สรุปสั้น

บริษัท Group-IB เผยแพร่รายงานวิเคราะห์ฉบับใหม่เมื่อวันที่ 26 สิงหาคม 2569 ระบุว่าพบโครงสร้างพื้นฐานเพิ่มเติมและมัลแวร์ที่ยังไม่เคยมีการบันทึกไว้ ซึ่งเชื่อมโยงกับ Nimbus Manticore กลุ่มแฮ็กเกอร์ที่รัฐอิหร่านหนุนหลังและมีความเกี่ยวข้องกับกองกำลังพิทักษ์การปฏิวัติอิสลาม (IRGC) โดยประเมินว่าเป็นหนึ่งในกลุ่ม APT อิหร่านที่เคลื่อนไหวมากที่สุดในปี 2569 กลุ่มนี้ถูกเรียกด้วยชื่ออื่นอีกหลายชื่อ ทั้ง GalaxyGato, Mirage Kitten, Screening Serpens, Smoke Sandstorm, Subtle Snail และ UNC1549 และถูกประเมินว่าเชื่อมโยงกับ Tortoiseshell ซึ่งเป็นส่วนหนึ่งของคลัสเตอร์ Charming Kitten

สิ่งที่พบใหม่ในรอบนี้มีสองอย่าง อย่างแรกคือเครื่องมือทำ reverse SSH tunnel ที่ปลอมตัวเป็น API ของ Windows Terminal Server SDK แล้วเปิดการเชื่อมต่อ SSH กลับไปยังเซิร์ฟเวอร์ของผู้โจมตีที่ 172.86.98[.]113 บนพอร์ต 443 อย่างที่สองคือแบ็กดอร์ภาษา C++ ที่ทับซ้อนกับ TWOSTROKE แบ็กดอร์ที่เคยถูกระบุว่าเป็นของกลุ่มนี้มาก่อน โดยปลอมตัวเป็นไฟล์ wtsapi32.dll และใช้เซิร์ฟเวอร์สั่งการที่ฝังไว้ในโค้ดสามแห่งในการติดต่อผ่าน HTTPS

การค้นพบครั้งนี้ต่อยอดจากรายงานของบริษัท Kaspersky ที่เคยเปิดเผยแบ็กดอร์ NightLedger และตัวทำอุโมงค์ WebSocket สองตัวคือ BridgeHead กับ ArcBridge ซึ่งเว็บไซต์นี้เคยรายงานไว้ในโพสต์ 296 จุดที่ต่างออกไปคือขอบเขตเป้าหมาย เพราะโครงสร้างพื้นฐานชุดใหม่ชี้ว่ากลุ่มขยายการเล็งเป้าไปยังประเทศในยุโรปควบคู่กับตะวันออกกลาง ไม่ได้จำกัดอยู่แค่ภูมิภาคเดิม รายงานไม่ได้ระบุจำนวนเหยื่อหรือชื่อองค์กรที่ถูกเจาะสำเร็จ และไม่มีการเผยแพร่ค่าแฮชของตัวอย่างมัลแวร์

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 26 สิงหาคม 2569 ว่า นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์ได้ค้นพบโครงสร้างพื้นฐานเพิ่มเติมและมัลแวร์ที่ยังไม่เคยมีการบันทึกไว้มาก่อน ซึ่งเชื่อมโยงกับ Nimbus Manticore กลุ่มแฮ็กเกอร์ที่รัฐอิหร่านหนุนหลัง โดยข้อมูลทั้งหมดมาจากรายงานฉบับใหม่ของบริษัท Group-IB บริษัทด้านความมั่นคงปลอดภัยไซเบอร์สัญชาติสิงคโปร์ ที่เผยแพร่ในวันเดียวกัน

