Check Point เปิดเบื้องหลัง zero-day AFD.sys ที่ Lazarus ใช้จริง — ข้อเสนองานปลอมเจาะกลาโหมและการบินในยุโรป อินเดีย และบราซิล

สรุปสั้น

บริษัท Check Point เปิดเผยรายงานที่อธิบายว่าแฮ็กเกอร์เกาหลีเหนือใช้ช่องโหว่ zero-day บน Windows ที่เพิ่งได้รับแพตช์ไปเมื่อวันที่ 11 สิงหาคม 2569 เข้ายึดเครื่องของเหยื่อ โดยระบุว่าเป็นฝีมือของกลุ่ม Lazarus และการโจมตีชุดนี้เป็นภาคต่อของปฏิบัติการ Operation Dream Job ที่ใช้ข้อเสนองานปลอมจากบริษัทที่มีชื่อเสียงล่อผู้หางานมาอย่างยาวนาน

ปฏิบัติการรอบใหม่นี้เดินมาตั้งแต่ต้นปี 2569 และเล็งไปที่ภาคกลาโหมในหลายประเทศ โดยเน้นองค์กรด้านอากาศยานและการบินในยุโรปกับอินเดียเป็นหลัก ซึ่ง Check Point ระบุประเทศเป้าหมายไว้ชัดว่ามีฝรั่งเศส เยอรมนี บราซิล และอินเดีย ผู้โจมตีสวมรอยเป็นนายหน้าจัดหางาน ติดต่อเหยื่อผ่านแพลตฟอร์มสายอาชีพยอดนิยมหรือแอปพลิเคชันส่งข้อความโดยตรง แล้วโน้มน้าวให้ดาวน์โหลดไฟล์ที่ฝังโค้ดอันตราย

ช่องโหว่ที่ถูกใช้คือ CVE-2026-68820 ในไดรเวอร์ Ancillary Function Driver for WinSock หรือ afd.sys ซึ่งเป็นช่องโหว่ประเภทใช้หน่วยความจำหลังคืนแล้ว เปิดทางให้ผู้โจมตีจุดชนวน race condition จนได้สิทธิ์ระดับ System ต่อมา Microsoft ปิดช่องโหว่นี้ในรอบ Patch Tuesday และ CISA เพิ่มเข้าแคตตาล็อก Known Exploited Vulnerabilities พร้อมเร่งให้หน่วยงานรัฐบาลกลางติดตั้งแพตช์ภายในสองสัปดาห์

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 12 สิงหาคม 2569 ว่า แฮ็กเกอร์เกาหลีเหนือใช้ช่องโหว่ zero-day บน Windows ที่เพิ่งมีแพตช์เข้ายึดระบบของเหยื่อ ตามรายงานของ Check Point

เว็บไซต์ Cloud Thunder เคยรายงานรอบแพตช์ Patch Tuesday เดือนสิงหาคมไว้ในโพสต์ 2026/08/070 ซึ่งกล่าวถึง CVE-2026-68820 ในฐานะ zero-day ตัวเดียวของรอบที่ถูกใช้โจมตีจริง ข่าวนี้จึงเป็นการเปิดเบื้องหลังว่าการโจมตีนั้นเกิดขึ้นในบริบทใดและใครเป็นเป้าหมาย

จุดที่ต้องระบุไว้ตามตรงคือ รายงานฉบับเดียวกันของ Check Point ถูกสองสำนักข่าวถ่ายทอดออกมาไม่เหมือนกันเสียทีเดียว ฝั่ง BleepingComputer ซึ่งเป็นแหล่งของโพสต์ 070 ระบุว่าช่องโหว่ถูกใช้เพื่อวางรูทคิตระดับเคอร์เนล FudModule เวอร์ชันใหม่ ขณะที่ SecurityWeek เล่าห่วงโซ่การติดเชื้อโดยจบที่แบ็กดอร์ ForestTiger และไม่ได้เอ่ยถึง FudModule เลย ทั้งสองเวอร์ชันไม่ได้ขัดกันโดยตรง เพราะปฏิบัติการหนึ่งอาจมีทั้งรูทคิตและแบ็กดอร์ในสายเดียวกัน แต่ผู้อ่านที่ต้องการรายละเอียดครบควรอ่านรายงานต้นทางของ Check Point เอง

