Sandworm ใช้ข้อเสนองานปลอมล่าแอดมินระบบ — หลอกให้ติดตั้ง 'SopraVPN' ไคลเอนต์ WireGuard ฝังโค้ดที่แจกผ่าน SourceForge

สรุปสั้น

ทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของยูเครนหรือ CERT-UA เผยแพร่รายงานปฏิบัติการวิศวกรรมสังคมที่ระบุว่าเป็นฝีมือของ UAC-0145 ซึ่งเชื่อว่าเป็นกลุ่มย่อยของ Sandworm หรือ APT44 กลุ่มภัยคุกคามที่โยงกับรัสเซีย โดยผู้โจมตีปลอมตัวเป็นบริษัทไอทีและนายหน้าจัดหางาน แล้วเข้าหาผู้ดูแลระบบและผู้เชี่ยวชาญด้านไอทีมาตั้งแต่เดือนพฤษภาคมเป็นอย่างน้อย วิธีเลือกเป้าหมายคือการอ่านเรซูเม่ที่เหยื่ออัปโหลดไว้บนเว็บไซต์หางาน แล้วติดต่อไปโดยตรง

บทสนทนาจะถูกย้ายไปยัง Telegram เพื่อนัดสัมภาษณ์ผ่านวิดีโอบน Zoom ซึ่งดำเนินการเป็นภาษาอังกฤษ ระหว่างสัมภาษณ์ผู้สมัครจะได้รับโจทย์ทดสอบทางเทคนิคที่กำหนดให้ต้องเชื่อมต่อเข้ากับ VPN ขององค์กร ในเคสหนึ่งที่ CERT-UA พบ ผู้โจมตีสวมรอยเป็นบริษัทไอทีระดับนานาชาติอย่าง Sopra Steria โดยใช้ที่อยู่อีเมลที่ดูน่าเชื่อถือและคล้ายกับสำนักงานของบริษัทในบัลแกเรีย

กับดักอยู่ที่ไฟล์คอนฟิกสำหรับต่อ WireGuard ที่ส่งมาทางอีเมล เพราะไฟล์นั้นถูกตั้งค่ามาให้แสดงข้อผิดพลาดปลอม จากนั้นผู้โจมตีจึงชักชวนให้เหยื่อไปดาวน์โหลดไคลเอนต์ WireGuard ที่ถูกดัดแปลงชื่อว่า SopraVPN จาก SourceForge ซึ่งหน้าดาวน์โหลดยังใส่ลิงก์ไปยังโดเมน soprasteria-bg[.]com เพื่อเพิ่มความน่าเชื่อถือ ทั้งที่โดเมนนี้ไม่มีความเกี่ยวข้องใด ๆ กับบริษัทตัวจริง

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 11 สิงหาคม 2569 ว่า แฮ็กเกอร์ที่เกี่ยวข้องกับกลุ่มภัยคุกคามรัสเซีย Sandworm กำลังเล็งเป้าไปที่ผู้ดูแลระบบและผู้เชี่ยวชาญด้านไอที ผ่านข้อเสนองานปลอมมาตั้งแต่เดือนพฤษภาคมเป็นอย่างน้อย

รายงานของ CERT-UA ให้รายละเอียดปฏิบัติการนี้และระบุว่าเป็นของ UAC-0145 ซึ่งเชื่อว่าเป็นกลุ่มย่อยของ Sandworm หรือ APT44 เว็บไซต์ Cloud Thunder เคยรายงานปฏิบัติการของกลุ่มย่อยเดียวกันนี้ไว้ในโพสต์ 2026/07/206 ซึ่งครั้งนั้นใช้ CAPTCHA ปลอมแบบ ClickFix หลอกให้เหยื่อชาวยูเครนรันคำสั่งติดมัลแวร์ด้วยตัวเอง รอบนี้จึงเป็นการเปลี่ยนฉากหน้าจากหน้าเว็บปลอมมาเป็นกระบวนการรับสมัครงานที่มีการโต้ตอบกับมนุษย์จริงหลายขั้นตอน

