สรุปสั้น
ปฏิบัติการจารกรรมไซเบอร์ที่ไม่เคยมีรายงานมาก่อนซึ่งถูกตั้งชื่อว่า SilkParasite ถูกพบว่ากำลังเล็งหน่วยงานภาครัฐในภูมิภาคเอเชียกลาง โดยชุดการบุกรุกนี้ใช้เครื่องมือเข้าถึงระยะไกลหรือ RAT ถึง 7 ตระกูล ซึ่งในจำนวนนี้มี 5 ตัวที่ไม่เคยถูกบันทึกไว้ที่ใดมาก่อน ได้แก่ DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT และ NodeEdgeRAT ปฏิบัติการนี้ถูกค้นพบครั้งแรกในช่วงปลายปี 2568 และถูกประเมินด้วยความมั่นใจระดับปานกลางว่าเป็นกลุ่มภัยคุกคามที่เชื่อมโยงกับจีน สิ่งที่ผูกปฏิบัติการนี้เข้ากับจีนอย่างชัดเจนที่สุดคือการใช้แบ็กดอร์ชื่อ BLOODALCHEMY ซึ่งเป็นรุ่นปรับปรุงของ Deed RAT ที่สืบทอดมาจาก ShadowPad และ ShadowPad เองก็เป็นวิวัฒนาการของ PlugX ซึ่งทั้ง ShadowPad และ PlugX ล้วนเป็นเครื่องมือที่กลุ่มแฮ็กเกอร์จีนใช้กันแพร่หลาย
จุดที่นักวิจัยของบริษัท Bitdefender เน้นเป็นพิเศษไม่ใช่ตัวมัลแวร์ แต่เป็นร่องรอยของการใช้ AI ช่วยพัฒนาที่แทรกอยู่ในโค้ดซึ่งโดยรวมยังเป็นงานฝีมือระดับผู้เชี่ยวชาญ ทีมวิจัยระบุว่าเรื่องนี้ต่างจากมัลแวร์ที่ AI สร้างขึ้นทั้งก้อน เพราะคลังอาวุธของ SilkParasite แสดงลักษณะทุกอย่างของเครื่องมือจารกรรมมืออาชีพที่ทีมมนุษย์เป็นผู้พัฒนา โดยมี AI เข้ามาช่วยให้กระบวนการเร็วขึ้นเท่านั้น ทั้งนี้ Bitdefender สังเกตพบเครื่องที่ติด DriveSilkRAT ราว 65 เครื่อง ส่วนใหญ่อยู่ในภูมิภาคเอเชีย
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 19 สิงหาคม 2569 ว่า Bitdefender Labs ได้เผยแพร่รายงานทางเทคนิคที่แบ่งปันให้กับ The Hacker News ซึ่งเปิดเผยรายละเอียดของ SilkParasite เป็นครั้งแรก โดยระบุว่า “สิ่งที่ทำให้ SilkParasite น่าสนใจคือร่องรอยของการพัฒนาโดยมี AI ช่วย ซึ่งแทรกอยู่ในโค้ดที่นอกเหนือจากนั้นเป็นฝีมือผู้เชี่ยวชาญ และนั่นเป็นคนละเรื่องกับมัลแวร์ที่ AI สร้างขึ้น”
บริษัทผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์สัญชาติโรมาเนียรายนี้ระบุว่า สัญญาณที่ชัดเจนที่สุดของการใช้เทคโนโลยีดังกล่าวมาจากเหยื่อล่อในอีเมลฟิชชิงที่เห็นได้ชัดว่าถูกสร้างโดย AI และนั่นเป็นจุดเดียวที่ผู้โจมตีดูจะปล่อยปละละเลย ซึ่งเปิดความเป็นไปได้ว่าอาจเป็นการเลือกทำโดยตั้งใจเพื่อทำให้ความพยายามระบุตัวผู้อยู่เบื้องหลังสับสน
