Deadlock อ้างโจมตี Tesco Engineer บริษัทวิศวกรรมไทย — คำอ้างฝ่ายเดียวบนเว็บปล่อยข้อมูล ที่ยังไม่มีอะไรยืนยัน

สรุปสั้น

เมื่อวันที่ 27 กรกฎาคม พ.ศ. 2569 ชื่อของบริษัท Tesco Engineer Co., Ltd. ปรากฏบนเว็บไซต์ปล่อยข้อมูลของกลุ่มแรนซัมแวร์ Deadlock พร้อมคำบรรยายสั้น ๆ ว่าเป็นบริษัทก่อสร้างและผลิตของไทยที่ตั้งอยู่ในกรุงเทพมหานคร ดำเนินธุรกิจด้านวิศวกรรมโยธาและผลิตท่ออุตสาหกรรมมาตั้งแต่ปี ค.ศ. 1976 หรือ พ.ศ. 2519 โดยกลุ่มระบุว่าได้ดูดไฟล์ภายในออกไปแล้ว และขู่ว่าจะเผยแพร่ข้อมูลทั้งหมดหากตัวแทนของบริษัทไม่ติดต่อกลับผ่านช่องทางที่ให้ไว้ ก่อนจะมีเว็บไซต์ผู้ให้บริการข่าวกรองภัยคุกคามหลายรายหยิบประกาศนี้ไปรายงานต่อในช่วงต้นเดือนสิงหาคม

สิ่งที่ต้องพูดให้ชัดตั้งแต่ต้นคือ ข่าวนี้ยังไม่มีอะไรที่ยืนยันได้เลย ประกาศบนเว็บไซต์ปล่อยข้อมูลไม่ได้ระบุปริมาณข้อมูลที่อ้างว่าดูดไป ไม่ได้ระบุประเภทไฟล์ ไม่ได้ระบุจำนวนเงินค่าไถ่ ไม่มีตัวอย่างไฟล์ให้ตรวจสอบ และจนถึงขณะที่เขียนบทความนี้ยังไม่มีคำแถลงหรือคำยืนยันใด ๆ จากบริษัท ไม่มีการแจ้งเหตุต่อหน่วยงานกำกับดูแล และไม่มีตัวบ่งชี้การถูกบุกรุกที่ผูกกับเหตุการณ์นี้โดยเฉพาะ สิ่งที่มีอยู่จริงมีเพียงข้อความไม่กี่บรรทัดที่ผู้โจมตีเขียนขึ้นเอง แล้วถูกเว็บไซต์รวบรวมข้อมูลอย่าง ransomware.live และ RansomLook เก็บบันทึกไว้ จากนั้นบล็อกของผู้ขายบริการด้านความปลอดภัยหลายรายก็นำไปเขียนต่อ

เว็บไซต์ Cloud Thunder จึงเลือกรายงานเรื่องนี้ในมุมที่ต่างออกไป แทนที่จะเล่าว่า “บริษัทไทยถูกแฮ็ก” ซึ่งเป็นข้อสรุปที่หลักฐานยังไม่รองรับ บทความนี้จะอธิบายว่าประกาศบนเว็บไซต์ปล่อยข้อมูลบอกอะไรและไม่ได้บอกอะไร กลุ่ม Deadlock เป็นใครตามรายงานของผู้ขายที่มีการวิเคราะห์ตัวอย่างมัลแวร์จริง และเหตุใดการที่กลุ่มนี้เพิ่งเปิดเว็บไซต์ปล่อยข้อมูลเมื่อกลางปี 2569 แล้วเทรายชื่อเหยื่อออกมาพร้อมกันหลายสิบราย จึงเป็นเหตุผลเพิ่มเติมที่ต้องอ่านรายชื่อเหล่านี้ด้วยความระมัดระวัง