ต่อมาเว็บไซต์ The Hacker News รายงานเมื่อวันที่ 12 สิงหาคม 2569 โดยอ้างรายงานฉบับเดียวกัน และทำให้ความต่างนี้คลี่คลาย เพราะระบุห่วงโซ่ครบทั้งสายว่าโหลดเดอร์ Mistpen เป็นตัวโหลดโมดูลยกระดับสิทธิ์ที่ถอดรหัสและรัน FudModule ออกมา จากนั้นจึงใช้ช่องโหว่ afd.sys เพื่อเข้าสู่สิทธิ์ SYSTEM แล้ววาง ForestTiger เป็นแบ็กดอร์ปลายทาง กล่าวคือ FudModule กับ ForestTiger อยู่คนละตำแหน่งของสายเดียวกัน ไม่ใช่คำอธิบายที่แข่งกัน สองสำนักข่าวเพียงเลือกตัดตอนคนละช่วงของห่วงโซ่มาเล่าเท่านั้น

ไทม์ไลน์การเปิดเผยก็ชัดขึ้นเช่นกัน Check Point Research แจ้งให้ The Hacker News ทราบว่าตนรายงานช่องโหว่นี้ต่อ Microsoft เมื่อปลายเดือนกรกฎาคม 2569 พร้อมระบุว่า “เรารับรู้ถึงการนำ CVE นี้ไปใช้ได้สำเร็จตั้งแต่ต้นเดือนมิถุนายน” ซึ่งหมายความว่าช่องโหว่ถูกใช้โจมตีจริงมาแล้วราวสองเดือนก่อนจะมีแพตช์ออก ส่วนตัวช่องโหว่ CVE-2026-68820 มีคะแนน CVSS 7.0 และเป็นช่องโหว่ยกระดับสิทธิ์ใน Windows Ancillary Function Driver for WinSock ตามที่ Microsoft ปิดไปในรอบ Patch Tuesday เดือนสิงหาคม 2569

รายละเอียดฝั่งการล่อเหยื่อก็ถูกเติมเข้ามาด้วย โดยระบุว่าผู้โจมตีอ้างชื่อบริษัทอย่าง Lockheed Martin และ Enveil ในข้อเสนองานปลอม และเข้าหาเป้าหมายผ่านแพลตฟอร์มอย่าง LinkedIn โดยสวมรอยเป็นนายหน้าจัดหางานเพื่อสร้างความไว้วางใจก่อน ส่วนกลวิธีใช้โปรแกรมอ่าน PDF ที่ถูกฝังโค้ดนั้นไม่ใช่ของใหม่ แต่เป็นวิธีที่ Lazarus ใช้คู่กับ Operation Dream Job มาตั้งแต่ปี 2565

Check Point ระบุว่าผู้โจมตีสวมรอยเป็นนายหน้าจัดหางาน แล้วติดต่อเหยื่อที่มีศักยภาพผ่านแพลตฟอร์มสายอาชีพหรือแอปส่งข้อความ ก่อนโน้มน้าวให้ดาวน์โหลดเพย์โหลดที่เป็นอันตราย รูปแบบนี้ตรงกับที่ Cloud Thunder รายงานไว้ในโพสต์ 2026/08/073 ว่ากลุ่มที่โยงกับรัสเซียก็หันมาใช้ข้อเสนองานปลอมล่าคนไอทีเช่นกัน แสดงว่ากลวิธีนี้ไม่ใช่ลายเซ็นเฉพาะของกลุ่มเกาหลีเหนืออีกต่อไป

