สรุปสั้น
บุคคลและองค์กรในประเทศกัมพูชากลายเป็นเป้าหมายของแคมเปญใหม่ที่ปล่อยโทรจันเข้าถึงระยะไกลแบบโอเพนซอร์สชื่อ Spark RAT ตามรายงานของหน่วยวิจัยภัยคุกคาม Threat Research Unit ของบริษัท Acronis ซึ่งเผยแพร่เมื่อวันพุธที่ 26 สิงหาคม 2569 โดยนาย Darrel Virtusio และนาย Subhajeet Singha สองนักวิจัยระบุว่าตัวอย่างมัลแวร์ที่พบใช้ธีมของเหยื่อล่อหลากหลายมาก ทั้งหนังสือแจ้งของหน่วยงานราชการกัมพูชา เอกสารประชาสัมพันธ์ด้านสาธารณสุข บันทึกการตรวจฟัน เอกสารเกี่ยวกับอสังหาริมทรัพย์ และข้อเสนอส่งเสริมการขาย ซึ่งสะท้อนความพยายามครอบคลุมเหยื่อให้กว้างที่สุดแทนการเจาะจงกลุ่มใดกลุ่มหนึ่ง
จุดที่ทำให้แคมเปญนี้น่าสนใจในเชิงเทคนิคคือการใช้เทคนิค BYOVD หรือการนำไดรเวอร์ที่ถูกกฎหมายแต่มีช่องโหว่มาโหลดเอง โดยเลือกไดรเวอร์ ardrv.sys ของโปรแกรม OPSWAT AppRemover ซึ่งมีช่องโหว่ CVE-2026-36425 มาใช้ยกระดับสิทธิ์และสั่งปิดกระบวนการของซอฟต์แวร์ความปลอดภัย ทั้ง Microsoft Defender, Huorong Internet Security และ Tencent PC Manager ห่วงโซ่การติดเชื้อทั้งหมดถูกซอยเป็นหลายชั้น เริ่มจากตัวติดตั้ง Inno Setup ที่มากับไฟล์บีบอัด ไปสู่การโหลด DLL แบบ side-loading ผ่านไฟล์ปฏิบัติการที่มีลายเซ็นของบริษัท Tencent แล้วจึงถอดรหัสเชลล์โค้ดที่ซ่อนอยู่ในไฟล์ภาพ PNG หลายไฟล์เพื่อเดินหน้าไปยังขั้นถัดไป
บริษัท Acronis ระบุว่าพบสิ่งประดิษฐ์อันตรายจำนวนหนึ่งในช่วงปลายเดือนมิถุนายนถึงต้นเดือนสิงหาคม 2569 แต่ยังไม่ชัดเจนว่าแคมเปญยังดำเนินอยู่หรือไม่ ในด้านการระบุตัวผู้อยู่เบื้องหลัง แม้จะพบความคล้ายคลึงกับกลุ่ม Silver Fox หลายจุด แต่บริษัทเลือกติดตามกิจกรรมนี้เป็นคลัสเตอร์ที่ยังไม่ระบุตัวผู้ก่อเหตุ ด้วยความมั่นใจระดับต่ำ เพราะไม่พบโครงสร้างพื้นฐานร่วมกัน ไม่พบการใช้โค้ดซ้ำในระดับฟังก์ชัน และไม่พบใบรับรองที่ตรงกัน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 สิงหาคม 2569 ว่า บุคคลและองค์กรในประเทศกัมพูชาตกเป็นเป้าหมายของแคมเปญใหม่ที่ส่งมอบโทรจันเข้าถึงระยะไกลโอเพนซอร์สชื่อ Spark RAT ตามการวิเคราะห์ของหน่วยวิจัยภัยคุกคามของบริษัท Acronis ที่เผยแพร่ในวันก่อนหน้า