รายละเอียดข่าว

เว็บไซต์ DeXpose รายงานเมื่อวันที่ 1 สิงหาคม พ.ศ. 2569 ว่ากลุ่มแรนซัมแวร์ Deadlock อ้างความรับผิดชอบต่อการโจมตีบริษัท Tesco Engineer Co., Ltd. เจ้าของโดเมน tesco-engineers.com โดยระบุวันที่ของประกาศไว้ที่ 27 กรกฎาคม พ.ศ. 2569 และยกข้อความของผู้โจมตีมาว่า “ข้อมูลทั้งหมดจะถูกเผยแพร่ในเร็ว ๆ นี้ เว้นแต่ตัวแทนของบริษัทจะติดต่อเรามาตามช่องทางที่ให้ไว้” เนื้อหาที่เหลือของบทความเป็นคำแนะนำด้านความปลอดภัยทั่วไปและการโฆษณาบริการของผู้เขียนเอง ไม่มีการวิเคราะห์เพิ่มเติมเกี่ยวกับตัวเหตุการณ์

เมื่อย้อนกลับไปดูที่ต้นทาง ฐานข้อมูล RansomLook ซึ่งเก็บบันทึกประกาศจากเว็บไซต์ปล่อยข้อมูลของกลุ่มแรนซัมแวร์ต่าง ๆ แสดงรายการของ Tesco Engineer ลงวันที่ 27 กรกฎาคม พ.ศ. 2569 พร้อมคำบรรยายเพียงประโยคเดียวที่ผู้โจมตีเขียนเองว่าเป็นบริษัทก่อสร้างและผลิตของไทยในกรุงเทพฯ ที่ทำวิศวกรรมโยธาและท่ออุตสาหกรรมมาตั้งแต่ปี พ.ศ. 2519 ซึ่งเป็นข้อความระดับเดียวกับที่ค้นได้จากหน้าแนะนำบริษัททั่วไป ไม่มีรายละเอียดที่บ่งบอกว่าผู้โจมตีเคยเข้าไปในระบบจริง

จุดที่ควรสังเกตคือ ในหน้าเดียวกันนั้นมีประกาศของเหยื่อรายอื่นที่กลุ่มระบุปริมาณข้อมูลไว้อย่างชัดเจน เช่น กรณีบริษัท HİDROMEK ผู้ผลิตเครื่องจักรก่อสร้างของตุรกีที่กลุ่มอ้างว่าดูดข้อมูลภายในไปกว่า 880 กิกะไบต์ กรณีบริษัท Weinberg ของฮังการีที่อ้างไว้กว่า 650 กิกะไบต์ กรณีกลุ่มโลจิสติกส์ Nippon Express Italia ที่อ้างไว้กว่า 220 กิกะไบต์ และกรณีบริษัท WiBeats ของอิตาลีที่อ้างว่าได้กล่องอีเมลภายในไปกว่า 150 กิกะไบต์ การที่ประกาศของ Tesco Engineer ไม่มีตัวเลขใด ๆ เลยจึงเป็นความต่างที่มีความหมาย เพราะกลุ่มนี้แสดงให้เห็นแล้วว่าถ้ามีของจริงและอยากกดดัน ก็จะบอกปริมาณเอง

อีกประเด็นที่ต้องแยกให้ชัดเพื่อไม่ให้เกิดความเข้าใจผิดในไทยคือ Tesco Engineer Co., Ltd. ไม่มีความเกี่ยวข้องใด ๆ กับเครือค้าปลีก Tesco ของอังกฤษ หรือกับห้างที่เคยใช้ชื่อเทสโก้โลตัสในไทยซึ่งปัจจุบันเปลี่ยนเป็นโลตัสส์ไปแล้ว เป็นเพียงชื่อที่พ้องกันเท่านั้น ผู้อ่านที่เห็นพาดหัวภาษาอังกฤษว่า Tesco ถูกแรนซัมแวร์โจมตีในไทยจึงไม่ควรเหมาเอาว่าเป็นข้อมูลลูกค้าห้างค้าปลีก

