สรุปสั้น
บุคคลและองค์กรในประเทศกัมพูชากลายเป็นเป้าหมายของแคมเปญใหม่ที่ปล่อยโทรจันเข้าถึงระยะไกลแบบโอเพนซอร์สชื่อ Spark RAT ตามรายงานของหน่วยวิจัยภัยคุกคาม Threat Research Unit ของบริษัท Acronis ซึ่งเผยแพร่เมื่อวันพุธที่ 26 สิงหาคม 2569 โดยนาย Darrel Virtusio และนาย Subhajeet Singha สองนักวิจัยระบุว่าตัวอย่างมัลแวร์ที่พบใช้ธีมของเหยื่อล่อหลากหลายมาก ทั้งหนังสือแจ้งของหน่วยงานราชการกัมพูชา เอกสารประชาสัมพันธ์ด้านสาธารณสุข บันทึกการตรวจฟัน เอกสารเกี่ยวกับอสังหาริมทรัพย์ และข้อเสนอส่งเสริมการขาย ซึ่งสะท้อนความพยายามครอบคลุมเหยื่อให้กว้างที่สุดแทนการเจาะจงกลุ่มใดกลุ่มหนึ่ง
จุดที่ทำให้แคมเปญนี้น่าสนใจในเชิงเทคนิคคือการใช้เทคนิค BYOVD หรือการนำไดรเวอร์ที่ถูกกฎหมายแต่มีช่องโหว่มาโหลดเอง โดยเลือกไดรเวอร์ ardrv.sys ของโปรแกรม OPSWAT AppRemover ซึ่งมีช่องโหว่ CVE-2026-36425 มาใช้ยกระดับสิทธิ์และสั่งปิดกระบวนการของซอฟต์แวร์ความปลอดภัย ทั้ง Microsoft Defender, Huorong Internet Security และ Tencent PC Manager ห่วงโซ่การติดเชื้อทั้งหมดถูกซอยเป็นหลายชั้น เริ่มจากตัวติดตั้ง Inno Setup ที่มากับไฟล์บีบอัด ไปสู่การโหลด DLL แบบ side-loading ผ่านไฟล์ปฏิบัติการที่มีลายเซ็นของบริษัท Tencent แล้วจึงถอดรหัสเชลล์โค้ดที่ซ่อนอยู่ในไฟล์ภาพ PNG หลายไฟล์เพื่อเดินหน้าไปยังขั้นถัดไป
บริษัท Acronis ระบุว่าพบสิ่งประดิษฐ์อันตรายจำนวนหนึ่งในช่วงปลายเดือนมิถุนายนถึงต้นเดือนสิงหาคม 2569 แต่ยังไม่ชัดเจนว่าแคมเปญยังดำเนินอยู่หรือไม่ ในด้านการระบุตัวผู้อยู่เบื้องหลัง แม้จะพบความคล้ายคลึงกับกลุ่ม Silver Fox หลายจุด แต่บริษัทเลือกติดตามกิจกรรมนี้เป็นคลัสเตอร์ที่ยังไม่ระบุตัวผู้ก่อเหตุ ด้วยความมั่นใจระดับต่ำ เพราะไม่พบโครงสร้างพื้นฐานร่วมกัน ไม่พบการใช้โค้ดซ้ำในระดับฟังก์ชัน และไม่พบใบรับรองที่ตรงกัน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 สิงหาคม 2569 ว่า บุคคลและองค์กรในประเทศกัมพูชาตกเป็นเป้าหมายของแคมเปญใหม่ที่ส่งมอบโทรจันเข้าถึงระยะไกลโอเพนซอร์สชื่อ Spark RAT ตามการวิเคราะห์ของหน่วยวิจัยภัยคุกคามของบริษัท Acronis ที่เผยแพร่ในวันก่อนหน้า
Spark RAT เป็นโทรจันเข้าถึงระยะไกลแบบโอเพนซอร์สที่เขียนด้วยภาษา Go และทำงานข้ามแพลตฟอร์ม ซอร์สโค้ดเปิดให้ดาวน์โหลดได้สาธารณะบน GitHub ทำให้ผู้ก่อเหตุไม่ต้องพัฒนามัลแวร์ของตัวเอง และทำให้การชี้ตัวผู้อยู่เบื้องหลังจากตัวมัลแวร์เพียงอย่างเดียวทำได้ยากขึ้น เพราะใครก็หยิบไปใช้ได้
ห่วงโซ่การโจมตีมีแนวโน้มเริ่มจากอีเมลฟิชชิงแบบเจาะจงเป้าหมาย ซึ่งแนบไฟล์บีบอัดที่ภายในมีไฟล์ปฏิบัติการที่สร้างด้วย Inno Setup แล้วหลอกให้ผู้รับเปิดใช้งานด้วยเหยื่อล่อที่ทำให้เข้ากับบริบทท้องถิ่น ทั้งหนังสือแจ้งของราชการกัมพูชา ประกาศด้านสาธารณสุข บันทึกการตรวจฟัน เอกสารอสังหาริมทรัพย์ และข้อเสนอส่งเสริมการขาย