Spark RAT เป็นโทรจันเข้าถึงระยะไกลแบบโอเพนซอร์สที่เขียนด้วยภาษา Go และทำงานข้ามแพลตฟอร์ม ซอร์สโค้ดเปิดให้ดาวน์โหลดได้สาธารณะบน GitHub ทำให้ผู้ก่อเหตุไม่ต้องพัฒนามัลแวร์ของตัวเอง และทำให้การชี้ตัวผู้อยู่เบื้องหลังจากตัวมัลแวร์เพียงอย่างเดียวทำได้ยากขึ้น เพราะใครก็หยิบไปใช้ได้
ห่วงโซ่การโจมตีมีแนวโน้มเริ่มจากอีเมลฟิชชิงแบบเจาะจงเป้าหมาย ซึ่งแนบไฟล์บีบอัดที่ภายในมีไฟล์ปฏิบัติการที่สร้างด้วย Inno Setup แล้วหลอกให้ผู้รับเปิดใช้งานด้วยเหยื่อล่อที่ทำให้เข้ากับบริบทท้องถิ่น ทั้งหนังสือแจ้งของราชการกัมพูชา ประกาศด้านสาธารณสุข บันทึกการตรวจฟัน เอกสารอสังหาริมทรัพย์ และข้อเสนอส่งเสริมการขาย
เมื่อผู้ใช้เปิดตัวติดตั้ง มันจะจุดชนวนห่วงโซ่การโหลด DLL แบบ side-loading โดยอาศัยไฟล์ปฏิบัติการที่มีลายเซ็นของบริษัท Tencent เป็นตัวเรียก จากนั้นจึงส่งมอบเพย์โหลดขั้นกลางที่รับหน้าที่วางไดรเวอร์ ardrv.sys ที่มีช่องโหว่ แล้วจึงปล่อยเพย์โหลด Spark RAT ตัวจริงในขั้นสุดท้าย
ตัวโหลด DLL ยังมีกลไกต้านการวิเคราะห์ด้วยการวัดเวลา เพื่อตรวจจับสภาพแวดล้อมแซนด์บ็อกซ์ที่ย่นหรือบิดเบือนคำสั่งหน่วงเวลา หากเวลาที่ผ่านไปจริงอยู่นอกช่วงที่คาดไว้ มันจะยุติการทำงานทันที นอกจากนี้ยังไล่ดูรายการกระบวนการที่กำลังทำงานเพื่อหาโปรแกรม Huorong Internet Security ซึ่งเป็นซอฟต์แวร์ความปลอดภัยปลายทางของจีน โดยดูจากไฟล์ HipsTray.exe ถ้าพบ ตัวโหลดจะพยายามลดทอนสิทธิ์ของโปรแกรมความปลอดภัยตัวนั้นก่อน
ในแง่การระบุตัวผู้ก่อเหตุ บริษัท Acronis พบสัญญาณที่ชวนให้นึกถึงกลุ่ม Silver Fox อยู่หลายจุด ทั้งการที่ชุดคำสั่ง BYOVD อ้างอิงถึงไดรเวอร์ตัวอื่นอย่าง TrueSight และ Zemana Anti-Malware SDK ซึ่งกลุ่มนี้เคยใช้ก่อนปล่อย Winos 4.0 หรือที่รู้จักกันในชื่อ ValleyRAT รวมถึงการเล็งกระบวนการของ Huorong ที่พบซ้ำในการโจมตีที่เกี่ยวข้องกับกลุ่มนี้มาก่อน ตลอดจนความทับซ้อนของเป้าหมาย การ side-load DLL ผ่านแอปที่มีลายเซ็น การส่งเพย์โหลดหลายขั้น การฝังตัวผ่านบริการวินโดวส์และงานตามกำหนดเวลา และการตั้งค่ายกเว้นให้ Microsoft Defender ซึ่งเว็บไซต์นี้เคยรายงานปฏิบัติการของกลุ่ม Silver Fox ไว้แล้วในโพสต์ 07/076 และ 07/313
