สรุปสั้น
กลุ่มแฮ็กเกอร์ที่ถูกติดตามในชื่อ Jewelbug ซึ่งเป็นที่รู้จักในชื่อ Earth Alux และ REF7707 ด้วย ดำเนินปฏิบัติการจารกรรมต่อหน่วยงานรัฐและกองทัพ ควบคู่ไปกับการฉ้อโกงคริปโตเคอร์เรนซี โดยเป้าหมายของกลุ่มครอบคลุมหน่วยงานรัฐและองค์กรในภาคส่วนสำคัญทั้งกลาโหม โทรคมนาคม การศึกษา และการบิน ส่วนกิจกรรมฝั่งคริปโตชี้ว่ากลุ่มนี้อาจทำงานในลักษณะรับจ้างแฮ็กเพื่อหากำไรจากอาชญากรรมไซเบอร์ไปพร้อมกัน
ในปฏิบัติการล่าสุด Jewelbug เจาะบัญชีเว็บเมลของหน่วยงานรัฐ 15 แห่งที่ใช้ระบบร่วมกัน ในแคมเปญที่เล็งประเทศหนึ่งในตะวันออกกลาง วิธีการคือได้สิทธิ์เขียนไฟล์บนระบบเว็บเมลที่ติดตั้งไว้ร่วมกัน แล้วแทรกสคริปต์อันตรายลงในเทมเพลตกลาง ทำให้สคริปต์ทำงานทั้งบนหน้าล็อกอินและทุกหน้ามุมมองกล่องจดหมายของทั้ง 15 หน่วยงาน นักวิจัยของบริษัท Symantec พบว่าปฏิบัติการจารกรรมและการฉ้อโกงคริปโตถูกสั่งการจากแผงควบคุมเดียวกัน
สิ่งที่ทำให้รายงานฉบับนี้ต่างจากรายงานภัยคุกคามทั่วไปคือระดับการมองเห็น เพราะนักวิจัยสาวจากการติดเชื้อ Antino ไปจนเข้าถึงแพลตฟอร์มบริหารเซิร์ฟเวอร์ควบคุม ฐานข้อมูล ล็อกของเซิร์ฟเวอร์ ซอร์สโค้ด และไฟล์ของผู้ปฏิบัติงานได้ ข้อมูลที่พบระบุว่าฐานข้อมูลเหยื่อของกลุ่มมีบันทึกการเช็กอินของอิมแพลนต์มากกว่าหนึ่งล้านรายการ คุกกี้เบราว์เซอร์ที่ขโมยมามากกว่า 580,000 รายการ ข้อมูลยืนยันตัวตนหลายพันชุด และเนื้อความอีเมลที่ถูกดูดออกไปมากกว่า 2,300 ฉบับ
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 13 สิงหาคม 2569 ว่า กลุ่มแฮ็กเกอร์ Jewelbug ดำเนินปฏิบัติการจารกรรมต่อรัฐบาลและกองทัพ พร้อมกับทำธุรกิจฉ้อโกงคริปโตเคอร์เรนซีควบคู่กันไป
จุดตั้งต้นของการเข้าถึงในแคมเปญนี้ไม่ใช่การเจาะหน่วยงานทีละแห่ง แต่คือการเจาะแพลตฟอร์มเว็บโฮสติงที่ใช้ร่วมกัน ซึ่งดำเนินการโดยผู้ให้บริการโทรคมนาคมของรัฐและหน่วยงานบริการแห่งชาติ เมื่อได้สิทธิ์เขียนไฟล์บนระบบเว็บเมลที่หลายกระทรวงและหลายหน่วยงานใช้ร่วมกันแล้ว ผู้โจมตีก็เพียงแทรกแท็กสคริปต์เข้าไปหนึ่งจุด เพื่อให้เพย์โหลด JavaScript เปิดการเชื่อมต่อ WebSocket ไปยังเซิร์ฟเวอร์ควบคุมทุกครั้งที่ผู้ใช้บนโดเมนรัฐบาลเก้าโดเมนล็อกอินเข้ามา
