สรุปสั้น
บริษัท Arctic Wolf เปิดเผยมัลแวร์ที่เขียนด้วยภาษา Go ซึ่งไม่เคยมีเอกสารเปิดเผยมาก่อนชื่อ GoCaracal โดยพบระหว่างการสอบสวนเหตุบุกรุกองค์กรด้านการสื่อสารแห่งหนึ่งในประเทศเวเนซุเอลาเมื่อเดือนมิถุนายน 2569 ซึ่งบริษัทไม่เปิดเผยชื่อองค์กรผู้เสียหาย มัลแวร์ถูกใช้งานในสองโปรไฟล์ควบคู่กัน โปรไฟล์แบบเบาให้ผู้ปฏิบัติการเข้าถึงเชลล์จากระยะไกลและสั่งรันเพย์โหลดได้ ส่วนโปรไฟล์แบบเต็มเพิ่มความสามารถขโมยข้อมูลจากเบราว์เซอร์ บันทึกการกดแป้นพิมพ์ ควบคุมหน้าจอระยะไกลผ่าน WebRTC และทำตัวเป็นพร็อกซี SOCKS5 ให้ผู้โจมตีเดินทราฟฟิกผ่านเครื่องเหยื่อ
จุดที่ทำให้กรณีนี้ถูกพูดถึงคือกลไกสำรองของช่องทางสั่งการ เมื่อ GoCaracal โปรไฟล์เต็มติดต่อเซิร์ฟเวอร์ควบคุมหลักที่ตั้งค่าไว้ไม่สำเร็จซ้ำหลายครั้ง มันจะส่งคำขอ eth_getStorageAt ไปยังจุดให้บริการ JSON-RPC สาธารณะของเครือข่าย Ethereum เพื่ออ่านค่าที่ถูกเก็บไว้ในสัญญาอัจฉริยะ แล้วนำที่อยู่ที่ได้กลับมาเขียนทับค่าคอนฟิกในหน่วยความจำ ก่อนจะกลับไปติดต่อแบบเดิมด้วยที่อยู่ใหม่ ผลคือผู้ปฏิบัติการเปลี่ยนที่อยู่เซิร์ฟเวอร์ควบคุมได้โดยไม่ต้องส่งไฟล์มัลแวร์เวอร์ชันใหม่ให้เหยื่อ และเนื่องจากค่าในสัญญาอ่านได้จากโหนดสาธารณะหลายเจ้า การปิดกั้นโหนดใดโหนดหนึ่งจึงไม่ตัดช่องทางนี้
บริษัท Arctic Wolf ประเมินด้วยความมั่นใจระดับปานกลางว่ากิจกรรมนี้เชื่อมโยงกับกลุ่ม Dark Caracal ที่มีประวัติปฏิบัติการในลาตินอเมริกามายาวนาน โดยอาศัยการใช้มัลแวร์ Bandook ลักษณะของโหลดเดอร์ที่เขียนด้วย Delphi เหยื่อล่อธีมการเงินภาษาสเปน ไฟล์ SVG อันตราย ตัวย่อ URL และความชอบผู้ให้บริการโฮสต์บางรายเป็นหลักฐานประกอบ พร้อมเผยแพร่กฎ YARA และตัวบ่งชี้การถูกโจมตีบางส่วนให้ผู้ป้องกันนำไปล่าภัยคุกคามได้ ทั้งนี้รายงานฉบับสาธารณะไม่ได้ระบุจำนวนองค์กรที่ถูกเจาะด้วย GoCaracal และไม่ได้แสดงเครื่องที่เรียกใช้กลไกสำรองแล้วเชื่อมต่อกลับได้สำเร็จจริง
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 สิงหาคม 2569 ว่า ผู้ก่อภัยคุกคามที่บริษัท Arctic Wolf เชื่อมโยงกับกลุ่ม Dark Caracal ด้วยความมั่นใจระดับปานกลาง ได้นำกรอบการทำงานมัลแวร์ที่เขียนด้วยภาษา Go ชื่อ GoCaracal มาใช้ในเหตุบุกรุกองค์กรด้านการสื่อสารแห่งหนึ่งในประเทศเวเนซุเอลาเมื่อเดือนมิถุนายน 2569 โดยมัลแวร์ตัวนี้ไม่เคยมีเอกสารสาธารณะมาก่อน