หน่วยงานระบุว่าผู้โจมตีจะศึกษาเรซูเม่ของเป้าหมายที่อัปโหลดไว้บนเว็บไซต์หางานก่อน แล้วจึงเริ่มติดต่อโดยตรง จากนั้นย้ายบทสนทนาไปยัง Telegram เพื่อนัดหมายการสัมภาษณ์ผ่านวิดีโอบน Zoom โดยการสัมภาษณ์ดำเนินเป็นภาษาอังกฤษ และผู้สมัครจะได้รับมอบหมายงานทดสอบทางเทคนิคที่ต้องเชื่อมต่อเข้ากับ VPN ขององค์กร

รายละเอียดของบทสนทนาช่วงแรกถูกระบุไว้ชัดขึ้นในรายงานของ CERT-UA ที่ว่า “บนเว็บไซต์หางาน หลังจากตรวจดูเรซูเม่ของผู้สมัครแล้ว ผู้โจมตีจะติดต่อเหยื่อที่มีศักยภาพ ซึ่งโดยทั่วไปเป็นผู้ดูแลระบบหรือผู้เชี่ยวชาญด้านไอที ในนามของบริษัทไอทีแห่งหนึ่ง เช่น ATLAS Business Group” การติดต่อครั้งแรกเกิดผ่านแชตในตัวเว็บหางาน ก่อนจะย้ายไปยัง Telegram ซึ่งจะมีผู้ที่อ้างตัวเป็นผู้จัดการฝ่ายบุคคลมาคุยด้วย โดยอ้างว่ารับผิดชอบการคัดกรองผู้สมัครให้ Sopra Steria Bulgaria ซึ่งเป็นบริษัทที่ปรึกษาและพัฒนาซอฟต์แวร์ที่มีอยู่จริงในยุโรป บทสนทนาช่วงนี้จะเป็นคำถามทั่วไปเรื่องงานและการวัดระดับภาษาอังกฤษ ก่อนเชิญเข้าประชุมทางวิดีโอบน Zoom

จุดที่ CERT-UA ระบุอย่างระมัดระวังคือตัวผู้สัมภาษณ์ การประชุมเกิดขึ้นจริงตามนัดกับชายที่พูดภาษาอังกฤษและดูอายุราว 30 ถึง 35 ปี แต่หน่วยงานไม่ฟันธงว่าคนที่ปรากฏในการสัมภาษณ์เป็นบุคคลจริงหรือเป็นตัวตนสังเคราะห์ที่สร้างขึ้นด้วยปัญญาประดิษฐ์ ซึ่งเป็นความไม่แน่นอนที่ควรบันทึกไว้ตามตรง เพราะมันเปลี่ยนการประเมินเรื่องกำลังคนที่ปฏิบัติการนี้ต้องใช้อย่างมีนัยสำคัญ

CERT-UA ระบุว่าในระหว่างนั้นจะมีคำแนะนำเพิ่มเติมสำหรับการสัมภาษณ์เชิงเทคนิคถูกส่งมาทางอีเมล พร้อมไฟล์คอนฟิกสำหรับเชื่อมต่อ VPN “ขององค์กร” ด้วย WireGuard ทั้งเวอร์ชันสำหรับลินุกซ์และวินโดวส์ เพื่ออ้างว่าใช้ทำงานทดสอบ แต่ไฟล์ที่ดาวน์โหลดไปนั้นถูกตั้งค่ามาให้เกิดข้อผิดพลาดปลอม ซึ่งเป็นขั้นตอนที่ออกแบบมาเพื่อผลักเหยื่อไปสู่ขั้นถัดไป นั่นคือการดาวน์โหลดไคลเอนต์ที่ดัดแปลงแล้วชื่อ SopraVPN จาก SourceForge