รายงานอธิบายว่า Nimbus Manticore เป็นผู้ก่อภัยคุกคามสายจารกรรมไซเบอร์ที่จัดอยู่ในกลุ่ม APT อิหร่านที่เคลื่อนไหวมากที่สุดในปี 2569 และประเมินว่ามีความเชื่อมโยงกับ Tortoiseshell ซึ่งรู้จักในชื่อ Imperial Kitten และ Unyielding Wasp ด้วย โดย Tortoiseshell เองเป็นส่วนหนึ่งของคลัสเตอร์ Charming Kitten หรือ Eclipsed Wasp ที่เคลื่อนไหวมาตั้งแต่อย่างน้อยเดือนกรกฎาคม 2561 และเน้นเป้าหมายในกลุ่มอุตสาหกรรมป้องกันประเทศ การบินและอวกาศ ผู้ให้บริการด้านไอที รวมถึงหน่วยงานทางทหารในตะวันออกกลางและสหรัฐอเมริกา

Nimbus Manticore ยังมีประวัติการทำแคมเปญในแบบเดียวกับ Dream Job ซึ่งเป็นการหลอกล่อด้วยข้อเสนอตำแหน่งงาน เพื่อส่งมัลแวร์ให้เหยื่อติดตั้งด้วยตัวเอง เทคนิควิศวกรรมสังคมรูปแบบนี้ถูกใช้ซ้ำมาหลายรอบและยังคงเป็นช่องทางเข้าถึงเป้าหมายที่กลุ่มนี้ใช้อยู่

สิ่งที่บริษัท Group-IB ระบุว่าค้นพบใหม่คือโครงสร้างพื้นฐานของ Tortoiseshell ที่กระจายครอบคลุมทั้งยุโรปและตะวันออกกลาง พร้อมกับมัลแวร์อีกสองตระกูล ได้แก่ เครื่องมือทำอุโมงค์ที่อาศัย SSH และแบ็กดอร์ภาษา C++ ที่มีความคล้ายคลึงกับ TWOSTROKE แบ็กดอร์อีกตัวที่เคยถูกระบุว่าเป็นของผู้ก่อภัยคุกคามรายนี้

นาย Mansour Alhmoud และนาย Mohamed Emam นักวิจัยของ Group-IB ระบุในรายงานว่า “โครงสร้างพื้นฐานของ Tortoiseshell ที่ค้นพบอาจบ่งชี้ถึงโปรไฟล์การเล็งเป้าที่ขยายตัวขึ้น โดยมุ่งไปที่ประเทศในตะวันออกกลางควบคู่กับประเทศในยุโรป”

ผลการวิเคราะห์รอบนี้ต่อยอดจากรายงานล่าสุดของบริษัท Kaspersky ที่ให้รายละเอียดการใช้แบ็กดอร์บนวินโดวส์ตัวใหม่ชื่อ NightLedger และตัวทำอุโมงค์ WebSocket ที่พัฒนาขึ้นเองอีกสองตัวคือ BridgeHead และ ArcBridge เพื่อรักษาการเข้าถึงเครื่องที่ถูกเจาะอย่างต่อเนื่อง ในการโจมตีที่เล็งไปยังองค์กรทั่วตะวันออกกลาง แอฟริกา และเอเชียใต้ ซึ่งเว็บไซต์นี้เคยรายงานไว้แล้วในโพสต์ 296

วิธีการโจมตี

สิ่งประดิษฐ์ชิ้นแรกที่ถูกค้นพบใหม่คือเครื่องมือทำ reverse SSH tunnel ซึ่งปลอมตัวเป็น API ของ Windows Terminal Server SDK ในขณะที่เบื้องหลังมันสร้างการเชื่อมต่อ SSH ไปยังโครงสร้างพื้นฐานของผู้ปฏิบัติการที่ตั้งอยู่ที่ที่อยู่ไอพี 172.86.98[.]113 บนพอร์ต 443 (ที่อยู่นี้ผ่านการ defang แล้ว) การเลือกพอร์ต 443 ซึ่งเป็นพอร์ตมาตรฐานของ HTTPS ทำให้ทราฟฟิกขาออกกลมกลืนไปกับการใช้งานเว็บทั่วไป และเลี่ยงกฎไฟร์วอลล์ที่มักเปิดพอร์ตนี้ไว้อยู่แล้ว