ท้ายรายงาน Check Point สรุปว่า “ด้วยการประกอบกันของช่องโหว่ zero-day ที่ตอนนี้มีแพตช์แล้ว แบ็กดอร์แบบโมดูลตัวใหม่ และโครงสร้างพื้นฐานบนเว็บที่ออกแบบมาให้ดูเหมือนทราฟฟิกปกติ ทีมความปลอดภัยในภาคส่วนเหล่านี้ควรให้ความสำคัญกับอัปเดต Patch Tuesday เดือนสิงหาคมเป็นลำดับต้น ทบทวนตัวบ่งชี้การถูกบุกรุก และใช้ความระมัดระวังกับการทาบทามงานที่ไม่ได้ร้องขอในระดับเดียวกับที่ใช้กับคำขอให้ดาวน์โหลดไฟล์จากแหล่งที่ยังไม่ได้ตรวจสอบ”

วิธีการโจมตี

ห่วงโซ่การติดเชื้อสายแรกเริ่มจากไฟล์บีบอัดที่ส่งให้เหยื่อ ภายในมีโปรแกรมอ่าน PDF ไฟล์ DLL ที่ฝังโค้ดอันตราย และเพย์โหลดที่ถูกเข้ารหัสไว้โดยปลอมตัวเป็นไฟล์ PDF จากนั้นใช้เทคนิค DLL sideloading เพื่อรันโหลดเดอร์มัลแวร์ชื่อ Mistpen ในหน่วยความจำ ขณะที่หน้าจอของเหยื่อแสดงรายละเอียดตำแหน่งงานปลอมเป็นฉากบังตา ซึ่งเป็นจังหวะที่ทำให้เหยื่อไม่ทันสังเกตว่ามีอะไรทำงานอยู่เบื้องหลัง

หลังจากนั้นห่วงโซ่จะเดินต่อด้วยการสำรวจระบบ การฝังตัวให้คงอยู่ แล้วจึงใช้ช่องโหว่ที่ยังไม่มีใครรู้จักในไดรเวอร์ afd.sys เพื่อยกระดับสิทธิ์ ก่อนวางแบ็กดอร์ ForestTiger ซึ่งเป็นเครื่องมือที่รู้จักกันดีว่าเป็นของ Lazarus

สายที่สองต่างออกไป โดยพาเหยื่อไปยังโปรแกรมอ่าน PDF ที่ถูกฝังโค้ดชื่อ SecurityPDF ซึ่งมีพฤติกรรมที่น่าสนใจคือมันจะคอยค้นหาเครื่องหมายที่ซ่อนอยู่ในไฟล์ PDF ทุกไฟล์ที่ถูกเปิดบนเครื่อง เมื่อเจอเครื่องหมายนั้นจึงรันแบ็กดอร์ชื่อ Troy ขึ้นมาในหน่วยความจำโดยตรง กลไกนี้ทำให้ตัวโปรแกรมที่ติดตั้งอยู่ดูไม่มีพิษภัยจนกว่าจะมีไฟล์ที่ถูกทำเครื่องหมายไว้ถูกเปิดขึ้น

Troy เป็นอิมแพลนต์รูปแบบ DLL ตัวใหม่ที่รองรับคำสั่งจากผู้ควบคุม 17 คำสั่ง ครอบคลุมการไล่รายชื่อไฟล์ การดาวน์โหลดและอัปโหลดไฟล์ การดูดข้อมูลออก การเรียกใช้เชลล์ การสั่งหยุดกระบวนการ และการฉีด DLL เข้าไปในกระบวนการอื่น ซึ่งเป็นชุดความสามารถที่เพียงพอสำหรับทั้งการเก็บข้อมูลและการขยับต่อในเครือข่าย

องค์ประกอบที่ต่างจากปฏิบัติการทั่วไปคือโครงสร้างพื้นฐานสั่งการ Check Point พบว่าเซิร์ฟเวอร์ควบคุมที่ใช้ในการโจมตีชุดนี้เป็นระบบเว็บเมล Roundcube และแพลตฟอร์ม CMS ของผู้อื่นที่ถูกยึดมา ซึ่งหลายรายมีช่องโหว่ CVE-2025-49113 อันเป็นช่องโหว่รันโค้ดทางไกลที่ถูกใช้โจมตีมาตั้งแต่เดือนมิถุนายน 2568 เว็บไซต์ Cloud Thunder เคยรายงานปฏิบัติการอื่นที่อาศัยการเจาะ Roundcube ไว้ในโพสต์ 2026/07/091