การเลือกใช้ SourceForge เป็นที่วางไฟล์มีผลทางจิตวิทยา เพราะเป็นแพลตฟอร์มโฮสต์ซอฟต์แวร์โอเพนซอร์สที่คนไอทีคุ้นเคยและมักไม่ตั้งข้อสงสัย ยิ่งเมื่อหน้าดาวน์โหลดใส่ลิงก์ไปยัง soprasteria-bg[.]com ซึ่งดูเหมือนเว็บไซต์สาขาของบริษัทจริง ความน่าเชื่อถือก็ยิ่งเพิ่มขึ้น ทั้งที่โดเมนดังกล่าวไม่มีความเกี่ยวข้องกับ Sopra Steria แต่อย่างใด

ท้ายรายงาน CERT-UA แนะนำผู้ให้บริการโทรคมนาคมและบริษัทไอทีที่พนักงานตกเป็นเป้าของปฏิบัติการนี้ ให้จำกัดการเข้าถึงทรัพยากรขององค์กรไว้เฉพาะอุปกรณ์ที่อยู่ภายใต้การบริหารจัดการและถูกเฝ้าระวังต่อเนื่องด้วย EDR รวมถึงกรณีที่พนักงานใช้อุปกรณ์ส่วนตัวด้วย ทั้งนี้ APT44 เป็นกลุ่มที่ขึ้นชื่อเรื่องการโจมตีโครงสร้างพื้นฐานสำคัญและหน่วยงานรัฐ ทั้งในยูเครนและในประเทศอื่น

วิธีการโจมตี

จุดที่ทำให้ปฏิบัติการนี้ต่างจากฟิชชิงทั่วไปคือมัลแวร์ไม่ได้ถูกซ่อนในไฟล์แนบหรือลิงก์ที่ส่งมาในนัดแรก แต่ถูกวางไว้ปลายทางของกระบวนการที่เหยื่อเดินเข้าไปเองทีละขั้น ตั้งแต่การถูกทาบทามงาน การย้ายช่องทางไปคุยบน Telegram การสัมภาษณ์วิดีโอกับคนจริง ไปจนถึงโจทย์ทดสอบที่มีเหตุผลรองรับว่าทำไมต้องต่อ VPN เมื่อถึงขั้นที่ไฟล์คอนฟิกขึ้นข้อผิดพลาด การที่ผู้สมัครจะยอมดาวน์โหลด “ไคลเอนต์ของบริษัท” มาลองอีกครั้งจึงดูเป็นเรื่องสมเหตุสมผลในบริบทนั้น

ตัวไคลเอนต์ที่ถูกดัดแปลงรองรับตัวเลือกในไฟล์ตั้งค่าที่ไม่มีอยู่ในมาตรฐานของ WireGuard ชื่อ SymmetricKey ซึ่งทำหน้าที่ถอดรหัสและรันโค้ด PowerShell ที่ฝังอยู่ภายใน กล่าวคือเพย์โหลดไม่ได้อยู่ในตัวโปรแกรม แต่อยู่ในไฟล์คอนฟิกที่ดูเหมือนข้อมูลกุญแจธรรมดา

CERT-UA อธิบายกลไกนี้อย่างละเอียดว่า “แก่นของกลลวงนี้คือไคลเอนต์ VPN ของผู้โจมตีถูกคอมไพล์มาจากซอร์สโค้ดของ WireGuard พร้อมการดัดแปลงหลายจุด โดยเฉพาะการเพิ่มการรองรับตัวเลือกนอกมาตรฐานชื่อ SymmetricKey เข้าไปในกลไกประมวลผลไฟล์ตั้งค่า ซึ่งค่าของมันบรรจุข้อมูลที่เข้ารหัส BASE64 สำหรับ AES-256-GCM ได้แก่ nonce, ciphertext และ authentication tag” และเสริมว่า “ค่าขนาด 32 ไบต์ที่ได้จากการถอดรหัส PrivateKey ถูกใช้เป็นกุญแจ AES-256 จากนั้นโค้ด PowerShell ที่ถอดรหัสได้จะถูกส่งต่อไปยังกลไกมาตรฐานชื่อ runScriptCommand ซึ่ง WireGuard ใช้สำหรับรันคำสั่งที่ระบุไว้ในตัวเลือก PostUp เป็นต้น”