Symantec อธิบายขนาดของผลลัพธ์ไว้ว่า “แคมเปญเดียวครอบคลุมผู้เช่าระบบเว็บเมลของหน่วยงานรัฐมากกว่า 15 ราย โดยตะขอทำงานทั้งบนหน้าล็อกอินและทุกมุมมองของกล่องจดหมาย” กล่าวคือการแก้ไฟล์เพียงจุดเดียวในระบบที่ใช้ร่วมกัน ให้ผลเท่ากับการเจาะหน่วยงานทั้ง 15 แห่งพร้อมกัน ซึ่งเป็นเหตุผลที่โครงสร้างพื้นฐานกลางของภาครัฐเป็นเป้าหมายที่คุ้มค่าที่สุดสำหรับผู้โจมตีระดับนี้
ตัวเลขจากล็อกของเซิร์ฟเวอร์ให้ภาพขอบเขตทางภูมิศาสตร์ที่ชัดเจน โดย Symantec ระบุว่า “ล็อกของเซิร์ฟเวอร์ขณะทำงานบันทึกเหตุการณ์ระบุตำแหน่งทางภูมิศาสตร์ราว 1.1 ล้านครั้ง จากที่อยู่ไอพีต้นทางที่ต่างกันประมาณ 4,300 รายการ แบ่งเป็นการเชื่อมต่อราว 87,200 ครั้งจากประเทศหนึ่งในเอเชียตะวันออกเฉียงใต้ (เล็งเครือข่ายโทรคมนาคมของรัฐและเครือข่ายทหาร) ราว 53,100 ครั้งจากประเทศหนึ่งในตะวันออกกลาง (ครอบคลุมช่วงไอพีของผู้ให้บริการระดับชาติ รวมถึงที่อยู่ที่เชื่อมต่อผ่าน Starlink ในเมืองหลวง) และราว 15,000 ครั้งจากประเทศที่สองในเอเชียตะวันออกเฉียงใต้ (รวมถึงโครงสร้างพื้นฐานของกระทรวงในรัฐบาล)”
จุดที่ต้องระบุตามตรงคือรายงานไม่ได้เปิดเผยชื่อประเทศใดเลย ทั้งประเทศในตะวันออกกลางที่เป็นเป้าของแคมเปญเว็บเมล และประเทศในเอเชียตะวันออกเฉียงใต้ทั้งสองประเทศ ผู้อ่านจึงไม่ควรเดาชื่อประเทศจากตัวเลขเหล่านี้ แต่ก็ไม่ควรอ่านข้ามไป เพราะสิ่งที่รายงานยืนยันคือเครือข่ายโทรคมนาคมของรัฐ เครือข่ายทหาร และโครงสร้างพื้นฐานระดับกระทรวงในภูมิภาคนี้ตกเป็นเป้าจริงและถูกเข้าถึงจริง
ส่วนการระบุตัวผู้อยู่เบื้องหลัง Symantec ระบุว่ามีความเชื่อมั่นสูงในการเชื่อมโยงกิจกรรมฝั่งหาเงินของ Jewelbug เข้ากับบริษัทสัญชาติจีนแห่งหนึ่งที่โฆษณาว่าให้บริการด้าน SEO ซึ่งเป็นรายละเอียดที่อธิบายได้ว่าทำไมโครงสร้างพื้นฐานฝั่งฉ้อโกงจึงถูกออกแบบมาในรูปแบบของฟาร์มเนื้อหาและการปั่นอันดับผลการค้นหา มากกว่าจะเป็นเครื่องมือแฮ็กแบบดั้งเดิม
วิธีการโจมตี
หลังสคริปต์ที่ฝังไว้ทำงาน มันจะเปิด WebSocket ไปยังเซิร์ฟเวอร์ควบคุม ดูดคุกกี้ของเว็บเมลออกไป แล้วดึงที่อยู่อีเมลของผู้ใช้มาตรวจว่าอยู่ในโดเมนรัฐบาลที่เป็นเป้าหมายหรือไม่ ขั้นตอนคัดกรองนี้สำคัญ เพราะมันทำให้เหยื่อที่ไม่ตรงเงื่อนไขไม่ถูกยกระดับต่อ ซึ่งช่วยลดโอกาสที่ปฏิบัติการจะถูกพบโดยผู้ใช้ทั่วไปหรือทีมความปลอดภัยที่สุ่มตรวจ