บนเซิร์ฟเวอร์เหล่านั้น Check Point พบเว็บเชลล์ภาษา PHP ที่ยังไม่เคยมีการบันทึกไว้มาก่อนชื่อ RelayShell โดยระบุว่า “เซิร์ฟเวอร์เหล่านี้ติดตั้ง RelayShell ซึ่งเป็นเว็บเชลล์ PHP ที่ยังไม่เคยถูกบันทึกไว้ ทำงานน้อยกว่าแบ็กดอร์ทั่วไปแต่ทำหน้าที่เป็นตัวส่งต่อการสื่อสารระหว่างเครื่องที่ติดเชื้อกับผู้ควบคุม โดยแลกเปลี่ยนคำสั่งและคำตอบผ่านไฟล์ข้อความธรรมดา” การออกแบบให้เป็นตัวรีเลย์แทนที่จะเป็นแบ็กดอร์เต็มรูปแบบ ทำให้ทราฟฟิกที่วิ่งเข้าออกดูเหมือนการเข้าใช้งานเว็บเมลตามปกติ

โมดูลของ Mistpen และรูทคิต FudModule รุ่น 3.1

รายละเอียดที่ The Hacker News เพิ่มเข้ามาจากรายงานฉบับเต็มคือบทบาทของ Mistpen ซึ่งไม่ได้เป็นเพียงโหลดเดอร์ที่ดึงเพย์โหลดขั้นถัดไปมารัน แต่ทำหน้าที่เป็นแกนกลางที่โหลดโมดูลย่อยอย่างน้อยสี่ตัวเข้ามาทำงานตามลำดับ โดยตัว Mistpen เองสื่อสารกับโครงสร้างพื้นฐานของผู้โจมตีผ่าน Microsoft Graph API และ OneDrive ซึ่งเป็นบริการที่องค์กรส่วนใหญ่อนุญาตให้ผ่านไฟร์วอลล์อยู่แล้ว

โมดูลตัวแรกคือ GetInfoPlugin หรือไฟล์ Release_GetInfoPlugin_x64.dll ทำหน้าที่เก็บลักษณะของเครื่องแล้วส่งข้อมูลออกไปเป็นสตริงชุดเดียว ตัวที่สองคือ PvPlugin หรือ Release_PvPlugin_x64.dll ซึ่งเก็บข้อมูลสำรวจระบบพร้อมรายละเอียดของกระบวนการที่กำลังทำงานอยู่ ตัวที่สามคือ OneScreenCapture หรือ OneScreenCapture64.dll ที่จับภาพหน้าจอปัจจุบันครบทุกจอแล้วส่งกลับเป็นไฟล์ JPEG และตัวที่สี่คือโมดูลยกระดับสิทธิ์หรือ LPE loader

โมดูลตัวที่สี่นี้เองคือจุดเชื่อมที่ทำให้ภาพทั้งหมดต่อกัน มันเก็บข้อมูลของเครื่องก่อน แล้วสร้างวัสดุกุญแจชุดใหม่ด้วยอัลกอริทึมห่อหุ้มกุญแจแบบทนคอมพิวเตอร์ควอนตัมชื่อ ML-KEM จากนั้นใช้กุญแจที่เจรจาได้ระหว่างขั้นตอนจับมือมาถอดรหัสและรันรูทคิต FudModule ออกมา การเลือกใช้การเข้ารหัสระดับ post-quantum ในขั้นตอนส่งมอบเพย์โหลดเป็นรายละเอียดที่ควรบันทึกไว้ เพราะมันทำให้การดักจับทราฟฟิกแล้วถอดรหัสย้อนหลังในภายหลังใช้ไม่ได้ผล และสะท้อนว่าผู้พัฒนาให้ความสำคัญกับการปกป้องเครื่องมือของตัวเองมากกว่าการเร่งความเร็ว

