ผู้ก่อภัยพูดจีนใช้ชุดเจาะ DarkSword ที่ซอร์สโค้ดรั่ว วางสปายแวร์ GHOSTBLADE บน iOS ผ่านหน้าล็อกอิน AWS ปลอมกว่า 100 แห่ง

สรุปสั้น

แพลตฟอร์มบริหารจัดการพื้นผิวการโจมตี Censys รายงานว่าตรวจพบผู้ก่อภัยรายหนึ่งที่คาดว่าพูดภาษาจีน กำลังเดินแคมเปญโจมตีอุปกรณ์ iOS ด้วย DarkSword ซึ่งเป็นชุดเจาะระบบแบบครบสายโซ่ที่เดิมทีเป็นเครื่องมือของผู้ขายซอฟต์แวร์สอดแนมเชิงพาณิชย์และผู้ก่อภัยที่ต้องสงสัยว่ารัฐหนุนหลัง แต่หลังจากซอร์สโค้ดของชุดนี้รั่วสู่สาธารณะ ผู้ก่อภัยรายอื่นก็เริ่มหยิบไปใช้กันเป็นทอด ๆ กลุ่มที่ Censys ตามรอยอยู่นี้ควบคุมเว็บพร็อพเพอร์ตี้มากกว่า 100 แห่ง ซึ่งส่วนใหญ่เป็นหน้าล็อกอิน Amazon Web Services ปลอมที่วางอยู่บนโดเมนเดียวกับที่โฮสต์ตัวชุดเจาะระบบไว้ด้วย โครงสร้างพื้นฐานกระจุกตัวอยู่ที่ฮ่องกงเป็นหลัก แต่ยังแผ่ไปถึงญี่ปุ่น สหรัฐอเมริกา และยุโรป

สายโซ่การโจมตีเริ่มจากเหยื่อที่หลงเข้าไปยังโดเมนของผู้ก่อภัย ไม่ว่าจะเป็นซับโดเมนที่ปลอมเป็นคอนโซล AWS หรือหน้าลงชื่อเข้าใช้ Apple ID จากนั้น iframe ที่ฝังไว้จะโหลดจาวาสคริปต์เพื่อจุดชนวนช่องโหว่ใน iOS ที่ปัจจุบันแพตช์แล้ว และปิดท้ายด้วยการวางมอดูลของ GHOSTBLADE ซึ่งเป็นมัลแวร์ขโมยข้อมูล เมื่อเจาะสำเร็จ ตัวฝังจะดึงข้อมูลรับรองจาก keychain, iCloud และ Wi-Fi แล้วกวาดไฟล์ออกไปยังปลายทางของผู้โจมตี ก่อนที่ผู้ก่อภัยจะล็อกอินเข้าแผงควบคุมเพื่อดึงข้อมูลที่ขโมยมา

จุดที่ทำให้ Censys ฟันธงว่าคลัสเตอร์นี้ “รันชุดที่รั่วมา” ไม่ใช่การเขียนขึ้นใหม่เอง คือแฮชของหน้า staging ที่ใช้ร่วมกัน บวกกับคอมเมนต์โค้ดภาษารัสเซียที่ติดมาจากซอร์สโค้ดต้นทางโดยไม่ได้ลบออก อย่างไรก็ตาม รายงานไม่ได้ระบุว่ามีเหยื่อจริงกี่ราย เป็นใครบ้าง หรือแคมเปญนี้เชื่อมโยงกับกลุ่มที่มีชื่อเรียกอยู่แล้วกลุ่มใด

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 สิงหาคม 2569 ว่า นายเอแดน ฮอลแลนด์ (Aidan Holland) นักวิจัยของ Censys ได้เผยแพร่บทวิเคราะห์เมื่อวันที่ 31 กรกฎาคม 2569 ระบุว่าพบผู้ก่อภัยที่ไม่ทราบชื่อซึ่งคาดว่าเป็นชาวจีน นำ DarkSword เวอร์ชันที่รั่วสู่สาธารณะมาใช้เล่นงานผู้ใช้ iOS

DarkSword ถูกค้นพบและถอดรายละเอียดไว้ก่อนหน้านี้ในปีนี้โดย Google Threat Intelligence Group (GTIG) ร่วมกับ iVerify และ Lookout โดยจัดเป็นชุดเจาะระบบแบบครบสายโซ่ที่เชื่อว่าถูกใช้โดยผู้ขายซอฟต์แวร์สอดแนมเชิงพาณิชย์และผู้ก่อภัยที่ต้องสงสัยว่ารัฐหนุนหลัง ในแคมเปญที่แยกจากกันหลายชุดซึ่งพุ่งเป้าไปที่ซาอุดีอาระเบีย ตุรกี มาเลเซีย และยูเครน อย่างน้อยตั้งแต่เดือนพฤศจิกายน 2568