รายละเอียดตรงนี้อธิบายว่าทำไมกลลวงจึงแนบเนียน เพราะผู้โจมตีไม่ได้สร้างกลไกรันคำสั่งขึ้นมาใหม่ แต่ยืมกลไกที่ WireGuard มีอยู่แล้วโดยชอบธรรมอย่าง PostUp และ runScriptCommand มาใช้ต่อ ส่วนกุญแจถอดรหัสก็ไม่ได้ถูกซ่อนไว้ที่ไหน แต่คือค่า PrivateKey ในไฟล์คอนฟิกเดียวกันซึ่งดูเป็นของปกติทุกประการ ผลรวมคือไฟล์ตั้งค่าที่อ่านผ่าน ๆ แล้วไม่มีอะไรน่าสงสัย กลับเป็นทั้งกุญแจและเพย์โหลดในตัวเดียว

บนวินโดวส์ คำสั่งที่ถูกรันจะสร้าง scheduled task ไว้เพื่อคงอยู่ในระบบ แล้วดาวน์โหลดเพย์โหลดเพิ่มเติมจากอินเทอร์เน็ต ส่วนบนลินุกซ์จะใช้ cURL ดึงไฟล์ปฏิบัติการอีกตัวจากโครงสร้างพื้นฐานของผู้โจมตี โดยดึงผ่านช่องทาง VPN ที่เพิ่งเชื่อมต่อนั่นเอง ซึ่งหมายความว่าทราฟฟิกการดาวน์โหลดจะถูกห่อไว้ในอุโมงค์ที่ระบบเฝ้าระวังฝั่งเครือข่ายมองไม่เห็นเนื้อใน ทั้งนี้ลักษณะที่แท้จริงของเพย์โหลดขั้นถัดไปยังไม่ชัดเจน ซึ่งหมายความว่าเป้าหมายปลายทางของปฏิบัติการนี้ยังไม่มีคำตอบจากหลักฐานที่เผยแพร่ออกมา

CERT-UA ยังตั้งข้อสังเกตว่าไคลเอนต์ที่ถูกดัดแปลงเปลี่ยนการถอดรหัส Base64 มาตรฐานของ WireGuard ไปใช้ชุดอักขระ Base64 แบบกำหนดเองที่ถูกสร้างขึ้นแบบพลวัต ผลคือสตริงที่เป็นกุญแจจะอ่านไม่ออกด้วยตัวถอดรหัสมาตรฐาน และโค้ด PowerShell ที่ซ่อนอยู่ก็รอดพ้นจากการตรวจวิเคราะห์แบบผิวเผิน ผู้ที่เปิดไฟล์คอนฟิกดูด้วยตาจะเห็นเพียงข้อความสุ่มที่ดูเหมือนกุญแจตามปกติ

โครงการปลอมบน SourceForge ที่ใช้แจกไฟล์

ลิงก์ที่ผู้โจมตีส่งให้เหยื่อชี้ไปยังโครงการบน SourceForge สองโครงการคือ sourceforge[.]net/projects/soprabulgariavpn และ sourceforge[.]net/projects/sopravpn ซึ่งถูกตั้งชื่อให้ล้อกับชื่อบริษัทที่ถูกสวมรอยและชื่อสาขาในบัลแกเรีย