FudModule คือรูทคิตระดับเคอร์เนลที่ Lazarus ใช้ซ้ำมาตั้งแต่ปี 2565 เป็นอย่างน้อย เพื่อซ่อนเครื่องมือของตนจากซอฟต์แวร์ความปลอดภัยบนเครื่อง กลไกในรอบนี้คือใช้ช่องโหว่ยกระดับสิทธิ์ใน afd.sys เพื่อให้ได้สิทธิ์ SYSTEM แล้วฉีด Mistpen อีกชุดเข้าไปในกระบวนการที่รันด้วยสิทธิ์ SYSTEM เพื่อให้ทำงานต่อในระดับสิทธิ์สูงและอยู่พ้นสายตาของเครื่องมือตรวจจับ

สิ่งที่ทำให้เวอร์ชันนี้ซึ่งถูกเรียกว่า FudModule 3.1 ต่างจากรุ่นก่อนคือความสามารถในการเข้าไปยุ่งกับ Smart App Control ซึ่งเป็นกลไกของ Windows ที่ตรวจสอบว่าโปรแกรมหนึ่ง ๆ ปลอดภัยพอจะรันหรือไม่ Check Point อธิบายกลไกนี้ว่า “ภายในกระบวนการลูก msiexec.exe ที่รันด้วยสิทธิ์ SYSTEM สตับระยะไกลของมันจะตั้งค่า VerifiedAndReputablePolicyState เป็นศูนย์ แล้วเรียก NtSetSystemInformation คลาส 0xA4 ด้วยตัวเลือก 0x10000000 ซึ่งจะบังคับให้นโยบายความสมบูรณ์ของโค้ดถูกโหลดใหม่ในที่” ผลคือด่านที่ Microsoft วางไว้เพื่อกันไม่ให้โปรแกรมที่ไม่น่าไว้ใจรันได้ ถูกปิดจากภายในโดยที่ระบบยังเข้าใจว่าตัวเองทำงานตามนโยบายอยู่

เว็บไซต์ปลอมที่ใช้แจกโปรแกรมอ่าน PDF

อีกก้อนที่รายงานฉบับเต็มเพิ่มเข้ามาคือช่องทางแจกจ่าย SecurityPDF ผู้โจมตีสร้างเว็บไซต์ที่ปลอมเป็นบริษัท Enveil ไว้อย่างน้อยสามแห่งเพื่อใช้แจกโปรแกรมตัวนี้ ได้แก่ envell[.]xyz, enveil[.]online และ uxtramine[.]org ซึ่งเป็นตัวบ่งชี้ที่องค์กรนำไปใช้ตรวจย้อนหลังในล็อกได้ทันที

จุดที่ต้องระบุตามตรงคือ Check Point เองยังไม่ชัดเจนว่าเว็บไซต์ปลอมเหล่านี้ถูกผูกเข้ากับกระบวนการวิศวกรรมสังคมตรงจังหวะไหน สมมติฐานที่รายงานเสนอคือผู้โจมตีส่งไฟล์ PDF มาทางข้อความฟิชชิงก่อน แล้วจึงกดดันให้เหยื่อไปดาวน์โหลดโปรแกรมอ่าน PDF จากเว็บไซต์นั้นเพื่อเปิดเอกสารดังกล่าว ซึ่งอธิบายได้ว่าทำไมมัลแวร์จึงถูกตั้งให้ทำงานเฉพาะกับไฟล์ที่มีเครื่องหมายซ่อนอยู่เท่านั้น

รายละเอียดที่น่ากังวลที่สุดในก้อนนี้คือการที่เว็บไซต์ปลอมติดอันดับต้น ๆ ของผลการค้นหา ทำให้เหยื่อที่ระมัดระวังพอจะไม่กดลิงก์ในข้อความ แล้วเลือกค้นชื่อโปรแกรมเองด้วยเสิร์ชเอนจิน ก็ยังเดินไปเจอไฟล์เดียวกันอยู่ดี ยิ่งกว่านั้น Check Point พบว่าในอย่างน้อยหนึ่งกรณี องค์กรในฝรั่งเศสที่ถูกเจาะไปก่อนแล้วถูกใช้เป็นฐานส่งข้อความฟิชชิงต่อไปยังเหยื่อรายใหม่ เพื่อให้อีเมลผ่านตัวกรองที่ตัดสินจากชื่อเสียงของผู้ส่ง