ในส่วนของเว็บไซต์ที่นำประกาศนี้ไปรายงานต่อ มีข้อสังเกตที่ควรบันทึกไว้ เว็บไซต์ GalaxyWarden ซึ่งเป็นผู้ให้บริการลบข้อมูลส่วนบุคคลออกจากเว็บรวบรวมข้อมูล ติดป้ายกำกับบทความของตนเองไว้ตรงไปตรงมาว่าเป็น “คำกล่าวอ้างที่ยังไม่ได้รับการยืนยัน” และระบุว่าไม่ได้ตรวจสอบเองว่าเกิดการรั่วไหลจริงหรือไม่ ซึ่งเป็นการปฏิบัติที่ถูกต้อง แต่ในบทความเดียวกันนั้นกลับมีย่อหน้าที่บรรยายประวัติของกลุ่ม Deadlock ว่าเริ่มปรากฏตัวช่วงปลายปี ค.ศ. 2023 และเข้าระบบผ่านรหัสผ่านรีโมตเดสก์ท็อปที่ถูกขโมยหรือการฟิชชิง ซึ่งขัดกับรายงานของบริษัท Group-IB ที่วิเคราะห์ตัวอย่างมัลแวร์จริงและระบุว่ามัลแวร์ตระกูลนี้ถูกพบครั้งแรกในเดือนกรกฎาคม ค.ศ. 2025 อีกทั้งยังระบุชัดว่า “ช่องทางเข้าถึงระบบครั้งแรกยังไม่ทราบ” ผู้อ่านจึงควรระวังว่าเนื้อหาส่วนประวัติกลุ่มในบล็อกของผู้ขายบางรายเป็นการเติมเนื้อความให้บทความดูสมบูรณ์ ไม่ใช่ผลการสืบสวน

Deadlock คือใคร และทำงานอย่างไร

บริษัท Group-IB เผยแพร่รายงานวิเคราะห์กลุ่มนี้เมื่อวันที่ 15 มกราคม พ.ศ. 2569 โดยระบุว่า DeadLock เป็นมัลแวร์เรียกค่าไถ่ที่ถูกพบครั้งแรกในเดือนกรกฎาคม พ.ศ. 2568 เข้ารหัสไฟล์แล้วเปลี่ยนนามสกุลเป็น .dlock พร้อมเปลี่ยนไอคอนไฟล์และภาพพื้นหลังของเครื่องเหยื่อ จุดที่ทำให้กลุ่มนี้มีชื่อเสียงน้อยผิดกับปริมาณเหยื่อคือ ในตอนนั้นกลุ่มยังไม่มีเว็บไซต์ปล่อยข้อมูลและไม่ได้สังกัดโครงการพันธมิตรใด ใช้วิธีกดดันด้วยการขู่ขายข้อมูลผ่านข้อความในจดหมายเรียกค่าไถ่แทน

รายงานฉบับเดียวกันไล่ให้เห็นพัฒนาการของจดหมายเรียกค่าไถ่ 3 รุ่นซึ่งสะท้อนการยกระดับวิธีกดดัน ตัวอย่างแรกที่พบเมื่อ 27 มิถุนายน พ.ศ. 2568 พูดถึงการเข้ารหัสไฟล์อย่างเดียว ไม่กล่าวถึงการขโมยข้อมูลเลย ตัวอย่างที่สองจาก 17 กรกฎาคมปีเดียวกันเปลี่ยนหัวเรื่องเป็น “ไฟล์ของคุณถูกเข้ารหัสและถูกขโมย” ส่วนตัวอย่างล่าสุดจาก 12 สิงหาคม พ.ศ. 2568 ขยายเป็นรายการสิ่งที่เหยื่อจะได้รับหลังจ่ายเงิน ซึ่งรวมถึงรายงานอธิบายว่าผู้โจมตีเข้ามาได้อย่างไร คำแนะนำด้านความปลอดภัย และคำสัญญาว่าจะไม่กลับมาโจมตีอีก ทั้งหมดนี้เป็นภาษาการตลาดที่ออกแบบมาเพื่อทำให้การจ่ายเงินดูเหมือนการซื้อบริการ