เฉพาะเป้าหมายที่มีค่าเท่านั้นที่จะเห็นหน้าต่างแจ้งเตือนให้อัปเดต Adobe Flash ปลอม ซึ่งเมื่อกดแล้วจะติดตั้งเพย์โหลดหลักบนวินโดวส์ ได้แก่แบ็กดอร์ชื่อ Antino พร้อมชุดเครื่องมือฝั่งเบราว์เซอร์ นอกจาก Antino กลุ่มนี้ยังใช้เฟรมเวิร์กเข้าถึงระยะไกลและขโมยข้อมูลชื่อ XG-Web สำหรับบริหารแคมเปญและข้อมูลของเหยื่อ ส่วนช่องทางส่ง Antino นั้น Symantec ระบุว่าใช้ไฟล์ HTA ที่ฝังโค้ดอันตรายและตัวติดตั้ง Adobe Flash หรือ Adobe ปลอม แล้วจึงใช้ Antino วางเพย์โหลดเพิ่มเติมต่อไป
หนึ่งในเพย์โหลดที่น่ากังวลที่สุดคือส่วนขยายเบราว์เซอร์อันตรายสำหรับ Chrome และ Firefox ที่ใช้ชื่อว่า PDF Viewer ซึ่งขโมยคุกกี้และข้อมูลยืนยันตัวตน ดักจับทราฟฟิก ฉีดโค้ด JavaScript และเปิดให้ผู้ควบคุมเรียกใช้ฟังก์ชันของเบราว์เซอร์จากระยะไกลได้ การวางเครื่องมือไว้ในตัวเบราว์เซอร์แทนที่จะอยู่แค่ระดับระบบปฏิบัติการ ทำให้ผู้โจมตีอยู่ในตำแหน่งเดียวกับผู้ใช้จริง คือหลังการยืนยันตัวตนและหลังการถอดรหัส TLS ไปแล้ว
อีกเครื่องมือที่ขยายขอบเขตออกนอกเครื่องพีซีคืออิมแพลนต์ที่เขียนด้วยภาษา Rust ชื่อ ClientKing ซึ่งเล็งเซิร์ฟเวอร์ลินุกซ์ อุปกรณ์สถาปัตยกรรม ARM64 และเราเตอร์ ASUS โดยรองรับการรันคำสั่ง การทำพร็อกซี SOCKS การขุดอุโมงค์ผ่าน DNS และการโหลดโมดูลเคอร์เนลในหน่วยความจำ ความสามารถชุดนี้ทำให้กลุ่มยึดหัวหาดบนอุปกรณ์ที่มักไม่มีเครื่องมือตรวจจับติดตั้งอยู่ แล้วใช้เป็นทางผ่านเข้าสู่เครือข่ายภายในได้
รายละเอียดสุดท้ายที่สะท้อนแนวคิดของกลุ่มคือการใช้ Google Docs สาธารณะเป็นที่เก็บเพย์โหลดที่ถูกทำให้อ่านยาก แล้วให้อิมแพลนต์ไปดึงมารันอีกที ผลคือทราฟฟิกที่ออกจากเครื่องเหยื่อวิ่งไปยังบริการของ Google ตามปกติ ซึ่งเป็นปลายทางที่แทบไม่มีองค์กรใดบล็อกและไม่ติดบัญชีดำใด ๆ
ธุรกิจฉ้อโกงคริปโตที่รันจากแผงควบคุมเดียวกัน
สิ่งที่ทำให้ Jewelbug ผิดจากกลุ่มจารกรรมทั่วไปคือ Symantec พบว่าฐานข้อมูลและแผงควบคุมชุดเดียวกันถูกใช้รัน “ธุรกิจฉ้อโกงคริปโตเคอร์เรนซีระดับอุตสาหกรรม” ควบคู่ไปด้วย ไม่ใช่ปฏิบัติการเสริมเล็ก ๆ ข้างเคียง
