สรุปสั้น

บริษัท Microsoft เปิดเผยว่ากลุ่มผู้โจมตีที่ใช้ชื่อเรียกภายในว่า Storm-1175 ซึ่งเป็นกลุ่มที่มีแรงจูงใจทางการเงินและถูกโยงว่าปฏิบัติการจากประเทศจีน ได้เริ่มปล่อยแรนซัมแวร์สายพันธุ์ใหม่ที่ไม่เคยมีการบันทึกไว้มาก่อน ในชื่อ StormEncryptor การเปลี่ยนแปลงนี้ถือเป็นการหันเหจากรูปแบบเดิมของกลุ่ม ซึ่งใช้แรนซัมแวร์ Medusa มาโดยตลอด ทีม Microsoft Threat Intelligence ระบุว่า StormEncryptor เขียนด้วยภาษา C++ เติมนามสกุล .encrypted ต่อท้ายชื่อไฟล์ที่เข้ารหัส และทิ้งโน้ตเรียกค่าไถ่ชื่อ !!!README_FIRST!!!.txt ไว้ในทุกไดเรกทอรีที่มันสแกนผ่าน

ในส่วนของช่องทางเข้าถึงครั้งแรก Microsoft ระบุว่ายังไม่ชัดเจนว่าผู้โจมตีใช้ช่องโหว่ตัวใดในแคมเปญนี้ แต่ประเมินว่าน่าจะเกี่ยวข้องกับการใช้ประโยชน์จาก CVE-2026-18577 ซึ่งเป็นช่องโหว่ที่เพิ่งเปิดเผยใน N-able N-central แพลตฟอร์มเฝ้าระวังและบริหารจัดการระยะไกลที่ผู้ให้บริการที่ได้รับการจัดการ (MSP) ใช้กันแพร่หลาย ช่องโหว่ตัวนี้ถูกประเมินว่าเป็นการข้ามแพตช์ของ CVE-2026-18556 โดยทั้งคู่เปิดทางให้ข้ามการยืนยันตัวตนและยึดบัญชีในเวอร์ชันที่ได้รับผลกระทบ และสำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐ (CISA) ได้ระบุแล้วว่าช่องโหว่เหล่านี้ถูกใช้โจมตีจริงในวงกว้าง เว็บไซต์ Cloud Thunder เคยรายงานช่องโหว่ N-central ชุดนี้ไว้แล้วในโพสต์ ช่องโหว่วิกฤตใน N-able N-central และการเพิ่มเข้าแคตตาล็อก KEV ในโพสต์ CISA เพิ่ม 3 ช่องโหว่เข้า KEV ข่าวรอบนี้จึงเป็นการเติมภาพว่าใครคือผู้ที่กำลังใช้ช่องโหว่นั้นและใช้ทำอะไร

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 10 สิงหาคม 2569 ว่า Microsoft ได้เปิดเผยการเคลื่อนไหวใหม่ของกลุ่ม Storm-1175 ผ่านชุดโพสต์บนแพลตฟอร์ม Bluesky ของทีม Microsoft Threat Intelligence โดยระบุว่ากลุ่มนี้ได้นำแรนซัมแวร์ StormEncryptor ซึ่งไม่เคยถูกบันทึกไว้มาก่อนออกมาใช้งานจริงแล้ว

Storm-1175 คือชื่อที่ Microsoft กำหนดให้กับกลุ่มผู้โจมตีที่มีฐานปฏิบัติการในจีน และมีประวัติการปล่อยแรนซัมแวร์ Medusa หลังจากเจาะเข้าระบบด้วยช่องโหว่ของผลิตภัณฑ์ที่เปิดสู่อินเทอร์เน็ต รายการช่องโหว่ที่กลุ่มนี้เคยใช้ครอบคลุมผลิตภัณฑ์หลายตัว ได้แก่ Mirth Connect ผ่าน CVE-2023-37679 และ CVE-2023-43208, ConnectWise ScreenConnect ผ่าน CVE-2024-1709 และ CVE-2024-1708, JetBrains TeamCity ผ่าน CVE-2024-27198 และ CVE-2024-27199 รวมถึง Fortinet FortiClient EMS ผ่าน CVE-2023-48788