ในเชิงเทคนิค Group-IB พบสคริปต์ PowerShell ชื่อ stop.ps1 ที่หยุดบริการทั้งหมดที่ไม่อยู่ในรายการยกเว้น พร้อมตั้งไม่ให้บริการเหล่านั้นเริ่มทำงานอัตโนมัติหลังรีบูต ลบสำเนาเงาของไดรฟ์ทิ้งทั้งหมด แล้วลบตัวเองเมื่อทำงานเสร็จ จุดสำคัญของสคริปต์นี้อยู่ที่รายการยกเว้น เพราะเกือบทั้งหมดเป็นบริการของ Windows เอง ยกเว้นรายการเดียวคือ AnyDesk ซึ่งชี้ว่าผู้โจมตีตั้งใจเก็บช่องทางควบคุมเครื่องจากระยะไกลของตนเองไว้ระหว่างที่ปิดทุกอย่างที่เหลือ

เทคนิคที่ Group-IB ให้ความสำคัญที่สุดคือการใช้ สัญญาอัจฉริยะบนบล็อกเชน Polygon เพื่อเก็บและหมุนที่อยู่ของเซิร์ฟเวอร์พร็อกซี ตัวมัลแวร์วางไฟล์ HTML ไว้ในเครื่องเหยื่อเพื่อใช้เป็นห้องแชตคุยกับผู้โจมตีโดยไม่ต้องติดตั้งแอป Session และในไฟล์นั้นมีโค้ด JavaScript ที่เรียกอ่านค่าจากสัญญาอัจฉริยะบนเครือข่าย Polygon เพื่อดึงที่อยู่พร็อกซีปัจจุบันออกมา วิธีนี้ทำให้ผู้โจมตีเปลี่ยนเซิร์ฟเวอร์กลางได้ตลอดเวลาโดยไม่ต้องแก้ตัวมัลแวร์ และการอ่านค่าจากสัญญาไม่สร้างธุรกรรมบนบล็อกเชน จึงไม่มีค่าธรรมเนียมและตรวจจับจากฝั่งเครือข่ายได้ยาก ในทางกลับกัน จุดอ่อนของวิธีนี้คือธุรกรรมที่ผู้โจมตีตั้งค่าพร็อกซีนั้นถูกบันทึกถาวรบนบล็อกเชนสาธารณะ นักวิจัยจึงย้อนดูประวัติที่อยู่พร็อกซีทั้งหมดที่กลุ่มเคยใช้ได้ และไล่หาสัญญาอื่นที่มีโค้ดเหมือนกันได้ด้วย

เซิร์ฟเวอร์พร็อกซีชุดแรกที่กลุ่มใช้เป็นเว็บไซต์ที่มีเจ้าของจริง ทั้งเว็บ WordPress เว็บที่ใช้ cPanel และเว็บของสถาบันการศึกษาในออสเตรีย ซึ่ง Group-IB ประเมินว่าน่าจะถูกยึดผ่านช่องโหว่หรือการตั้งค่าที่ผิดพลาด ส่วนเซิร์ฟเวอร์สองตัวล่าสุดไม่มีเว็บไซต์ใดอยู่เลย มีเพียงแผงควบคุม Vesta และ SSH ที่ใช้ลายนิ้วมือและใบรับรองชุดเดียวกัน ซึ่งบ่งชี้ว่ากลุ่มเปลี่ยนมาใช้โครงสร้างพื้นฐานของตัวเองแทนการยืมของคนอื่น

