่องรอยบนดิสก์น้อยที่สุด

แหล่งอ้างอิง