ตัวชุดเจาะระบบเล็งเป้าไปที่ iOS เวอร์ชัน 18.4 ถึง 18.7 โดยเฉพาะ และมีรูปแบบการใช้งานที่พบบ่อยคือการวางกับดักแบบ watering hole เพื่อกระตุ้นช่องโหว่ในระบบปฏิบัติการมือถือของ Apple ที่ปัจจุบันได้รับการแก้ไขแล้ว ให้รันจาวาสคริปต์ซึ่งนำไปสู่การติดตั้ง GHOSTBLADE ในที่สุด

ข้อมูลล่าสุดจาก Censys ระบุว่า ณ วันที่ 30 กรกฎาคม 2569 หน้าล็อกอินของแผงควบคุมชื่อ “DarkSword Admin” ตรงกับโฮสต์เจ็ดแห่งใน 3 ประเทศ นอกจากนี้ยังพบโฮสต์ในสิงคโปร์ที่รันหน้าเว็บของแผงเจาะระบบสามแบบแยกจากกัน และโฮสต์ในฮ่องกงที่พ่วงหน้าล่อลวงสำหรับเก็บข้อมูลรับรอง Apple ID เอาไว้ด้วย โดยหน้าล็อกอินหนึ่งที่ให้บริการอยู่บนพอร์ต 8888 มีป้ายกำกับช่องกรอก “ชื่อผู้ใช้” “รหัสผ่าน” และ “เข้าสู่ระบบ” เป็นภาษาจีน

Censys ยังพบว่าโฮสต์ในสิงคโปร์ที่ปัจจุบันไม่ทำงานแล้ว เคยโฮสต์แผงจัดการของ Coruna ซึ่งเป็นชุดเจาะ iOS อีกตัวที่เก่ากว่า DarkSword และเล่นงาน iOS เวอร์ชัน 3.0 ถึง 17.2.1 โดยมีหลักฐานบางส่วนชี้ว่าผู้ก่อภัยที่รู้จักกันในชื่อ UNC6353 เคยใช้ชุดเจาะทั้งสองตัวในการโจมตีเป้าหมายในยูเครน

อีกจุดที่น่าสนใจคือไดเรกทอรีเปิดในแฟรงก์เฟิร์ตที่เผยเครื่องมือของผู้ปฏิบัติการออกมา ทั้งคอมเมนต์คีย์ SSH ที่เขียนว่า jkcing@apt เครื่องมือ fuzz เนื้อหาเว็บ และการอ้างอิงถึงมัลแวร์ตระกูลใหม่ที่ยังไม่เคยมีเอกสารบันทึกไว้ในชื่อ Thorn C2

นายฮอลแลนด์ระบุเพิ่มเติมว่า หน้าล็อกอินของ “C2 Control Panel” มีหน้าตาต่างจากอีกสองแผงอย่างชัดเจน ทั้งพื้นหลังสีเกือบดำ สีเน้นแดง เอฟเฟกต์อนุภาคเคลื่อนไหว ชื่อกลุ่มที่พิมพ์ไว้บนหน้าเว็บตรง ๆ ว่า 亚太集团 หรือ “Asia-Pacific Group” และลิงก์ติดต่อ Telegram ที่มองเห็นได้ ซึ่งเขาบอกว่านี่เป็นช่องทางติดต่อโดยตรงช่องแรกที่กู้คืนมาได้จากผู้ปฏิบัติการรายนี้ ขณะที่แผงอื่นให้แค่ประตูล็อกอินและไม่มีอะไรมากกว่านั้น

วิธีการโจมตี

การโจมตีเดินตามรูปแบบที่ค่อนข้างคงที่ เริ่มจากเหยื่อเข้าถึงโดเมนของผู้ปฏิบัติการ ซึ่งอาจเป็นซับโดเมนที่ปลอมตัวเป็นคอนโซล AWS หรือหน้าลงชื่อเข้าใช้ Apple ID จากนั้นองค์ประกอบ iframe ที่เป็นอันตรายจะโหลดจาวาสคริปต์ที่จุดชนวนสายโซ่ DarkSword และปิดท้ายด้วยการวางมอดูลของ GHOSTBLADE

เมื่อเจาะระบบสำเร็จ ตัวฝังจะส่งมอดูลสำหรับดัมป์ข้อมูลรับรองจาก keychain, iCloud และ Wi-Fi แล้วเริ่มกวาดไฟล์ออกจากเครื่อง ข้อมูลที่เก็บได้จะถูกจัดแพ็กและส่งไปยังปลายทางที่ผู้โจมตีควบคุม จากนั้นผู้โจมตีจึงล็อกอินเข้าแผงใดแผงหนึ่ง ได้แก่ DarkSword Admin, Decode Dashboard หรือ C2 Control Panel เพื่อดึงข้อมูลที่ขโมยมาออกไป