กลไกฝั่งฉ้อโกงอาศัยสายพานอัตโนมัติที่กวาดคำค้นมาก่อน แล้วใช้ปัญญาประดิษฐ์สร้างหน้าดาวน์โหลดปลอมนับพันหน้า จากนั้นเผยแพร่ออกไป “บนฟลีตระบบจัดการเนื้อหา 44 เซิร์ฟเวอร์ และโดเมนที่ตั้งชื่อคล้ายของจริงอีกหลายร้อยโดเมน” ซึ่งปลอมเป็นตลาดแลกเปลี่ยนอย่าง OKX และ Binance ปิดท้ายด้วยการใช้บอตคลิกปั่นอันดับให้หน้าปลอมเหล่านั้นขึ้นไปอยู่ต้น ๆ ของผลการค้นหา
เหยื่อฝั่งนี้จึงไม่ได้ถูกส่งลิงก์มาให้กด แต่เดินไปหาเว็บปลอมเองผ่านเสิร์ชเอนจิน ซึ่งเป็นรูปแบบเดียวกับที่ปรากฏในปฏิบัติการของกลุ่มอื่นที่รายงานไว้ในโพสต์ 2026/08/077 คือใช้อันดับผลการค้นหาแทนการฟิชชิงทางอีเมล นอกจากคริปโต กลุ่มนี้ยังใช้เหยื่อล่ออื่นอีกหลายแบบ ทั้งการพนันกีฬา พอร์ทัลถ่ายทอดสดละเมิดลิขสิทธิ์ และการหลอกลวงในคราบนักสืบเอกชน
การที่ทั้งสองสายรันจากแผงควบคุมเดียวกันมีนัยสำคัญต่อการวิเคราะห์ภัยคุกคาม เพราะมันทำให้เส้นแบ่งระหว่าง “กลุ่มรัฐหนุนหลัง” กับ “กลุ่มอาชญากรรม” ใช้ไม่ได้กับกรณีนี้ องค์กรที่คัดกรองภัยคุกคามด้วยคำถามว่า “เราเป็นเป้าหมายเชิงยุทธศาสตร์ของใครหรือไม่” อาจมองข้ามกลุ่มที่เข้ามาด้วยแรงจูงใจทางการเงินก่อน แล้วค่อยพบว่าตัวเองมีค่าเชิงข่าวกรองในภายหลัง
ผลกระทบ
ผลกระทบที่ตรงที่สุดสำหรับภูมิภาคนี้คือรายงานยืนยันว่าหน่วยงานรัฐและกองทัพในเอเชียตะวันออกเฉียงใต้เป็นเป้าหมายจริง ไม่ใช่ความเสี่ยงเชิงทฤษฎี โดยตัวเลขการเชื่อมต่อจากประเทศหนึ่งในภูมิภาคสูงถึงราว 87,200 ครั้งและแตะทั้งเครือข่ายโทรคมนาคมของรัฐและเครือข่ายทหาร ขณะที่อีกประเทศหนึ่งมีโครงสร้างพื้นฐานระดับกระทรวงอยู่ในรายการด้วย เมื่อรายงานไม่เปิดเผยชื่อประเทศ หน่วยงานในภูมิภาคจึงไม่มีทางยืนยันได้ว่าตนอยู่นอกขอบเขต และควรตรวจสอบเชิงรุกแทนการรอการยืนยัน
บทเรียนเชิงโครงสร้างที่สำคัญที่สุดคือความเสี่ยงของระบบกลางที่หลายหน่วยงานใช้ร่วมกัน เมื่อหลายกระทรวงใช้เว็บเมลที่ติดตั้งอยู่บนแพลตฟอร์มเดียวที่ดูแลโดยผู้ให้บริการโทรคมนาคมของรัฐ ความปลอดภัยของทุกหน่วยงานจึงถูกผูกไว้กับความปลอดภัยของแพลตฟอร์มนั้นจุดเดียว การประหยัดจากการรวมศูนย์จึงมาพร้อมความเสี่ยงที่รวมศูนย์ตามไปด้วย และเป็นรูปแบบที่พบได้ทั่วไปในระบบราชการของหลายประเทศ รวมถึงระบบเมลกลางและระบบสารบรรณกลางที่หน่วยงานไทยจำนวนมากใช้ร่วมกัน