แต่บริษัทก็ย้ำว่าหลักฐานยังไม่พอจะชี้ขาด เพราะไม่พบโครงสร้างพื้นฐานร่วม ไม่พบการใช้โค้ดซ้ำระดับฟังก์ชัน และไม่พบใบรับรองที่ตรงกัน อีกจุดต่างที่สำคัญคือตัวมัลแวร์เอง เนื่องจากแคมเปญของ Silver Fox ขึ้นชื่อเรื่องการใช้ ValleyRAT และเพย์โหลดที่พัฒนาเอง ไม่เคยถูกเชื่อมโยงกับการใช้ RAT โอเพนซอร์ส “ความต่างนี้ไม่ได้ตัดความเป็นไปได้ว่าจะมีความเกี่ยวข้องกัน เพราะผู้ปฏิบัติการเปลี่ยนเพย์โหลดได้ แต่มันทำให้หนึ่งในข้อเชื่อมโยงที่หนักแน่นที่สุดในการระบุตัวก่อนหน้านี้หายไป” บริษัทระบุ พร้อมชี้ว่าคอนฟิกของ Spark RAT มีค่าที่เป็นภาษาจีน และมัลแวร์เล็งผลิตภัณฑ์ความปลอดภัยที่นิยมใช้ในสภาพแวดล้อมที่ใช้ภาษาจีนเป็นหลัก จึงติดตามกิจกรรมนี้ในฐานะคลัสเตอร์ที่ยังไม่ระบุตัว ซึ่งอาจมีความเชื่อมโยงด้านการพัฒนาหรือการปฏิบัติการกับผู้ใช้ภาษาจีน ด้วยความมั่นใจระดับต่ำที่พร้อมเปลี่ยนหากมีหลักฐานใหม่
วิธีการโจมตี
หลังผ่านตัวโหลด DLL มัลแวร์จะถอดรหัสเชลล์โค้ดที่ซ่อนอยู่ในไฟล์ PNG ซึ่งอยู่ในไฟล์บีบอัดเดียวกัน เพื่อรันตัวจัดฉากขั้นที่สอง ตัวจัดฉากนี้จะตรวจก่อนว่าตัวเองกำลังทำงานด้วยสิทธิ์ SYSTEM อยู่หรือไม่ แล้วเลือกโหมดทำงานหนึ่งในสองโหมดตามผลการตรวจ “ถ้ามันทำงานด้วยสิทธิ์ SYSTEM อยู่แล้ว มันจะเดินหน้าเข้าสู่โหมด inject โค้ดทันที ข้ามขั้นตอนตั้งค่าการฝังตัวไปเลย มิฉะนั้นมันจะเข้าสู่โหมดตั้งค่า ซึ่งจะสร้างการฝังตัวก่อนแล้วค่อยรันขั้นถัดไป” บริษัท Acronis ระบุ
ในโหมด inject โค้ด มัลแวร์จะแยกและถอดรหัสเชลล์โค้ดที่ฝังอยู่ในไฟล์ PNG อีกไฟล์หนึ่ง แล้ว inject เข้าไปในกระบวนการ vssvc.exe เพื่อรันภายใต้บริบทของกระบวนการเป้าหมายนั้น และเพื่อให้เพย์โหลดที่ inject เข้าไปยังทำงานอยู่เสมอ มันจะเฝ้าดูกระบวนการ vssvc.exe แล้ว inject เชลล์โค้ดเข้าไปใหม่ทันทีหากกระบวนการนั้นถูกปิดหรือเริ่มใหม่ด้วยหมายเลข PID ใหม่
ส่วนในโหมดตั้งค่า มัลแวร์จะอ่านและถอดรหัสเชลล์โค้ดจากไฟล์เดียวกัน จากนั้นตรวจหารายชื่อกระบวนการที่ถูกฝังไว้ตายตัวซึ่งเกี่ยวข้องกับ Qihoo 360 หากไม่พบสักตัว มันจะตั้งกลไกฝังตัวผ่านบริการของวินโดวส์เพื่อเรียกไบนารีที่ทำ side-load DLL ให้วนกลับไปเริ่มวงจรทั้งหมดใหม่ แล้วจึง inject เชลล์โค้ดเข้า vssvc.exe เช่นเดียวกับอีกโหมด