จุดที่ทำให้แคมเปญนี้ต่างจากการใช้ DarkSword รอบก่อน ๆ คือผู้ก่อภัยรายนี้ไม่ได้เขียนชุดเจาะขึ้นใหม่ แต่รันโค้ดที่รั่วออกมาแทบจะตรง ๆ หลักฐานคือแฮชของหน้า staging ที่ใช้ร่วมกันกับซอร์สที่รั่ว และคอมเมนต์โค้ดภาษารัสเซียที่ยังคงติดค้างอยู่ในไฟล์โดยไม่ได้ถูกลบทิ้ง

ผลกระทบ

การที่ซอร์สโค้ดของชุดเจาะระดับ full-chain รั่วสู่สาธารณะ ทำให้ความสามารถที่เคยจำกัดอยู่ในมือผู้ขายซอฟต์แวร์สอดแนมเชิงพาณิชย์และผู้ก่อภัยที่รัฐหนุนหลัง กลายเป็นของที่ผู้ก่อภัยทั่วไปหยิบไปใช้ได้ทันที กรณีนี้จึงเป็นตัวอย่างว่าต้นทุนของการเจาะ iOS ลดลงอย่างมีนัยสำคัญเมื่อเครื่องมือหลุดออกมา และองค์กรไม่สามารถถือว่าอุปกรณ์ iOS ปลอดภัยโดยอัตโนมัติเพียงเพราะการโจมตีระดับนี้ “แพงเกินไปสำหรับอาชญากรทั่วไป” ได้อีกต่อไป

เป้าหมายที่ตรงจุดที่สุดคือข้อมูลรับรองในองค์กร เพราะหน้าล่อลวงส่วนใหญ่ปลอมเป็นหน้าล็อกอิน AWS ไม่ใช่บริการผู้บริโภคทั่วไป นั่นหมายความว่าผู้ก่อภัยเล็งไปที่ผู้ใช้ที่ถือสิทธิ์คลาวด์ และเมื่อได้ข้อมูลจาก keychain และ iCloud ของเครื่องนักพัฒนาหรือผู้ดูแลระบบไป ผลกระทบจะไม่จบที่ตัวเครื่อง แต่ลามไปถึงบัญชีคลาวด์ขององค์กรได้

สิ่งที่ยังไม่ทราบมีอยู่หลายจุด รายงานของ Censys เป็นการสำรวจโครงสร้างพื้นฐานจากภายนอก จึงไม่มีข้อมูลว่ามีเหยื่อจริงกี่ราย อยู่ในประเทศใด หรืออุตสาหกรรมใด ทั้งยังโยงคลัสเตอร์นี้เข้ากับกลุ่มที่มีชื่อเรียกอยู่แล้วไม่ได้ นอกเหนือจากการชี้ว่าผู้ปฏิบัติการน่าจะพูดภาษาจีนจากหลักฐานภาษาบนแผงควบคุม

คำแนะนำ

ผู้ดูแลระบบควรบังคับให้อุปกรณ์ iOS ในองค์กรอัปเดตขึ้นเหนือช่วงเวอร์ชัน 18.4 ถึง 18.7 ที่ชุดเจาะนี้เล็งไว้ และตรวจสอบผ่านระบบ MDM ว่ามีเครื่องใดค้างอยู่ในช่วงดังกล่าวหรือไม่ โดยเฉพาะเครื่องของผู้ที่มีสิทธิ์เข้าถึงคอนโซลคลาวด์

ควรบล็อกและเฝ้าระวังตัวบ่งชี้ในตารางด้านล่างบนอุปกรณ์ป้องกันขอบเครือข่ายและพร็อกซี รวมถึงตรวจสอบล็อก DNS ย้อนหลังว่ามีอุปกรณ์ใดเคยติดต่อกับโฮสต์เหล่านี้หรือไม่

เนื่องจากจุดตั้งต้นคือหน้าล็อกอินปลอม ควรบังคับใช้วิธียืนยันตัวตนที่ต้านฟิชชิงได้อย่าง passkey หรือกุญแจฮาร์ดแวร์ FIDO2 กับบัญชี AWS และ Apple ID ขององค์กร เพราะรหัสผ่านและ OTP ที่กรอกลงหน้าปลอมจะถูกเก็บไปใช้ได้ทันที และควรอบรมผู้ใช้ให้เข้าคอนโซลคลาวด์จากบุ๊กมาร์กที่บันทึกไว้เอง ไม่ใช่จากลิงก์ในอีเมลหรือข้อความ

สำหรับเครื่องที่สงสัยว่าถูกเจาะ การรีบูตอย่างเดียวไม่พอ ควรถือว่าข้อมูลรับรองทั้งหมดใน keychain, บัญชี iCloud และรหัส Wi-Fi ขององค์กรที่เคยบันทึกบนเครื่องนั้นรั่วแล้ว และดำเนินการเปลี่ยนทั้งชุด พร้อมเพิกถอนเซสชันและโทเคนที่ยังใช้งานอยู่

Indicators of Compromise (IoCs)

แหล่งอ้างอิง

• Chinese Threat Actor Uses Leaked DarkSword Kit to Deploy GHOSTBLADE on iOS — The Hacker News
• DarkSword’s Panel Sprawl — Censys