จากการวิเคราะห์เชิงเทคนิค มัลแวร์ปรากฏในสองโปรไฟล์ระหว่างเหตุการณ์ที่ถูกสอบสวน โปรไฟล์แบบเบารองรับการเก็บโปรไฟล์ของเครื่อง ช่องทางสั่งการที่เข้ารหัส เชลล์แบบโต้ตอบ การดึงและรันเพย์โหลด รวมถึงการโหลดและฉีดเชลล์โค้ด ส่วนโปรไฟล์แบบเต็มเพิ่มการสำรวจระบบและไฟล์ การรันคำสั่ง การเก็บคุกกี้และฐานข้อมูลล็อกอินของเบราว์เซอร์ การบันทึกการกดแป้นพิมพ์ การค้นหาไฟล์แบบเจาะจง การควบคุมหน้าจอระยะไกลผ่าน WebRTC การสั่งงานเบราว์เซอร์แบบซ่อนหน้าต่าง การทำพร็อกซี SOCKS5 และฟังก์ชันที่เกี่ยวข้องกับการฝังตัวคงอยู่
สิ่งที่ต้องอ่านให้ชัดคือ Bandook ถูกปล่อยลงเครื่องคู่ขนานไปกับโปรไฟล์แบบเบา ไม่ใช่ถูกแทนที่ บริษัท Arctic Wolf ระบุตรง ๆ ว่าหลักฐานปัจจุบันยังไม่พอจะสรุปได้ว่า GoCaracal เข้ามาแทน Bandook แต่อย่างใด ทั้งสองตัวถูกใช้ควบคู่กันในเหตุการณ์เดียวกัน
ในด้านช่องทางเข้าเครื่อง บริษัทประเมินว่าเป็นการฟิชชิง แต่ยอมรับว่าไม่สามารถกู้อีเมลฟิชชิงต้นทางหรือไฟล์แนบ SVG จากเครื่องเหยื่อได้จริง การประเมินนี้จึงอาศัยการตั้งชื่อสิ่งประดิษฐ์ที่อ้างอิงธีมการเงินและภาษี รูปแบบแคมเปญที่เคยพบมาก่อน และไฟล์ SVG ที่เกี่ยวข้องอีกกว่า 100 ไฟล์ซึ่งติดต่อไปยังเว็บโฮสต์อันตรายแห่งเดียวกัน
บริษัท Arctic Wolf ยังระบุว่าพบสิ่งประดิษฐ์และโครงสร้างพื้นฐานที่เกี่ยวข้องเชื่อมโยงกับบราซิล เอกวาดอร์ ชิลี โคลอมเบีย เอลซัลวาดอร์ และอุรุกวัย โดยประเมินกิจกรรมระดับภูมิภาคที่กว้างขึ้นนี้ด้วยความมั่นใจระดับปานกลาง พร้อมย้ำว่าไม่ได้ระบุประเทศเหล่านั้นเป็นประเทศของเหยื่อที่ยืนยันแล้ว ขณะที่กลุ่ม Dark Caracal เองมีประวัติปฏิบัติการในลาตินอเมริกาต่อเนื่อง ตั้งแต่การเปิดโปงครั้งแรกในปี 2561 มัลแวร์ Bandook รุ่นปรับปรุงในปี 2563 และการโจมตีด้วย Bandook ในเวเนซุเอลาเมื่อปี 2564
ประเด็นสำคัญที่รายงานฉบับสาธารณะยังตอบไม่ได้มีสองข้อ ข้อแรกคือไม่มีการแสดงเครื่องในเหตุการณ์เดือนมิถุนายนที่เรียกใช้กลไกสำรองบน Ethereum แล้วเชื่อมต่อกลับผ่านที่อยู่ใหม่ได้สำเร็จ ข้อสองคือไม่มีการระบุจำนวนองค์กรที่ถูกเจาะด้วย GoCaracal ในภาพรวม ซึ่งเว็บไซต์ The Hacker News ได้ติดต่อสอบถามบริษัท Arctic Wolf ในทั้งสองประเด็นแล้ว แต่ยังไม่ได้รับคำตอบ ณ เวลาที่เผยแพร่รายงาน
วิธีการโจมตี
กลไกสำรองของช่องทางสั่งการทำงานเป็นลำดับขั้น เริ่มจาก GoCaracal โปรไฟล์แบบเต็มพยายามติดต่อเซิร์ฟเวอร์ควบคุมหลักที่ถูกกำหนดไว้ในคอนฟิกก่อนเสมอ เมื่อการติดต่อล้มเหลวซ้ำหลายครั้ง มัลแวร์จึงส่งคำขอ eth_getStorageAt ไปยังจุดให้บริการ JSON-RPC สาธารณะของเครือข่าย Ethereum ซึ่งเป็นคำสั่งมาตรฐานสำหรับอ่านค่าที่เก็บอยู่ในช่องเก็บข้อมูลของสัญญาอัจฉริยะ คำตอบที่ได้กลับมาคือที่อยู่เซิร์ฟเวอร์ควบคุมตัวใหม่ที่ผู้ปฏิบัติการเขียนฝากไว้ในสัญญาที่กำหนดไว้ล่วงหน้า