เมื่อถึงขั้นเพย์โหลดหลัก ลำดับการทำงานประกอบด้วยการพยายามแพตช์ฟังก์ชันที่เกี่ยวข้องกับ AMSI และ ETW เพื่อทำให้กลไกตรวจสอบสคริปต์และการเก็บเหตุการณ์ของวินโดวส์ใช้การไม่ได้ ตั้งการฝังตัวเพิ่มด้วยงานตามกำหนดเวลา ติดตั้งไดรเวอร์ ardrv.sys ที่มีช่องโหว่ CVE-2026-36425 เพื่อสั่งปิดกระบวนการที่เกี่ยวกับความปลอดภัยอย่าง Microsoft Defender, Huorong Internet Security และ Tencent PC Manager และอ่านถอดรหัสเพย์โหลดที่ฝังอยู่ในไฟล์ PNG ไฟล์ที่สามเพื่อไล่ปิดกระบวนการความปลอดภัยที่ถูกกำหนดชื่อไว้ล่วงหน้าในระดับ user mode อีกชั้นหนึ่ง
ควบคู่กันไป ไฟล์เพย์โหลดที่ซ่อนใน PNG ไฟล์ที่สี่จะถูกประมวลผลเพื่อแยกและถอดรหัสเชลล์โค้ดที่ถูก inject เข้าไปใน ctfmon.exe ซึ่งนำไปสู่การรัน Spark RAT ในที่สุด รูปแบบการซ่อนเพย์โหลดไว้ในไฟล์ภาพหลายไฟล์แยกหน้าที่กันเช่นนี้ ทำให้ไฟล์ที่ถูกส่งเข้ามาแต่ละไฟล์ดูไม่มีพิษภัยเมื่อตรวจแยกชิ้น และทำให้การวิเคราะห์แบบสแตติกเห็นภาพรวมได้ยาก
ผลกระทบ
การผสมกันของ BYOVD กับการปิดกลไก AMSI และ ETW หมายความว่าเมื่อห่วงโซ่นี้ทำงานสำเร็จ เครื่องเหยื่อจะไม่ได้แค่ติดมัลแวร์ แต่สูญเสียความสามารถในการมองเห็นของตัวเองไปพร้อมกัน ไดรเวอร์ที่มีลายเซ็นถูกต้องทำงานในระดับเคอร์เนล จึงฆ่ากระบวนการของโปรแกรมป้องกันได้จากตำแหน่งที่โปรแกรมป้องกันในระดับ user mode ป้องกันตัวเองไม่ได้ องค์กรที่พึ่งพาการแจ้งเตือนจาก endpoint เป็นสัญญาณหลักจึงอาจไม่เห็นอะไรเลยหลังจากจุดนั้น
ในแง่การเลือกเป้าหมาย การที่เหยื่อล่อครอบคลุมทั้งหนังสือราชการ เอกสารสาธารณสุข บันทึกทันตกรรม และเอกสารอสังหาริมทรัพย์ บ่งชี้ว่าผู้ก่อเหตุไม่ได้เจาะจงภาคส่วนใดภาคส่วนหนึ่ง แต่หว่านให้กว้างในพื้นที่เดียว การใช้เอกสารท้องถิ่นที่ดูสมจริงยังทำให้อัตราการเปิดไฟล์สูงกว่าฟิชชิงแบบแปลภาษาเครื่องทั่วไป
สำหรับองค์กรในภูมิภาคเดียวกัน สิ่งที่ควรถอดออกมาใช้คือรูปแบบการโจมตี ไม่ใช่แค่รายชื่อตัวบ่งชี้ เพราะห่วงโซ่นี้ประกอบขึ้นจากชิ้นส่วนที่นำกลับมาใช้ซ้ำได้ทั้งหมด ทั้ง RAT โอเพนซอร์สที่ใครก็ดาวน์โหลดได้ ตัวติดตั้ง Inno Setup ที่สร้างง่าย ไฟล์ปฏิบัติการที่มีลายเซ็นถูกต้องสำหรับ side-load และไดรเวอร์เชิงพาณิชย์ที่มีช่องโหว่ การเปลี่ยนภาษาของเหยื่อล่อจากกัมพูชาเป็นประเทศอื่นในภูมิภาคจึงเป็นงานที่ผู้ก่อเหตุทำได้โดยไม่ต้องเปลี่ยนเครื่องมือเลยแม้แต่ชิ้นเดียว