SilkParasite เป็นผู้ก่อภัยคุกคามรายสำคัญรายที่สามที่เข้ามาปฏิบัติการในเอเชียกลางในช่วงไม่กี่ปีที่ผ่านมา ต่อจาก UAC-0063 และ FamousSparrow ส่วนแบ็กดอร์ BLOODALCHEMY ที่เป็นหลักฐานเชื่อมโยงกับจีนนั้น ถูกบันทึกไว้ครั้งแรกโดย Elastic Security Labs เมื่อเดือนตุลาคม 2566 ในฐานะเครื่องมือที่กลุ่ม REF5961 ใช้โจมตีองค์กรภาครัฐในเอเชียใต้และเอเชียตะวันออกเฉียงใต้ แบ็กดอร์ตัวนี้เขียนด้วยภาษา C และเป็นส่วนหนึ่งของชุดเครื่องมือที่ใหญ่กว่า ซึ่งถูกเรียกใช้ผ่านตัวโหลด DLL ที่อาศัยเทคนิค sideloading กับไบนารีที่ถูกต้องตามกฎหมาย โดยรองรับคำสั่งพื้นฐานสำหรับเก็บข้อมูลเครื่อง เขียนทับตัวมัลแวร์เอง เขียนทับตัวโหลด หรือเขียนทับไบนารีที่เชื่อถือได้ซึ่งเปิดช่องให้ทำ DLL sideloading รวมถึงสั่งหยุดและถอนตัวเองออกจากเครื่อง
ตัวชี้อีกอย่างที่โยงกลับไปหาจีนคือการใช้ SpiceRAT รุ่นปรับปรุง ซึ่งมีความสามารถดาวน์โหลดและรันไฟล์ปฏิบัติการรวมถึงคำสั่งใด ๆ ก็ได้ โดย SpiceRAT ถูกระบุว่าเป็นของผู้ก่อภัยคุกคามที่ใช้ภาษาจีนอีกรายที่มีชื่อรหัสว่า SneakyChef
วิธีการโจมตี
ห่วงโซ่การโจมตีเริ่มจากไฟล์บีบอัด RAR ที่ตั้งรหัสผ่านไว้ ภายในบรรจุเอกสาร Microsoft Office ที่เป็นอันตราย และน่าจะถูกส่งมาทางอีเมลฟิชชิงแบบเจาะจงเป้าหมาย โดยรหัสผ่านสำหรับเปิดไฟล์บีบอัดจะถูกใส่ไว้ในเนื้อความอีเมล ซึ่งเป็นเทคนิคที่ทำให้ระบบสแกนไฟล์แนบที่ปลายทางเปิดไฟล์ไม่ได้ เมื่อเหยื่อเปิดเอกสาร มาโครจะถูกเรียกทำงานและกระตุ้นลำดับ DLL sideloading เพื่อวางเพย์โหลดขั้นแรก
เหยื่อล่อถูกปรับให้เข้ากับภูมิภาคอย่างจงใจ Bitdefender ระบุว่า “เหยื่อล่อถูกทำให้เข้ากับแต่ละพื้นที่ เอกสารที่กู้คืนมาได้ถูกปั้นให้ดูเกี่ยวข้องกับหน่วยงานภาครัฐในอุซเบกิสถาน เติร์กเมนิสถาน คีร์กีซสถาน ทาจิกิสถาน และคาซัคสถาน โดยหลายฉบับปลอมเป็นกระทรวงที่ระบุชื่อเจาะจง” และเสริมว่ายังพบเอกสารอีกฉบับจากแพลตฟอร์มแบ่งปันตัวอย่างมัลแวร์สาธารณะที่จ่าหน้าถึงหน่วยงานภาครัฐของจอร์เจีย
จุดที่มีนัยสำคัญยิ่งกว่านั้นคือ มาโครจะตรวจสอบก่อนว่าเครื่องเป้าหมายติดตั้งและกำลังรันซอฟต์แวร์ป้องกันไวรัสของ Kaspersky อยู่หรือไม่ก่อนที่จะทำงานต่อ ซึ่งบ่งชี้ถึงความพยายามหลบการตรวจจับโดยอิงกับความจริงที่ว่าโปรแกรมความปลอดภัยตัวนี้ถูกใช้อย่างแพร่หลายในภูมิภาคดังกล่าว เป็นการปรับตัวให้เข้ากับสภาพแวดล้อมของเป้าหมายในระดับเดียวกับที่ปรับเนื้อหาเอกสารล่อ
เครื่องมือแทบทุกตัวที่ถูกใช้ตลอดการโจมตีสร้างขึ้นบนสถาปัตยกรรมแบบปลั๊กอิน ซึ่งเปิดให้ผู้ปฏิบัติการขยายความสามารถได้ตามต้องการ พร้อมกับเลือกส่งเพย์โหลดที่เหมาะกับสภาพแวดล้อมของเหยื่อแต่ละรายและรักษาร่องรอยที่ระบบตรวจจับจะเห็นให้เล็กที่สุด ข้อได้เปรียบสำคัญอีกข้อของระบบแบบโมดูลคือทำให้ผู้โจมตียกระดับความสามารถของแต่ละส่วนประกอบได้โดยไม่ต้องเปลี่ยนฐานรากที่รองรับอยู่ อิมแพลนต์ทั้ง 7 ตัวเขียนด้วยภาษาโปรแกรมต่างกันถึง 4 ภาษา ได้แก่ .NET, C++, Go และ JavaScript โดยใช้ DLL sideloading เป็นช่องทางส่งมอบหลัก