เว็บไซต์ปล่อยข้อมูลที่เพิ่งเปิดกลางปี 2569

ภาพที่เปลี่ยนไปจากรายงานของ Group-IB คือ เมื่อวันที่ 16 มิถุนายน พ.ศ. 2569 บริษัท ZeroFox รายงานว่าพบเว็บไซต์ปล่อยข้อมูลชื่อ DeadLock ที่มีรายชื่อเหยื่อราว 80 รายปรากฏขึ้น ซึ่งเป็นการเปลี่ยนสถานะจากกลุ่มที่ไม่มีเว็บไซต์ปล่อยข้อมูลเลยไปเป็นกลุ่มที่มีรายชื่อสะสมจำนวนมากภายในคราวเดียว ปัจจุบันฐานข้อมูล RansomLook นับประกาศบนเว็บไซต์นี้ได้ 97 รายการ โดยเป็นรายการในช่วง 30 วันล่าสุด 22 รายการ และประกาศล่าสุดลงวันที่ 29 กรกฎาคม พ.ศ. 2569 กลุ่มเปิดทั้งเว็บบนอินเทอร์เน็ตปกติและเว็บบนเครือข่าย Tor พร้อมข้อความบนหน้าเว็บที่ยอมรับเองว่าเว็บฝั่งอินเทอร์เน็ตปกติมักถูกสั่งปิด จึงแนะนำให้ผู้เข้าชมกดบันทึกหน้าเว็บเก็บไว้

รูปแบบวันที่ของประกาศเป็นสิ่งที่ควรอ่านให้ออก รายการจำนวนมากบนเว็บไซต์นี้ลงวันที่ 15 มิถุนายน พ.ศ. 2569 พร้อมกันเป็นสิบ ๆ ราย ซึ่งไม่ใช่ลักษณะของการโจมตีสำเร็จหลายสิบรายในวันเดียว แต่เป็นการยกเหยื่อเก่าที่สะสมไว้มาลงพร้อมกันตอนเปิดเว็บ บางรายการยังระบุด้วยซ้ำว่าไฟล์ที่รั่วจะเปิดให้ดาวน์โหลดในเดือนพฤษภาคม พ.ศ. 2569 ซึ่งเป็นวันที่ก่อนหน้าที่เว็บจะเปิดเสียอีก ผลคือวันที่บนประกาศไม่เท่ากับวันที่เกิดเหตุ และการนับจำนวนเหยื่อจากเว็บไซต์ปล่อยข้อมูลของกลุ่มที่เพิ่งเปิดตัวจะให้ภาพที่พองเกินจริงเสมอ

มีอย่างน้อยหนึ่งกรณีบนเว็บไซต์เดียวกันที่คำอ้างของกลุ่มถูกโต้แย้งอย่างเปิดเผย ประกาศของเทศบาลเมือง Židlochovice ในสาธารณรัฐเช็กระบุว่าได้ข้อมูลภายในไปกว่า 150 กิกะไบต์ แต่ในเนื้อประกาศนั้นเองกลุ่มก็ยกคำพูดของนายกเทศมนตรีที่ยืนยันว่าการโจมตีถูกสกัดไว้ได้และไม่มีข้อมูลถูกขโมย มาล้อเลียนพร้อมใส่อีโมติคอนหัวเราะกำกับ กรณีนี้จึงเป็นตัวอย่างที่ดีว่าการที่ชื่อองค์กรปรากฏบนเว็บไซต์ปล่อยข้อมูลไม่ได้แปลว่าเนื้อหาที่กลุ่มอ้างเป็นความจริงตามนั้น และในทางกลับกัน คำปฏิเสธของฝ่ายที่ถูกอ้างถึงก็ยังเป็นเพียงคำพูดอีกฝั่งที่รอการพิสูจน์เช่นกัน

ในแง่การเลือกเป้าหมาย รายชื่อบนเว็บไซต์นี้กระจุกตัวอยู่ที่ธุรกิจขนาดกลางในยุโรปเป็นหลัก โดยเฉพาะงานผลิต วิศวกรรม โลจิสติกส์ และสำนักงานวิชาชีพ แต่ก็มีเหยื่อในเอเชียตะวันออกเฉียงใต้ปะปนอยู่หลายราย ทั้งผู้ผลิตระบบท่อในอินโดนีเซีย ผู้รับเหมางานระบบไฟฟ้าและเครื่องกลในสิงคโปร์ ผู้ผลิตบรรจุภัณฑ์กระดาษที่มีโรงงานในมาเลเซียและอินโดนีเซีย และสำนักงานสถาปนิกในสิงคโปร์ ซึ่งชี้ว่าภูมิภาคนี้ไม่ได้อยู่นอกสายตาของกลุ่ม