ข้อจำกัดของหลักฐานที่ต้องระบุไว้คือ รายงานนี้มาจากผู้ขายรายเดียว ไม่มีการเปิดเผยชื่อองค์กรผู้เสียหายหรือจำนวนเหยื่อที่ยืนยันได้ ไม่ชัดเจนว่าแคมเปญยังดำเนินอยู่หรือหยุดไปแล้ว การเชื่อมโยงกับกลุ่ม Silver Fox ถูกระบุด้วยความมั่นใจระดับต่ำและถูกปฏิเสธในระดับหลักฐานทางเทคนิคอย่างชัดเจน ส่วนข้อสังเกตเรื่องภาษาจีนในคอนฟิกและผลิตภัณฑ์ความปลอดภัยที่ถูกเล็ง เป็นเพียงข้อบ่งชี้เชิงบริบท ไม่ใช่การระบุสัญชาติหรือผู้สนับสนุนของผู้ก่อเหตุ
คำแนะนำ
- อัปเดตหรือถอดโปรแกรม OPSWAT AppRemover ให้พ้นช่องโหว่ CVE-2026-36425 และเปิดใช้บัญชีดำไดรเวอร์ที่มีช่องโหว่ของไมโครซอฟท์ (Microsoft Vulnerable Driver Blocklist) พร้อมเปิด HVCI บนเครื่องที่รองรับ เพื่อกันการโหลดไดรเวอร์กลุ่มนี้ตั้งแต่ต้นทาง
- เฝ้าระวังการติดตั้งไดรเวอร์เคอร์เนลใหม่บนเครื่องปลายทาง โดยเฉพาะไดรเวอร์ที่ไม่เคยปรากฏในองค์กรมาก่อน และตั้งแจ้งเตือนเมื่อมีการโหลดไดรเวอร์นอกรายการที่อนุญาต
- ตั้งกฎตรวจจับการแก้ไขหรือปิดกลไก AMSI และ ETW รวมถึงการเพิ่มรายการยกเว้นให้ Microsoft Defender โดยที่ไม่ได้มาจากผู้ดูแลระบบ เพราะเป็นสัญญาณที่มาก่อนความเงียบของ endpoint
- กรองไฟล์บีบอัดที่แนบมากับอีเมลและตรวจสิ่งที่อยู่ภายใน โดยเฉพาะไฟล์ปฏิบัติการที่สร้างด้วย Inno Setup ซึ่งเป็นรูปแบบที่พนักงานมักเข้าใจว่าเป็นตัวติดตั้งโปรแกรมปกติ
- เฝ้าดูการ inject โค้ดเข้ากระบวนการระบบที่ไม่น่ามีโค้ดแปลกปลอมอย่าง
vssvc.exeและctfmon.exeรวมถึงการที่กระบวนการเหล่านี้เริ่มมีการเชื่อมต่อเครือข่ายออกภายนอก - ตรวจหาการสร้างบริการวินโดวส์และงานตามกำหนดเวลาใหม่ที่ชี้ไปยังไบนารีในโฟลเดอร์ของผู้ใช้หรือโฟลเดอร์ชั่วคราว ซึ่งเป็นตำแหน่งที่ซอฟต์แวร์ที่ติดตั้งอย่างถูกต้องไม่ควรอยู่
- สำหรับองค์กรที่มีสำนักงานหรือคู่ค้าในกัมพูชา ให้ถือว่าเอกสารธีมราชการและสาธารณสุขในภาษาท้องถิ่นเป็นเวกเตอร์ที่ใช้งานอยู่จริง และแจ้งเตือนผู้ใช้ในพื้นที่เป็นการเฉพาะ