วิธีที่ใช้คือการหอบสำเนาโปรแกรมที่มีลายเซ็นถูกต้องมาเองแทนที่จะอาศัยไบนารีที่ติดตั้งอยู่บนเครื่องอยู่แล้ว จากนั้นวางไฟล์ DLL ปลอมไว้ในชื่อที่ไฟล์ปฏิบัติการนั้นมองหา ทำให้โค้ดอันตรายถูกรันขึ้นมา รายละเอียดของแต่ละตระกูลมัลแวร์มีดังนี้
- DriveSilkRAT (.NET/C++) ใช้ Google Drive เป็นช่องทางสั่งการและควบคุม โดยคอยตรวจโฟลเดอร์ที่กำหนดเพื่อรับงาน แล้วรันผ่านระบบปลั๊กอิน .NET ในหน่วยความจำ ก่อนอัปโหลดผลลัพธ์กลับไปยังโฟลเดอร์เดิม รองรับปลั๊กอิน 12 ตัว ครอบคลุมการแจกแจงโปรเซส การสำรวจระบบและเครือข่าย การจัดการไฟล์ และการรันคำสั่ง
- CookiETagRAT (C++) ใช้ส่วนหัวตอบกลับ HTTP Cookie และ ETag เป็นช่องทาง C2 เพื่อรับและรันคำสั่ง
- NomadRAT (C++) มีตัวประสานงานหลัก ไลบรารีส่งข้อมูลแยกต่างหากที่รับผิดชอบทราฟฟิก C2 ทั้งหมด และปลั๊กอินที่ถูกดึงจากเซิร์ฟเวอร์ด้วยหมายเลขระบุตัวเฉพาะเมื่อจำเป็นต้องใช้
- GoginRAT (Go) มีสถาปัตยกรรมใกล้เคียงกับ NomadRAT ใช้ตัวส่งข้อมูลแยกสำหรับ C2 และแยกความสามารถด้านระบบไฟล์กับเชลล์ออกเป็นปลั๊กอินอิสระ โดยผลการรันปลั๊กอินถูกส่งกลับผ่านคอลแบ็กร่วม
- NodeEdgeRAT (JavaScript) รวมความสามารถทั้งหมดไว้ในสคริปต์เดียว ทั้งการรันคำสั่ง การจัดการไฟล์ และการโอนไฟล์
ร่องรอยที่บ่งชี้ว่ามี AI เข้ามาช่วยปรากฏใน GoginRAT ซึ่งมีฟังก์ชันทดสอบของภาษา Go ติดมาด้วยและฝังกุญแจ AES แบบตายตัวไว้เป็นค่า “0123456789abcdef” กับ NodeEdgeRAT ที่มีฟิลด์ตั้งค่ากุญแจเข้ารหัสเป็นข้อความตรงตัวว่า “change_this_key” อีกสัญญาณหนึ่งคือ NomadRAT และ GoginRAT ใช้สถาปัตยกรรมคล้ายกันมาก ซึ่งบ่งชี้ว่าแบบออกแบบระดับสูงชุดเดียวถูกนำไปเขียนซ้ำเป็นสองภาษา อันเป็นสิ่งที่ทำได้ค่อนข้างง่ายด้วยกระบวนการทำงานที่มี AI ช่วย
ผลกระทบ
ประเด็นที่ควรค้างไว้จากรายงานนี้ไม่ใช่จำนวน RAT แต่เป็นรูปแบบของการใช้ AI ที่นักวิจัยอธิบาย เพราะมันไม่เข้ากับภาพจำสองแบบที่คุ้นเคย ทั้งภาพ “มัลแวร์ที่ AI เขียนทั้งก้อน” ซึ่งมักมีคุณภาพต่ำและจับได้ง่าย และภาพ “เครื่องมือมืออาชีพที่ไม่ยุ่งกับ AI เลย” สิ่งที่ SilkParasite แสดงคือทีมมนุษย์ที่มีฝีมืออยู่แล้วใช้ AI เร่งงานส่วนที่ซ้ำซาก เช่น การเขียนโครงเดียวกันซ้ำในอีกภาษาหนึ่ง หรือการร่างข้อความล่อ ผลคือความเร็วในการผลิตเครื่องมือเพิ่มขึ้นโดยที่คุณภาพไม่ตก และร่องรอยที่ AI ทิ้งไว้กลับกลายเป็นข้อผิดพลาดเล็ก ๆ อย่างค่ากุญแจตัวอย่างที่ลืมเปลี่ยน ซึ่งเป็นเบาะแสที่ผู้ป้องกันใช้ได้จริง