ผลกระทบต่อไทย

หากคำอ้างนี้เป็นจริง ผู้ที่เสี่ยงที่สุดไม่ใช่ผู้บริโภคทั่วไป แต่เป็นคู่ค้าและพนักงานของบริษัท เพราะข้อมูลที่มักอยู่ในระบบของผู้รับเหมางานวิศวกรรมและผู้ผลิตท่ออุตสาหกรรมคือแบบก่อสร้าง สัญญาจ้าง ใบเสนอราคา รายการราคาต้นทุน เอกสารประมูล ทะเบียนคู่ค้า และเอกสารบุคคลของพนักงานอย่างสำเนาบัตรประชาชนและเอกสารภาษี ข้อมูลชุดนี้มีมูลค่าต่อคู่แข่งทางธุรกิจโดยตรง และเปิดทางให้เกิดการฉ้อโกงแบบสวมรอยเป็นคู่ค้าเพื่อเปลี่ยนเลขบัญชีรับเงินในใบแจ้งหนี้ ซึ่งเป็นรูปแบบที่พบบ่อยในอุตสาหกรรมก่อสร้างที่มีการโอนเงินก้อนใหญ่ตามงวดงาน

ในภาพกว้างกว่านั้น เหตุนี้เกิดขึ้นในจังหวะเดียวกับที่เว็บไซต์ Cloud Thunder รายงานกรณี RansomHouse อ้างโจมตี PCL Holding ผู้จัดจำหน่ายเครื่องมือวินิจฉัยรายใหญ่ของไทย เมื่อวันที่ 5 สิงหาคม พ.ศ. 2569 ซึ่งเป็นคำอ้างบนเว็บไซต์ปล่อยข้อมูลในลักษณะเดียวกัน รูปแบบที่เห็นซ้ำคือบริษัทไทยขนาดกลางในภาคอุตสาหกรรมและการค้าที่ไม่ได้เป็นข่าวใหญ่ระดับประเทศ ถูกลงชื่อบนเว็บของกลุ่มต่างชาติ แล้วเรื่องก็เงียบไปโดยไม่มีคำแถลงจากบริษัทและไม่มีการยืนยันจากหน่วยงานใด ผลคือคู่ค้าและพนักงานที่อาจได้รับผลกระทบไม่มีทางรู้ว่าควรทำอะไร

ช่องว่างนี้เป็นเรื่องเชิงโครงสร้างของไทยโดยเฉพาะ เพราะพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลกำหนดให้ผู้ควบคุมข้อมูลต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงเมื่อเข้าเงื่อนไข แต่ในทางปฏิบัติ บริษัทเอกชนขนาดกลางที่ถูกลงชื่อบนเว็บไซต์ปล่อยข้อมูลของกลุ่มต่างชาติมักไม่มีการเปิดเผยต่อสาธารณะเลย ทำให้ไม่มีใครทราบว่ามีการแจ้งเหตุหรือไม่ ต่างจากกรณีของหน่วยงานรัฐที่ถูกจับตาและมีการแถลงตามมา สำหรับองค์กรไทยที่อยู่ในห่วงโซ่อุปทานเดียวกัน แนวปฏิบัติที่ปลอดภัยกว่าคือถือว่าความเสี่ยงมีอยู่จริงจนกว่าจะพิสูจน์ได้ว่าไม่มี แล้วลงมือตรวจสอบฝั่งตัวเองไปก่อน แทนการรอคำยืนยันที่อาจไม่มีวันมา