นาย Sergey Shykevich ผู้อำนวยการฝ่ายข่าวกรองภัยคุกคามของ Check Point Software สรุปประเด็นนี้ไว้ว่า “สิ่งที่ทำให้ปฏิบัติการนี้อันตรายไม่ใช่แค่ช่องโหว่ zero-day แต่คือวิธีที่ Lazarus ถักโครงสร้างพื้นฐานที่ถูกกฎหมายและน่าเชื่อถือเข้าไปในทุกขั้นของการโจมตี พวกเขาซ่อนตัวอยู่ในที่แจ้ง หลังผลการค้นหาอันดับต้น ๆ หลังตราสินค้าของผู้ผลิตตัวจริง และหลังชื่อเสียงขององค์กรที่พวกเขาเจาะไปก่อนแล้ว” พร้อมเสริมว่า “เมื่อทั้งเว็บไซต์ ไฟล์ที่ดาวน์โหลด และตัวนายหน้าล้วนดูเป็นของจริง คำแนะนำเดิมที่ให้ ‘สังเกตลิงก์ฟิชชิงให้ออก’ ก็ใช้ไม่ได้ง่าย ๆ อีกต่อไป”

ผลกระทบ

กลุ่มที่เป็นเป้าหมายชัดเจนคือองค์กรด้านกลาโหม อากาศยาน และการบิน ซึ่งเป็นภาคส่วนที่ข้อมูลการออกแบบ สัญญาจัดซื้อ และรายชื่อผู้รับเหมาช่วงมีมูลค่าทางยุทธศาสตร์สูง การที่ผู้โจมตีเลือกเข้าทางพนักงานผ่านข้อเสนองาน แทนที่จะเจาะระบบขององค์กรตรง ๆ สะท้อนว่าด่านที่อ่อนที่สุดในภาคส่วนที่ป้องกันตัวแน่นหนาคือคนที่กำลังมองหางานใหม่

รูปแบบการโจมตีนี้เกิดขึ้นบนพื้นที่ที่นโยบายขององค์กรเอื้อมไม่ถึง เพราะการรับการทาบทามงาน การคุยกับนายหน้า และการเปิดไฟล์รายละเอียดตำแหน่งงาน ล้วนเป็นกิจกรรมส่วนตัวที่มักทำบนเครื่องส่วนตัวและบัญชีส่วนตัว หากเครื่องนั้นถูกใช้เข้าถึงทรัพยากรขององค์กรด้วย ช่องทางที่ผู้โจมตีได้ก็ต่อตรงเข้าสู่ระบบงานโดยที่ระบบเฝ้าระวังขององค์กรไม่เคยเห็นขั้นตอนก่อนหน้าเลย

ในแง่การตรวจจับ องค์ประกอบที่ยากที่สุดของปฏิบัติการชุดนี้คือโครงสร้างพื้นฐานสั่งการที่อาศัยเว็บเมลและ CMS ของผู้อื่นที่ถูกยึดมา ทราฟฟิกที่ออกจากเครื่องเหยื่อจึงวิ่งไปยังโดเมนที่มีชื่อเสียงดีและไม่เคยติดบัญชีดำ การไล่ตามด้วยรายการโดเมนอันตรายจึงแทบไม่ได้ผล และยังหมายความว่าองค์กรที่ดูแลเซิร์ฟเวอร์ Roundcube หรือ CMS ที่ไม่ได้แพตช์อาจกลายเป็นส่วนหนึ่งของโครงสร้างพื้นฐานโจมตีโดยไม่รู้ตัว แม้ตัวเองจะไม่ใช่เป้าหมายก็ตาม