ในแง่การตรวจจับ ปฏิบัติการนี้ยากเป็นพิเศษเพราะแทบไม่มีอะไรผิดปกติให้เห็นที่ฝั่งผู้ใช้ สคริปต์ทำงานอยู่ในหน้าเว็บเมลที่ถูกต้องบนโดเมนของหน่วยงานเอง ปลายทางของเพย์โหลดชั้นถัดไปคือ Google Docs และของที่ถูกขโมยคือคุกกี้เซสชัน ไม่ใช่รหัสผ่าน ซึ่งแปลว่าการเปลี่ยนรหัสผ่านหรือการเปิดการยืนยันตัวตนสองชั้นเพียงอย่างเดียวไม่ตัดการเข้าถึงของผู้โจมตี ต้องยกเลิกเซสชันที่ค้างอยู่ทั้งหมดด้วย
อีกประเด็นที่ควรบันทึกคือขนาดของข้อมูลที่กลุ่มถืออยู่ ทั้งคุกกี้กว่า 580,000 รายการ ข้อมูลยืนยันตัวตนหลายพันชุด และเนื้อความอีเมลกว่า 2,300 ฉบับ ซึ่งเป็นวัตถุดิบที่นำไปใช้สวมรอยเป็นบุคคลจริงในการติดต่อรอบถัดไปได้ทันที องค์กรที่เคยติดต่อกับหน่วยงานที่ถูกเจาะจึงมีความเสี่ยงต่อเนื่อง แม้ระบบของตนจะไม่เคยถูกแตะเลยก็ตาม
คำแนะนำ
- หน่วยงานที่ใช้เว็บเมลหรือระบบกลางร่วมกับหน่วยงานอื่นบนแพลตฟอร์มเดียว ควรตรวจความสมบูรณ์ของไฟล์เทมเพลตและไฟล์ส่วนหัวส่วนท้ายที่โหลดทุกหน้า โดยเทียบกับสำเนาต้นฉบับ เพราะการแทรกแท็กสคริปต์เพียงบรรทัดเดียวคือทั้งหมดที่ผู้โจมตีต้องทำ
- ตรวจล็อกหาการเชื่อมต่อ WebSocket ที่ออกจากหน้าเว็บเมลไปยังปลายทางที่ไม่ใช่ของระบบเอง และตรวจการเรียกไฟล์จาก Google Docs โดยกระบวนการที่ไม่ใช่เบราว์เซอร์ของผู้ใช้
- ยกเลิกเซสชันที่ยังใช้งานอยู่ทั้งหมดหากสงสัยว่าถูกเจาะ เนื่องจากสิ่งที่ถูกขโมยคือคุกกี้เซสชัน การเปลี่ยนรหัสผ่านหรือเปิด MFA เพียงอย่างเดียวไม่ตัดการเข้าถึงที่มีอยู่แล้ว
- บังคับใช้นโยบายควบคุมส่วนขยายเบราว์เซอร์ในองค์กร โดยอนุญาตเฉพาะรายการที่ผ่านการอนุมัติ และตรวจหาส่วนขยายชื่อสามัญอย่าง PDF Viewer ที่ผู้ใช้ติดตั้งเองบน Chrome และ Firefox
- สื่อสารกับผู้ใช้ว่าหน้าต่างแจ้งให้อัปเดต Adobe Flash คือสัญญาณอันตรายชัดเจน เนื่องจาก Flash ถูกยุติการสนับสนุนไปนานแล้วและไม่มีเหตุผลใดที่ระบบจะร้องขอให้ติดตั้ง
- ขยายการตรวจสอบไปยังอุปกรณ์ที่มักถูกมองข้าม ทั้งเซิร์ฟเวอร์ลินุกซ์ อุปกรณ์ ARM64 และเราเตอร์ ASUS ซึ่งเป็นเป้าหมายของอิมแพลนต์ ClientKing และมักไม่มีเครื่องมือตรวจจับติดตั้งอยู่
- อย่าใช้เกณฑ์ “เราไม่ใช่เป้าหมายเชิงยุทธศาสตร์” ในการประเมินความเสี่ยงจากกลุ่มนี้ เนื่องจากปฏิบัติการจารกรรมและปฏิบัติการหาเงินถูกรันจากแผงควบคุมเดียวกัน
- นำตัวบ่งชี้การถูกบุกรุกที่ Symantec เผยแพร่พร้อมรายงานฉบับเต็มไปใช้ค้นย้อนหลังในระบบ โดยเฉพาะหน่วยงานภาครัฐและผู้ให้บริการโทรคมนาคมในภูมิภาค