คำแนะนำ

• องค์กรที่เป็นคู่ค้าหรือผู้รับเหมาช่วงควรถือว่าเอกสารที่เคยส่งให้บริษัทที่ถูกลงชื่ออาจอยู่ในมือผู้อื่นแล้ว และเฝ้าระวังการติดต่อที่อ้างอิงเลขที่สัญญา เลขที่ใบแจ้งหนี้ หรือรายละเอียดโครงการได้ถูกต้อง ซึ่งเป็นสัญญาณของการสวมรอยด้วยเอกสารจริง
• ยืนยันการเปลี่ยนแปลงเลขบัญชีรับเงินของคู่ค้าทุกครั้งผ่านช่องทางที่ติดต่อกลับเอง ไม่ใช่เบอร์หรืออีเมลที่ปรากฏในเอกสารฉบับที่ขอเปลี่ยน และกำหนดให้การเปลี่ยนบัญชีต้องมีผู้อนุมัติสองคน
• อย่าเข้าไปดาวน์โหลดหรือค้นหาข้อมูลที่ถูกปล่อยบนเว็บไซต์ของกลุ่มแรนซัมแวร์ นอกจากจะสุ่มเสี่ยงต่อกฎหมายแล้ว ไฟล์บนเว็บลักษณะนี้ยังเป็นช่องทางแพร่มัลแวร์ได้ด้วย
• องค์กรที่ใช้เครื่องมือควบคุมระยะไกลอย่าง AnyDesk ในงานสนับสนุนผู้ใช้ ควรจำกัดให้ติดตั้งได้เฉพาะเครื่องที่ได้รับอนุมัติ ผูกกับบัญชีองค์กรที่ตรวจสอบได้ และตั้งการแจ้งเตือนเมื่อพบการติดตั้งใหม่นอกกระบวนการ เพราะเป็นเครื่องมือที่ผู้โจมตีกลุ่มนี้เก็บไว้ใช้เองระหว่างปิดบริการอื่น
• เฝ้าระวังการหยุดบริการจำนวนมากพร้อมกัน การลบสำเนาเงาของไดรฟ์ และการรันสคริปต์ PowerShell ที่ขอสิทธิ์ผู้ดูแลระบบแล้วลบตัวเองทิ้ง ซึ่งเป็นพฤติกรรมก่อนเข้ารหัสที่ตรวจจับได้ทันหากมีการเฝ้าระวังที่ปลายทาง
• เก็บสำเนาสำรองแบบออฟไลน์หรือแบบที่แก้ไขไม่ได้ และทดสอบการกู้คืนจริงเป็นระยะ เพราะสคริปต์ของกลุ่มนี้ลบสำเนาเงาทิ้งเป็นขั้นตอนมาตรฐาน
• ผู้ที่ติดตามข่าวลักษณะนี้ควรแยกให้ออกระหว่างประกาศบนเว็บไซต์ปล่อยข้อมูลซึ่งเป็นคำอ้างของผู้โจมตี กับการยืนยันจากองค์กรหรือหน่วยงานกำกับดูแล และควรระวังบทความจากผู้ขายบริการที่นำประกาศไปขยายความโดยเติมรายละเอียดที่ไม่มีแหล่งรองรับ

Indicators of Compromise (IoCs)

ตัวบ่งชี้ด้านล่างมาจากรายงานของ Group-IB ที่วิเคราะห์ตัวอย่างมัลแวร์ DeadLock เมื่อเดือนมกราคม พ.ศ. 2569 ไม่ใช่ ตัวบ่งชี้ที่ผูกกับกรณี Tesco Engineer ซึ่งจนถึงขณะนี้ยังไม่มีการเปิดเผยตัวบ่งชี้ใด ๆ เลย ที่อยู่เว็บได้รับการทำให้ใช้งานไม่ได้ (defang) แล้ว

แหล่งอ้างอิง

• Deadlock Ransomware Targets Thailand’s Tesco Engineer Co., Ltd. — DeXpose
• Deadlock — RansomLook (บันทึกประกาศบนเว็บไซต์ปล่อยข้อมูล)
• DeadLock Ransomware: Smart Contracts for Malicious Purposes — Group-IB
• Flash Report: DeadLock’s Ransomware Leak Site Lists over 80 Victims — ZeroFox
• Tesco Engineer Listed by Deadlock Ransomware Group — GalaxyWarden