จากนั้นมัลแวร์เขียนที่อยู่ดังกล่าวลงในคอนฟิกที่อยู่ในหน่วยความจำ แล้วกลับไปติดต่อด้วยวิธีเดิมนอกบล็อกเชนโดยใช้ที่อยู่ใหม่แทน บริษัท Arctic Wolf ระบุชัดว่า “กลไกนี้ไม่ได้ย้ายช่องทางสั่งการทั้งหมดของมัลแวร์ไปไว้บน Ethereum” — บล็อกเชนทำหน้าที่เป็นเพียงกระดานประกาศที่อยู่สำรองเท่านั้น ส่วนการรับส่งคำสั่งจริงยังเกิดนอกเครือข่ายตามปกติ
คุณสมบัติที่ทำให้กลไกนี้ทนต่อการปราบปรามคือ ค่าเดียวกันในสัญญาอัจฉริยะสามารถอ่านได้จากจุดให้บริการ RPC สาธารณะหลายเจ้า ทำให้มัลแวร์ไม่ผูกติดกับจุดเข้าถึงจุดใดจุดหนึ่ง และเนื่องจากข้อมูลบนบล็อกเชนสาธารณะไม่มีใครลบให้ได้ การถอดที่อยู่ออกจึงทำไม่ได้ในทางปฏิบัติ สิ่งที่ผู้ปฏิบัติการได้เพิ่มมาคือความยืดหยุ่น เพราะเปลี่ยนที่อยู่ปลายทางได้โดยไม่ต้องคอมไพล์และส่งไบนารีตัวใหม่ให้เหยื่อทุกเครื่อง
รูปแบบการซ่อนที่อยู่เซิร์ฟเวอร์ควบคุมไว้บนบล็อกเชนไม่ใช่เรื่องใหม่ทั้งหมด เว็บไซต์นี้เคยรายงานเทคนิคตระกูลเดียวกันมาแล้วหลายครั้ง ทั้งมัลแวร์ EtherRAT ที่ใช้สัญญาอัจฉริยะ Ethereum ซ่อนเซิร์ฟเวอร์ควบคุมในโพสต์ 07/082 การซ่อน C2 บนบล็อกเชน TON ในโพสต์ 07/106 เทคนิค NullReceiver ของแฮ็กเกอร์เกาหลีเหนือที่ฝังที่อยู่ไว้ในธุรกรรมคริปโทที่ไม่มีเงินโอนในโพสต์ 08/026 และบ็อตเน็ต Kimwolf v7 ที่ซ่อนที่อยู่ C2 ไว้ในชื่อโดเมน ENS ในโพสต์ 08/072 สิ่งที่ต่างออกไปในกรณีนี้คือมันถูกวางไว้เป็นทางสำรองชั้นที่สอง ไม่ใช่ช่องทางหลัก จึงจะถูกกระตุ้นก็ต่อเมื่อโครงสร้างพื้นฐานเดิมถูกปิดไปแล้วเท่านั้น
ผลกระทบ
สำหรับทีมป้องกัน สิ่งที่เปลี่ยนไปไม่ใช่ความสามารถของมัลแวร์ แต่คืออายุของมาตรการรับมือ การบล็อกโดเมนหรือไอพีของเซิร์ฟเวอร์ควบคุมที่พบระหว่างการตอบสนองเหตุการณ์ เคยเป็นการตัดขาผู้โจมตีได้จริงในระดับหนึ่ง แต่เมื่อมีที่อยู่สำรองรออยู่บนสัญญาอัจฉริยะ การบล็อกนั้นกลายเป็นเพียงตัวกระตุ้นให้มัลแวร์ไปหยิบที่อยู่ชุดใหม่มาใช้ องค์กรที่ถือว่างานจบเมื่อบล็อก IoC ชุดแรกได้แล้ว จึงมีโอกาสประกาศชัยชนะเร็วเกินจริง
ผลตามมาที่เป็นรูปธรรมคือทราฟฟิกไปยังจุดให้บริการ JSON-RPC สาธารณะของ Ethereum จากเครื่องปลายทางในองค์กรทั่วไป กลายเป็นสัญญาณที่มีค่าในการตรวจจับ เพราะเครื่องพนักงานฝ่ายบัญชี ฝ่ายบุคคล หรือเครื่องเซิร์ฟเวอร์ภายในไม่มีเหตุผลทางธุรกิจที่จะคุยกับโหนดบล็อกเชนสาธารณะ องค์กรที่ไม่มีงานเกี่ยวข้องกับคริปโทเลยสามารถตั้งกฎบล็อกหรือแจ้งเตือนได้โดยแทบไม่มีผลข้างเคียง