ต่อมาในการวิเคราะห์ที่เผยแพร่เมื่อเดือนตุลาคม 2568 Microsoft ยังระบุว่ากลุ่มนี้อยู่เบื้องหลังการใช้ประโยชน์จากช่องโหว่ระดับวิกฤตใน Fortra GoAnywhere หรือ CVE-2025-10035 เพื่อปูทางไปสู่การปล่อยแรนซัมแวร์ Medusa เช่นกัน รูปแบบที่เห็นซ้ำ ๆ คือกลุ่มนี้ผสมการใช้ช่องโหว่ที่ยังไม่มีแพตช์ (zero-day) เข้ากับช่องโหว่ที่มีแพตช์แล้วแต่องค์กรยังไม่ได้ติดตั้ง (N-day) เพื่อโจมตีด้วยความเร็วสูง โดยอาศัยช่วงเวลาระหว่างการเปิดเผยช่องโหว่กับการที่องค์กรลงมือแพตช์จริงเป็นหน้าต่างในการเข้าถึงระบบที่เปิดสู่อินเทอร์เน็ต

สิ่งที่ทำให้ข่าวรอบนี้มีน้ำหนักคือการที่กลุ่มเปลี่ยนเครื่องมือหลัก การเลิกใช้ Medusa แล้วหันมาใช้แรนซัมแวร์ที่พัฒนาขึ้นใหม่หมายความว่าการตรวจจับที่อิงลายเซ็นหรือพฤติกรรมของ Medusa จะไม่ครอบคลุมกิจกรรมล่าสุดของกลุ่มนี้อีกต่อไป องค์กรที่ตั้งกฎตรวจจับไว้ตามชื่อโน้ตเรียกค่าไถ่หรือนามสกุลไฟล์ของ Medusa จึงต้องปรับปรุงกฎใหม่ให้รองรับตัวบ่งชี้ของ StormEncryptor

พฤติกรรมหลังเจาะระบบสำเร็จ Microsoft ระบุว่ากลุ่มนี้ใช้เครื่องมือเฝ้าระวังและบริหารจัดการระยะไกลอย่าง AnyDesk หรือ SimpleHelp ในทางที่ผิด ใช้ Advanced IP Scanner ในการสำรวจเครือข่าย และดึงข้อมูลรับรองด้วยการดัมป์หน่วยความจำของกระบวนการ LSASS ผ่านเครื่องมือ Mimikatz นอกจากนี้กลุ่มยังถูกพบว่าเคลื่อนจากการเข้าถึงครั้งแรกไปสู่การขโมยข้อมูลออกและปล่อยแรนซัมแวร์อย่างรวดเร็ว โดยส่วนใหญ่จบภายในไม่กี่วัน ซึ่งเป็นเหตุผลที่ Microsoft ย้ำว่าลูกค้าต้องติดตั้งแพตช์ให้เร็วที่สุด

ข้อจำกัดของข้อมูลที่ต้องระบุไว้คือ การเปิดเผยครั้งนี้มาในรูปแบบชุดโพสต์บนโซเชียลมีเดีย ไม่ใช่รายงานวิเคราะห์ฉบับเต็ม จึงยังไม่มีการเผยแพร่ตัวบ่งชี้การถูกบุกรุกอย่างค่าแฮชของไฟล์หรือที่อยู่เซิร์ฟเวอร์ควบคุม ที่สำคัญกว่านั้นคือ Microsoft ใช้คำว่า “น่าจะ” กับการเชื่อมโยงแคมเปญนี้เข้ากับช่องโหว่ N-central กล่าวคือเป็นการประเมิน ไม่ใช่การยืนยัน และรายงานยังไม่ระบุจำนวนเหยื่อ อุตสาหกรรมเป้าหมาย หรือประเทศที่ได้รับผลกระทบ