นอกจากสองโครงการที่ CERT-UA ระบุไว้ เว็บไซต์ The Hacker News ยังพบโครงการที่สามชื่อ sourceforge[.]net/projects/soprasteriavpn ซึ่งตามผลการค้นหาที่ถูกแคชไว้ของ Google อธิบายตัวเองว่าเป็น “โซลูชัน VPN องค์กรแบบโอเพนซอร์ส ออกแบบมาสำหรับธุรกิจที่ต้องการการเข้าถึงระยะไกลและการเชื่อมต่อระหว่างสาขาอย่างปลอดภัย โดยไม่ต้องเสียค่าลิขสิทธิ์ราคาแพง” คำโปรยลักษณะนี้ถูกเขียนมาเพื่อให้ผ่านสายตาคนไอทีที่กำลังมองหาทางเลือกแทนซอฟต์แวร์เชิงพาณิชย์โดยเฉพาะ

ข้อมูลที่ควรบันทึกไว้คือ ณ เวลาที่รายงานเผยแพร่ ไม่มีโครงการใดในสามโครงการนี้ที่ยังดาวน์โหลดได้ ซึ่งหมายความว่าช่องทางแจกจ่ายชุดนี้ถูกปิดไปแล้ว แต่ไม่ได้แปลว่าปฏิบัติการยุติ เพราะรูปแบบที่ใช้สามารถย้ายไปยังแพลตฟอร์มโฮสต์ซอฟต์แวร์อื่นได้ทันทีด้วยต้นทุนที่ต่ำมาก สิ่งที่องค์กรควรใช้เป็นสัญญาณเตือนจึงไม่ใช่ชื่อโครงการทั้งสามนี้ แต่คือรูปแบบของการถูกชักชวนให้ติดตั้งไคลเอนต์ VPN เฉพาะทางจากลิงก์ที่ผู้ติดต่อส่งมาเอง

ผลกระทบ

เป้าหมายของปฏิบัติการนี้คือคนไอทีและผู้ดูแลระบบโดยเฉพาะ ซึ่งเป็นการเลือกเป้าที่คุ้มค่าที่สุดสำหรับผู้โจมตี เพราะบุคคลเหล่านี้มักถือสิทธิ์สูงในระบบขององค์กรที่ทำงานอยู่ และเครื่องที่ใช้ก็มักมีเครื่องมือบริหารจัดการที่เข้าถึงเซิร์ฟเวอร์ได้โดยตรง การยึดเครื่องของแอดมินหนึ่งคนจึงมีค่าเท่ากับการได้ทางเข้าสู่ระบบทั้งชุด

รูปแบบการโจมตียังเจาะจงช่องว่างที่มาตรการขององค์กรครอบไม่ถึง เพราะการสมัครงานเป็นกิจกรรมส่วนตัวที่คนทำบนเครื่องของตัวเองนอกเวลางาน อีเมลที่ใช้ก็เป็นอีเมลส่วนตัว การพูดคุยเกิดบน Telegram และการติดตั้งโปรแกรมทดสอบก็ดูเป็นเรื่องส่วนบุคคล นโยบายความปลอดภัยที่บังคับเฉพาะบนอุปกรณ์ขององค์กรจึงไม่มีผลกับเส้นทางนี้เลย ซึ่งเป็นเหตุผลที่คำแนะนำของ CERT-UA จึงพูดถึงการจำกัดการเข้าถึงทรัพยากรองค์กรให้เหลือเฉพาะอุปกรณ์ที่ถูกจัดการและเฝ้าระวัง แม้ในกรณีที่พนักงานใช้เครื่องส่วนตัว