อีกจุดที่มีน้ำหนักคือการที่มาโครตรวจว่ามี Kaspersky อยู่บนเครื่องหรือไม่ก่อนทำงาน เพราะนั่นแปลว่าผู้โจมตีศึกษาสภาพแวดล้อมของภูมิภาคเป้าหมายมาก่อนลงมือ ไม่ใช่การกวาดโจมตีแบบสุ่ม การรวมกันของเอกสารล่อที่ปลอมเป็นกระทรวงเจาะจงกับการตรวจซอฟต์แวร์ป้องกันที่นิยมในพื้นที่นั้น บ่งชี้ถึงการเตรียมการระดับปฏิบัติการที่ใช้เวลาและทรัพยากร
ข้อจำกัดของหลักฐานที่ต้องระบุคือ Bitdefender ประเมินความเชื่อมโยงกับจีนไว้ที่ความมั่นใจ ระดับปานกลาง เท่านั้น ไม่ใช่การฟันธง และตัวรายงานเองยกความเป็นไปได้ว่าเหยื่อล่อที่ทำโดย AI แบบหละหลวมอาจเป็นการจงใจวางไว้เพื่อรบกวนการระบุตัวตน นอกจากนี้รายงานไม่ได้ระบุจำนวนหน่วยงานที่ถูกเจาะสำเร็จ ไม่ได้บอกว่าข้อมูลใดถูกนำออกไป และตัวเลขที่มีคือเครื่องที่ติด DriveSilkRAT ราว 65 เครื่องเท่านั้น ซึ่งเป็นเพียงหนึ่งในเจ็ดตระกูล
คำแนะนำ
Bitdefender ระบุจุดตรวจจับที่ให้ผลดีที่สุดไว้ชัดเจนว่า “พื้นผิวการตรวจจับที่สม่ำเสมอที่สุดตลอดแคมเปญนี้คือ DLL sideloading และสัญญาณที่เชื่อถือได้คือการจับคู่ ไม่ใช่ชื่อไฟล์ DLL เพียงอย่างเดียว นั่นคือแอปพลิเคชันที่มีลายเซ็นถูกต้องโหลดไลบรารีที่ถูกวางไว้ข้าง ๆ ในขณะที่ตัวมันรันจากตำแหน่งที่ผิดปกติ” ผู้ดูแลระบบจึงควรตั้งกฎตรวจจับที่ดูความสัมพันธ์ระหว่างไบนารีที่เชื่อถือได้กับตำแหน่งที่มันถูกรัน มากกว่าจะไล่แบล็กลิสต์ชื่อไฟล์
ในระดับกว้างกว่านั้น ทีมวิจัยเตือนว่า “อิมแพลนต์แบบปลั๊กอินที่ทิ้งร่องรอยน้อยและทำงานผ่านบริการคลาวด์ที่ถูกต้องตามกฎหมาย เป็นสิ่งที่การตรวจจับเชิงปริมาณรับมือได้ไม่ดี การจับให้ได้อย่างน่าเชื่อถือต้องอาศัยเส้นฐานเชิงพฤติกรรมที่ชี้ความสัมพันธ์ผิดปกติระหว่างโปรเซสกับบริการเครือข่าย มากกว่าลายเซ็นของสิ่งประดิษฐ์ชิ้นใดชิ้นหนึ่ง” ซึ่งมีความหมายตรงกับกรณี DriveSilkRAT ที่ใช้ Google Drive เป็น C2 เพราะทราฟฟิกไปยังบริการนั้นดูปกติในทุกองค์กร
สำหรับมาตรการเชิงป้องกันที่ทำได้ทันที ควรบล็อกหรือจำกัดการรันมาโครในเอกสาร Office ที่มาจากภายนอก ตั้งกฎตรวจจับไฟล์บีบอัดที่ตั้งรหัสผ่านและมีรหัสผ่านอยู่ในเนื้อความอีเมล เพราะเป็นรูปแบบที่ออกแบบมาเพื่อหลบการสแกนไฟล์แนบโดยเฉพาะ และเฝ้าดูทราฟฟิกไปยังบริการเก็บไฟล์บนคลาวด์ที่เกิดจากโปรเซสซึ่งไม่ควรคุยกับบริการเหล่านั้น ส่วนหน่วยงานที่มีความสัมพันธ์กับภูมิภาคเอเชียกลางควรถือว่าเอกสารที่อ้างชื่อกระทรวงในประเทศกลุ่มนี้เป็นความเสี่ยงที่ต้องตรวจเป็นพิเศษในช่วงนี้