วิธีการโจมตี

ห่วงโซ่การโจมตีที่ประกอบขึ้นจากข้อมูลที่มีเริ่มจากการเข้าถึงระบบที่เปิดสู่อินเทอร์เน็ต ซึ่งในกรณีนี้ประเมินว่าคือเซิร์ฟเวอร์ N-able N-central ผ่านช่องโหว่ข้ามการยืนยันตัวตน จุดที่ทำให้เป้าหมายประเภทนี้มีมูลค่าสูงเป็นพิเศษคือ N-central ไม่ใช่เซิร์ฟเวอร์ธรรมดา แต่เป็นคอนโซลที่ควบคุมเครื่องปลายทางของลูกค้าจำนวนมากได้พร้อมกัน การยึดคอนโซลหนึ่งตัวจึงเท่ากับได้ช่องทางเข้าถึงองค์กรปลายทางหลายแห่งในคราวเดียว

เมื่อเข้าถึงได้แล้ว กลุ่มจะติดตั้งเครื่องมือ RMM ที่ถูกกฎหมายอย่าง AnyDesk หรือ SimpleHelp เพื่อคงการเข้าถึงไว้ วิธีนี้เป็นเทคนิคที่พบมากขึ้นเรื่อย ๆ เพราะเครื่องมือเหล่านี้มีลายเซ็นดิจิทัลถูกต้องและมักอยู่ในรายการอนุญาตขององค์กรอยู่แล้ว ทำให้กลมกลืนกับกิจกรรมของฝ่ายไอทีจริง

ขั้นถัดมาคือการสำรวจเครือข่ายด้วย Advanced IP Scanner เพื่อทำแผนที่ว่ามีเครื่องใดบ้างในเครือข่ายและมีบริการอะไรเปิดอยู่ ตามด้วยการดึงข้อมูลรับรองด้วยการดัมป์หน่วยความจำของกระบวนการ LSASS บน Windows ผ่าน Mimikatz ซึ่งเป็นวิธีมาตรฐานในการเก็บรหัสผ่านและตั๋วรับรองของบัญชีที่ล็อกอินอยู่บนเครื่องนั้น เพื่อนำไปใช้เคลื่อนที่ในแนวราบต่อไป

ขั้นสุดท้ายคือการขโมยข้อมูลออกก่อนแล้วจึงเข้ารหัสไฟล์ ซึ่งเป็นรูปแบบกรรโชกสองชั้นที่ใช้กันทั่วไปในวงการแรนซัมแวร์ ตัว StormEncryptor เมื่อทำงานจะเติมนามสกุล .encrypted ให้ไฟล์ที่เข้ารหัส และวางไฟล์ !!!README_FIRST!!!.txt ไว้ในทุกไดเรกทอรีที่มันเดินผ่าน ความเร็วของทั้งกระบวนการนี้คือจุดที่ผู้ป้องกันต้องให้ความสำคัญ เพราะเมื่อระยะเวลาตั้งแต่เจาะได้จนถึงเข้ารหัสอยู่ในระดับไม่กี่วัน การตรวจพบหลังจากนั้นก็แทบไม่ทันแล้ว

ผลกระทบ

ผู้ที่มีความเสี่ยงสูงที่สุดคือผู้ให้บริการที่ได้รับการจัดการและองค์กรที่ใช้ N-able N-central เป็นระบบบริหารจัดการเครื่องปลายทาง เพราะการยึดคอนโซลเดียวสามารถลุกลามไปยังลูกค้าหรือสาขาปลายน้ำทั้งหมดที่คอนโซลนั้นดูแลอยู่ ลักษณะนี้ทำให้เหตุการณ์เดียวสามารถกลายเป็นเหตุการณ์ระดับห่วงโซ่อุปทานได้ทันที