ในฝั่งขอบเขตความเสียหาย ความสามารถของโปรไฟล์แบบเต็มบ่งชี้ว่าเป้าหมายคือการฝังตัวระยะยาวและการเข้าถึงข้อมูลมากกว่าการก่อกวน ทั้งคุกกี้และฐานข้อมูลล็อกอินของเบราว์เซอร์ที่เปิดทางยึดเซสชันบริการคลาวด์โดยไม่ต้องรู้รหัสผ่าน คีย์ล็อกเกอร์ที่เก็บสิ่งที่พิมพ์ทั้งหมด และพร็อกซี SOCKS5 ที่ทำให้ผู้โจมตีเดินทราฟฟิกออกจากเครือข่ายเหยื่อเสมือนเป็นผู้ใช้ภายใน ซึ่งทำให้การตรวจจับด้วยตำแหน่งที่ตั้งของการเข้าถึงบริการคลาวด์ใช้ไม่ได้ผล
ข้อจำกัดของหลักฐานที่ต้องระบุไว้คือ ทั้งหมดนี้มาจากรายงานของผู้ขายรายเดียว การเชื่อมโยงกับกลุ่ม Dark Caracal อยู่ที่ระดับความมั่นใจปานกลาง องค์กรผู้เสียหายไม่ถูกเปิดเผยชื่อ ช่องทางเข้าเครื่องเป็นการประเมินโดยไม่มีอีเมลหรือไฟล์ SVG ต้นทางเป็นหลักฐาน ประเทศในลาตินอเมริกาที่ถูกเอ่ยถึงไม่ใช่ประเทศเหยื่อที่ยืนยันแล้ว และที่สำคัญที่สุดคือยังไม่มีการแสดงว่ากลไกสำรองบน Ethereum ถูกเรียกใช้แล้วทำงานสำเร็จบนเครื่องจริงในเหตุการณ์นี้ ตัวบ่งชี้ที่เผยแพร่สาธารณะเองก็ถูกระบุว่าเป็นเพียงตัวอย่างอ้างอิง ส่วนชุดเต็มสงวนไว้ให้ลูกค้าของบริษัท
คำแนะนำ
- เฝ้าดูและพิจารณาบล็อกทราฟฟิกจากเครื่องปลายทางในองค์กรไปยังจุดให้บริการ JSON-RPC สาธารณะของ Ethereum และบล็อกเชนอื่น หากองค์กรไม่มีงานที่เกี่ยวข้องกับคริปโทโดยตรง ถือเป็นสัญญาณที่มีอัตราแจ้งเตือนผิดต่ำมาก
- อย่าถือว่าการบล็อกโดเมนหรือไอพีของเซิร์ฟเวอร์ควบคุมชุดแรกคือการปิดเหตุการณ์ ให้สันนิษฐานว่ามีที่อยู่สำรองรออยู่ และตามล่าด้วยพฤติกรรมของโฮสต์แทนการยึดตัวบ่งชี้เครือข่ายเพียงอย่างเดียว
- นำกฎ YARA และตัวบ่งชี้ที่บริษัท Arctic Wolf เผยแพร่ไปใช้ล่าภัยคุกคามย้อนหลัง ทั้งค่าแฮช SHA-256 โดเมนและไอพีที่เกี่ยวข้อง ตัวบ่งชี้สัญญาและกระเป๋าเงิน Ethereum และเส้นทางไฟล์บนโฮสต์
- ตรวจสอบไฟล์แนบชนิด SVG ที่เข้ามาทางอีเมล เพราะเป็นรูปแบบที่ถูกใช้เป็นตัวนำในแคมเปญตระกูลนี้ และหลายองค์กรยังไม่ได้กรอง SVG เท่ากับไฟล์เอกสารหรือไฟล์บีบอัด
- บังคับหมุนเปลี่ยนคุกกี้เซสชันและข้อมูลล็อกอินที่เก็บในเบราว์เซอร์ของเครื่องที่สงสัยว่าถูกเจาะ เพราะการยึดเซสชันเดินหน้าต่อได้แม้เปลี่ยนรหัสผ่านแล้วหากไม่เพิกถอนเซสชันเดิม
- ตรวจหาการเชื่อมต่อขาออกที่ผิดปกติซึ่งเข้าข่ายการใช้เครื่องภายในเป็นพร็อกซี SOCKS5 โดยเฉพาะเครื่องที่มีทราฟฟิกปลายทางหลากหลายผิดจากพฤติกรรมปกติของผู้ใช้คนนั้น