มัลแวร์ตระกูลที่สองคือแบ็กดอร์ที่ทับซ้อนกับ TWOSTROKE ซึ่งเป็นอิมแพลนต์ภาษา C++ ที่รองรับการเก็บข้อมูลระบบ การโหลดไฟล์ DLL การจัดการไฟล์ และการฝังตัวให้คงอยู่หลังรีบูต แบ็กดอร์ตัวนี้เลียนแบบไฟล์ DLL ของ Windows Terminal Server SDK คือ wtsapi32.dll และใช้เซิร์ฟเวอร์สั่งการและควบคุม (C2) ที่ฝังไว้ในโค้ดสามแห่งในการเปิดการเชื่อมต่อ HTTPS แล้วรอรับคำสั่งต่อไป

เมื่อได้รับการตอบกลับจากเซิร์ฟเวอร์ C2 ตัวแบ็กดอร์จะดึงคำสั่งออกมาแล้วสร้างเธรดทำงานใหม่ขึ้นมาประมวลผลคำสั่งนั้น ชุดคำสั่งที่รองรับครอบคลุมการดาวน์โหลดและอัปโหลดไฟล์ การรันไฟล์ไบนารีหรือไฟล์ DLL การเก็บข้อมูลของเครื่องเป้าหมาย การไล่ดูรายการไดเรกทอรี และการลบไฟล์ที่ระบุ

จุดร่วมที่น่าสังเกตของเครื่องมือทั้งสองตัวคือการเลือกปลอมตัวเป็นองค์ประกอบของ Windows Terminal Server SDK เหมือนกัน ทั้งฝั่งเครื่องมือ SSH และฝั่งแบ็กดอร์ ซึ่งเป็นการอาศัยชื่อไฟล์และชื่อ API ที่ผู้ดูแลระบบคุ้นเคยจนไม่สะดุดตา แนวทางนี้สอดคล้องกับที่กลุ่มเคยใช้มาก่อน คือเน้นให้เครื่องมือกลืนไปกับสิ่งที่ควรมีอยู่บนเครื่องอยู่แล้ว มากกว่าจะพึ่งเทคนิคหลบเลี่ยงที่ซับซ้อน

บริษัท Group-IB สรุปว่า “การระบุโครงสร้างพื้นฐานที่มุ่งเป้าไปยังประเทศในตะวันออกกลางและยุโรป ควบคู่กับการพัฒนาเครื่องมืออย่างแบ็กดอร์ TWOSTROKE และเครื่องมือทำอุโมงค์ที่อาศัย SSH อย่างต่อเนื่อง แสดงให้เห็นผู้ก่อภัยคุกคามที่ค่อย ๆ พัฒนาชุดเครื่องมือของตัวเองและปรับเทคนิคเพื่อรักษาการเข้าถึงเป้าหมายที่มีจำนวนมากขึ้นเรื่อย ๆ”

ผลกระทบ

ข้อมูลที่มีค่ามากที่สุดจากรายงานนี้ไม่ใช่ตัวมัลแวร์ แต่เป็นสัญญาณเรื่องขอบเขตเป้าหมาย เดิมทีการรายงานเกี่ยวกับกลุ่มนี้มักผูกอยู่กับตะวันออกกลาง แอฟริกา และเอเชียใต้ แต่โครงสร้างพื้นฐานชุดที่พบใหม่ทำให้ยุโรปเข้ามาอยู่ในภาพด้วย องค์กรในกลุ่มอุตสาหกรรมป้องกันประเทศ การบินและอวกาศ และผู้ให้บริการด้านไอทีในยุโรปจึงควรถือว่าตัวเองอยู่ในขอบเขตความสนใจของกลุ่มนี้ แม้จะยังไม่มีรายงานว่าถูกเจาะก็ตาม

ผู้ให้บริการด้านไอทีเป็นเป้าหมายที่ต้องให้น้ำหนักเป็นพิเศษ เพราะกลุ่มนี้มีประวัติเล็งเป้าไปที่ผู้ให้บริการมาตั้งแต่ยุค Tortoiseshell การเจาะผู้ให้บริการรายเดียวเปิดทางไปยังลูกค้าปลายทางได้พร้อมกันหลายราย และการที่เครื่องมือใหม่เน้นเรื่องการรักษาการเข้าถึงอย่างเงียบ ๆ มากกว่าการทำลายหรือเรียกค่าไถ่ ก็สอดคล้องกับรูปแบบปฏิบัติการจารกรรมที่ต้องการอยู่ในระบบให้นานที่สุด