คำแนะนำ

• ติดตั้งแพตช์ CVE-2026-68820 จากรอบ Patch Tuesday เดือนสิงหาคม 2569 เป็นลำดับแรก เนื่องจากมีการยืนยันว่าถูกใช้โจมตีจริงในสถานะ zero-day และอยู่ในแคตตาล็อก KEV ของ CISA แล้ว
• สื่อสารกับพนักงานในสายวิศวกรรม กลาโหม และการบินโดยตรงว่ากลุ่มนี้เล็งพวกเขาผ่านข้อเสนองาน และการถูกขอให้ดาวน์โหลดไฟล์รายละเอียดตำแหน่งงานหรือเครื่องมืออ่านเอกสารเฉพาะทางถือเป็นสัญญาณอันตราย
• ห้ามเปิดไฟล์บีบอัดที่มาพร้อมโปรแกรมอ่านเอกสารของตัวเอง เพราะเป็นรูปแบบมาตรฐานของการทำ DLL sideloading ให้ใช้โปรแกรมอ่าน PDF ที่ติดตั้งไว้บนเครื่องเท่านั้น
• เฝ้าระวังการรันโค้ดในหน่วยความจำหลังการเปิดไฟล์เอกสาร รวมถึงพฤติกรรมของโปรแกรมอ่าน PDF ที่มีการเชื่อมต่อออกภายนอกหรือฉีด DLL เข้าไปในกระบวนการอื่น
• แพตช์เซิร์ฟเวอร์ Roundcube และระบบ CMS ที่องค์กรดูแลอยู่ โดยเฉพาะ CVE-2025-49113 เพราะเซิร์ฟเวอร์ที่ถูกยึดถูกนำไปใช้เป็นโครงสร้างพื้นฐานสั่งการของปฏิบัติการนี้
• ตรวจหาไฟล์ PHP แปลกปลอมบนเซิร์ฟเวอร์เว็บเมลและ CMS โดยเฉพาะสคริปต์ที่รับส่งคำสั่งผ่านไฟล์ข้อความธรรมดา ซึ่งเป็นพฤติกรรมของ RelayShell
• อย่าพึ่งบัญชีดำโดเมนเป็นชั้นป้องกันหลัก เนื่องจากปลายทางที่ใช้ในปฏิบัติการนี้เป็นโดเมนของบุคคลที่สามซึ่งมีชื่อเสียงดีอยู่ก่อนแล้ว
• ค้นย้อนหลังในล็อก DNS และพร็อกซีว่ามีการติดต่อไปยังโดเมนปลอมของ Enveil ทั้งสามรายการหรือไม่ และบล็อกไว้ล่วงหน้า แม้จะเป็นตัวบ่งชี้ที่เปลี่ยนได้ง่ายก็ตาม
• ระวังการเรียกใช้ Microsoft Graph API และ OneDrive จากกระบวนการที่ไม่ควรใช้บริการเหล่านี้ เพราะโหลดเดอร์ Mistpen อาศัยช่องทางนี้รับส่งโมดูลและคำสั่ง ซึ่งมักถูกอนุญาตผ่านไฟร์วอลล์อยู่แล้ว
• อย่าใช้อันดับผลการค้นหาเป็นเกณฑ์ตัดสินว่าเว็บไซต์ดาวน์โหลดซอฟต์แวร์เป็นของจริง เพราะเว็บไซต์ปลอมในปฏิบัติการนี้ติดอันดับต้น ๆ ของเสิร์ชเอนจิน

Indicators of Compromise (IoCs)

รายการด้านล่างมาจากรายงานของ Check Point ตามที่ปรากฏในบทความต้นทาง โดยโดเมนถูก defang ไว้แล้ว ก่อนนำไปใช้ต้องแปลงกลับเอง

แหล่งอ้างอิง

• SecurityWeek — Fresh Windows Zero-Day Exploited in North Korean Cyberattacks
• Check Point Research — Shattering the Dream: When a Job Offer Becomes a Zero-Day Attack
• Check Point — State-Sponsored Hackers Use Fake Job Offers to Deliver New Zero-Day Exploit
• The Hacker News — Lazarus Exploits Windows Zero-Day to Gain SYSTEM Access and Deploy Backdoor
• CISA — Known Exploited Vulnerabilities Catalog