ในภาพกว้างกว่านั้น การปรากฏตัวของปฏิบัติการนี้ทำให้ผู้โจมตีที่โยงกับรัสเซียเข้าร่วมกลุ่มเดียวกับผู้โจมตีจากจีน อิหร่าน และเกาหลีเหนือ ที่ใช้แคมเปญรับสมัครงานปลอมเป็นช่องทางเข้าถึงระบบเป้าหมายมาก่อนหน้านี้ กลวิธีนี้จึงไม่ใช่ลายเซ็นเฉพาะของกลุ่มใดกลุ่มหนึ่งอีกต่อไป แต่กลายเป็นวิธีมาตรฐานที่กลุ่มระดับรัฐหลายสัญชาติหยิบไปใช้ ซึ่งแปลว่าองค์กรไม่สามารถใช้ “ใครน่าจะเล็งเรา” เป็นเกณฑ์ประเมินความเสี่ยงของช่องทางนี้ได้อีก

อีกประเด็นที่ควรบันทึกไว้คือการยืมความน่าเชื่อถือของแพลตฟอร์มที่ถูกกฎหมาย ทั้งเว็บไซต์หางาน Zoom Telegram และ SourceForge ล้วนเป็นบริการที่คนไอทีใช้อยู่แล้วทุกวัน เมื่อทุกขั้นตอนเกิดบนแพลตฟอร์มที่คุ้นเคย สัญญาณเตือนที่คนมักใช้ตัดสินใจ เช่นโดเมนแปลก ๆ หรือไฟล์แนบที่ไม่คาดคิด ก็แทบไม่ปรากฏจนถึงขั้นสุดท้าย

คำแนะนำ

• จำกัดการเข้าถึงทรัพยากรขององค์กรให้เหลือเฉพาะอุปกรณ์ที่อยู่ภายใต้การบริหารจัดการและมี EDR เฝ้าระวังต่อเนื่อง รวมถึงกรณีที่พนักงานใช้อุปกรณ์ส่วนตัว ตามคำแนะนำของ CERT-UA
• สื่อสารกับทีมไอทีและผู้ดูแลระบบโดยตรงว่าปฏิบัติการนี้เล็งพวกเขาเป็นเป้าหมาย และการทดสอบทางเทคนิคที่ขอให้ติดตั้งไคลเอนต์ VPN เฉพาะทางถือเป็นสัญญาณอันตราย
• ห้ามติดตั้งไคลเอนต์ VPN จากลิงก์ที่ผู้ติดต่อส่งมา ให้ดาวน์โหลดจากเว็บไซต์ทางการของโครงการเท่านั้น และตรวจสอบลายเซ็นดิจิทัลของไฟล์ก่อนติดตั้ง
• ตรวจไฟล์คอนฟิก WireGuard ว่ามีตัวเลือกที่ไม่มีอยู่ในมาตรฐาน เช่น SymmetricKey หรือไม่ เพราะไฟล์ตั้งค่าปกติไม่ควรมีฟิลด์ที่ตัวโปรแกรมมาตรฐานไม่รู้จัก
• เฝ้าระวังการสร้าง scheduled task ที่ผิดปกติบนวินโดวส์ และการเรียกใช้ cURL ดึงไฟล์ปฏิบัติการผ่านอุโมงค์ VPN บนลินุกซ์ หลังการติดตั้งซอฟต์แวร์ใหม่
• ตรวจสอบว่าโดเมนที่ปรากฏบนหน้าดาวน์โหลดตรงกับโดเมนทางการของบริษัทที่อ้างถึงจริงหรือไม่ อย่าใช้ความคล้ายของชื่อเป็นเกณฑ์ตัดสิน

Indicators of Compromise (IoCs)

รายการด้านล่างมาจากรายงานตามที่ปรากฏในบทความต้นทาง โดยโดเมนถูก defang ไว้แล้ว ก่อนนำไปใช้ต้องแปลงกลับเอง

แหล่งอ้างอิง

• Sandworm hackers target IT pros with trojanized WireGuard VPN client — BleepingComputer
• The Hacker News — Sandworm-Linked UAC-0145 Uses Fake Job Interviews to Push VPN That Can Run Commands
• CERT-UA — รายงานปฏิบัติการ UAC-0145