ในทางเทคนิค การที่แบ็กดอร์ใช้ HTTPS ไปยัง C2 และเครื่องมือ SSH ใช้พอร์ต 443 หมายความว่าการตรวจจับที่อาศัยพอร์ตอย่างเดียวจะไม่เห็นอะไรเลย ต้องอาศัยการตรวจว่าโปรโตคอลที่วิ่งอยู่ในพอร์ตนั้นตรงกับที่ควรจะเป็นหรือไม่ ซึ่งเป็นความสามารถที่หลายองค์กรยังไม่ได้เปิดใช้

ข้อจำกัดของหลักฐานที่ต้องระบุไว้ให้ชัดคือ รายงานฉบับนี้ไม่ได้ระบุจำนวนเหยื่อ ไม่ได้เปิดเผยชื่อองค์กรที่ถูกเจาะสำเร็จ ไม่ได้บอกว่าข้อมูลใดถูกดูดออกไป และไม่ได้เผยแพร่ค่าแฮชของตัวอย่างมัลแวร์ที่วิเคราะห์ นอกจากนี้ความเชื่อมโยงระหว่าง Nimbus Manticore กับ Tortoiseshell และกับ IRGC เป็นการ “ประเมิน” ของผู้วิจัย ไม่ใช่การยืนยันจากหน่วยงานรัฐ ตัวบ่งชี้ที่ใช้งานได้จริงในตอนนี้จึงมีเพียงที่อยู่ไอพีเดียวคือ 172.86.98[.]113 กับชื่อไฟล์ที่ถูกปลอม

คำแนะนำ

สำหรับผู้ดูแลระบบในองค์กรที่อยู่ในกลุ่มเป้าหมาย ควรดำเนินการดังนี้

  • บล็อกและเฝ้าระวังการเชื่อมต่อขาออกไปยัง 172.86.98[.]113 รวมถึงย้อนดูล็อกไฟร์วอลล์และพร็อกซีย้อนหลังว่ามีเครื่องใดเคยติดต่อที่อยู่นี้หรือไม่
  • ตรวจหาทราฟฟิก SSH ที่วิ่งออกไปบนพอร์ต 443 ด้วยการตรวจโปรโตคอลจริง ไม่ใช่ดูแค่หมายเลขพอร์ต เพราะการเชื่อมต่อ SSH ขาออกจากเครื่องผู้ใช้ทั่วไปแทบไม่มีเหตุผลทางธุรกิจรองรับ
  • ตรวจหาไฟล์ชื่อ wtsapi32.dll ที่อยู่นอกไดเรกทอรีระบบของวินโดวส์ หรือที่ไม่ได้ลงลายมือชื่อดิจิทัลโดยไมโครซอฟท์ ซึ่งเป็นสัญญาณของการทำ DLL sideloading
  • เฝ้าระวังไบนารีที่อ้างว่าเป็น Windows Terminal Server SDK แต่ถูกวางไว้ในโฟลเดอร์ผู้ใช้ โฟลเดอร์ชั่วคราว หรือโฟลเดอร์ที่ผู้ใช้เขียนได้
  • ให้ความรู้พนักงานในหน่วยงานที่มีความอ่อนไหว โดยเฉพาะฝ่ายวิศวกรรมและฝ่ายบุคคล เกี่ยวกับแคมเปญหลอกล่อด้วยข้อเสนอตำแหน่งงานที่ส่งไฟล์แนบหรือลิงก์ให้ติดตั้งโปรแกรม
  • สำหรับผู้ให้บริการด้านไอที ควรทบทวนเส้นทางการเข้าถึงระบบของลูกค้า จำกัดสิทธิ์ตามหลักการให้น้อยที่สุด และบังคับใช้ MFA กับทุกช่องทางการเข้าถึงจากระยะไกล
  • ทบทวนความสามารถในการตรวจจับพฤติกรรมการฝังตัวคงอยู่ เช่น การสร้างบริการใหม่ การเพิ่มคีย์ Run และการตั้ง scheduled task ซึ่งเป็นขั้นตอนที่แบ็กดอร์ประเภทนี้ต้องทำเสมอ

แหล่งอ้างอิง