สำหรับทีมตรวจจับ ประเด็นที่ต้องลงมือคือการปรับกฎ การเปลี่ยนจาก Medusa มาเป็น StormEncryptor ทำให้ตัวบ่งชี้ที่คุ้นเคยใช้ไม่ได้ ทีมที่ตรวจจับด้วยชื่อโน้ตเรียกค่าไถ่หรือนามสกุลไฟล์จำเป็นต้องเพิ่มรูปแบบใหม่เข้าไป และควรตระหนักว่าการที่กลุ่มพัฒนาแรนซัมแวร์ของตนเองขึ้นมาใหม่ บ่งชี้ว่ากลุ่มมีขีดความสามารถในการพัฒนาเครื่องมือเอง ไม่ได้พึ่งพาบริการเช่าแรนซัมแวร์อย่างเดียว

ในภาพกว้าง เหตุการณ์นี้ตอกย้ำรูปแบบที่กลายเป็นมาตรฐานของกลุ่มกรรโชกทางการเงินยุคปัจจุบัน คือการเล็งเป้าไปที่ซอฟต์แวร์บริหารจัดการที่มีสิทธิ์สูงและเปิดสู่อินเทอร์เน็ต แล้วลงมือทันทีในช่วงไม่กี่วันหลังช่องโหว่ถูกเปิดเผย ซึ่งหมายความว่ารอบการแพตช์ที่วางไว้เป็นรายเดือนตามปฏิทินไม่เพียงพออีกต่อไปสำหรับระบบประเภทนี้

คำแนะนำ

  • ตรวจสอบและติดตั้งแพตช์ N-able N-central ให้เป็นเวอร์ชันล่าสุดทันที โดยเฉพาะระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ต และอย่าถือว่าการติดตั้งแพตช์รอบ CVE-2026-18556 ก่อนหน้าครอบคลุม CVE-2026-18577 แล้ว
  • ตรวจสอบร่องรอยการเข้าถึงย้อนหลังบนคอนโซล N-central โดยเฉพาะการล็อกอินของบัญชีผู้ดูแลจากที่อยู่ไอพีที่ไม่คุ้นเคย และการสร้างบัญชีหรือเปลี่ยนสิทธิ์ที่ไม่มีที่มา
  • ตั้งการแจ้งเตือนเมื่อมีการติดตั้งเครื่องมือ RMM อย่าง AnyDesk หรือ SimpleHelp บนเครื่องที่ไม่ได้อยู่ในแผนการใช้งานของฝ่ายไอที เพราะเครื่องมือถูกกฎหมายเหล่านี้คือช่องทางคงอยู่ที่กลุ่มใช้จริง
  • เฝ้าระวังการเข้าถึงหน่วยความจำของกระบวนการ LSASS และการทำงานของเครื่องมือสแกนเครือข่ายอย่าง Advanced IP Scanner ซึ่งเป็นสัญญาณของขั้นสำรวจและเก็บข้อมูลรับรอง
  • ปรับกฎตรวจจับให้ครอบคลุมตัวบ่งชี้ของ StormEncryptor ได้แก่ ไฟล์ที่มีนามสกุล .encrypted และการปรากฏของไฟล์ !!!README_FIRST!!!.txt กระจายในหลายไดเรกทอรีพร้อมกัน
  • ให้ความสำคัญกับการตรวจจับการส่งข้อมูลออกผิดปกติ เนื่องจากกลุ่มขโมยข้อมูลก่อนเข้ารหัส การจับได้ในขั้นนี้คือโอกาสสุดท้ายก่อนไฟล์จะถูกล็อก
  • ทบทวนรอบการแพตช์สำหรับระบบบริหารจัดการที่เปิดสู่อินเทอร์เน็ต ให้ตอบสนองเป็นรายวันตามประกาศช่องโหว่ แทนการรอรอบแพตช์ประจำเดือน

แหล่งอ้างอิง