เมื่อผู้ใช้เปิดตัวติดตั้ง มันจะจุดชนวนห่วงโซ่การโหลด DLL แบบ side-loading โดยอาศัยไฟล์ปฏิบัติการที่มีลายเซ็นของบริษัท Tencent เป็นตัวเรียก จากนั้นจึงส่งมอบเพย์โหลดขั้นกลางที่รับหน้าที่วางไดรเวอร์ ardrv.sys ที่มีช่องโหว่ แล้วจึงปล่อยเพย์โหลด Spark RAT ตัวจริงในขั้นสุดท้าย
ตัวโหลด DLL ยังมีกลไกต้านการวิเคราะห์ด้วยการวัดเวลา เพื่อตรวจจับสภาพแวดล้อมแซนด์บ็อกซ์ที่ย่นหรือบิดเบือนคำสั่งหน่วงเวลา หากเวลาที่ผ่านไปจริงอยู่นอกช่วงที่คาดไว้ มันจะยุติการทำงานทันที นอกจากนี้ยังไล่ดูรายการกระบวนการที่กำลังทำงานเพื่อหาโปรแกรม Huorong Internet Security ซึ่งเป็นซอฟต์แวร์ความปลอดภัยปลายทางของจีน โดยดูจากไฟล์ HipsTray.exe ถ้าพบ ตัวโหลดจะพยายามลดทอนสิทธิ์ของโปรแกรมความปลอดภัยตัวนั้นก่อน
ในแง่การระบุตัวผู้ก่อเหตุ บริษัท Acronis พบสัญญาณที่ชวนให้นึกถึงกลุ่ม Silver Fox อยู่หลายจุด ทั้งการที่ชุดคำสั่ง BYOVD อ้างอิงถึงไดรเวอร์ตัวอื่นอย่าง TrueSight และ Zemana Anti-Malware SDK ซึ่งกลุ่มนี้เคยใช้ก่อนปล่อย Winos 4.0 หรือที่รู้จักกันในชื่อ ValleyRAT รวมถึงการเล็งกระบวนการของ Huorong ที่พบซ้ำในการโจมตีที่เกี่ยวข้องกับกลุ่มนี้มาก่อน ตลอดจนความทับซ้อนของเป้าหมาย การ side-load DLL ผ่านแอปที่มีลายเซ็น การส่งเพย์โหลดหลายขั้น การฝังตัวผ่านบริการวินโดวส์และงานตามกำหนดเวลา และการตั้งค่ายกเว้นให้ Microsoft Defender ซึ่งเว็บไซต์นี้เคยรายงานปฏิบัติการของกลุ่ม Silver Fox ไว้แล้วในโพสต์ 07/076 และ 07/313
แต่บริษัทก็ย้ำว่าหลักฐานยังไม่พอจะชี้ขาด เพราะไม่พบโครงสร้างพื้นฐานร่วม ไม่พบการใช้โค้ดซ้ำระดับฟังก์ชัน และไม่พบใบรับรองที่ตรงกัน อีกจุดต่างที่สำคัญคือตัวมัลแวร์เอง เนื่องจากแคมเปญของ Silver Fox ขึ้นชื่อเรื่องการใช้ ValleyRAT และเพย์โหลดที่พัฒนาเอง ไม่เคยถูกเชื่อมโยงกับการใช้ RAT โอเพนซอร์ส “ความต่างนี้ไม่ได้ตัดความเป็นไปได้ว่าจะมีความเกี่ยวข้องกัน เพราะผู้ปฏิบัติการเปลี่ยนเพย์โหลดได้ แต่มันทำให้หนึ่งในข้อเชื่อมโยงที่หนักแน่นที่สุดในการระบุตัวก่อนหน้านี้หายไป” บริษัทระบุ พร้อมชี้ว่าคอนฟิกของ Spark RAT มีค่าที่เป็นภาษาจีน และมัลแวร์เล็งผลิตภัณฑ์ความปลอดภัยที่นิยมใช้ในสภาพแวดล้อมที่ใช้ภาษาจีนเป็นหลัก จึงติดตามกิจกรรมนี้ในฐานะคลัสเตอร์ที่ยังไม่ระบุตัว ซึ่งอาจมีความเชื่อมโยงด้านการพัฒนาหรือการปฏิบัติการกับผู้ใช้ภาษาจีน ด้วยความมั่นใจระดับต่ำที่พร้อมเปลี่ยนหากมีหลักฐานใหม่
วิธีการโจมตี
หลังผ่านตัวโหลด DLL มัลแวร์จะถอดรหัสเชลล์โค้ดที่ซ่อนอยู่ในไฟล์ PNG ซึ่งอยู่ในไฟล์บีบอัดเดียวกัน เพื่อรันตัวจัดฉากขั้นที่สอง ตัวจัดฉากนี้จะตรวจก่อนว่าตัวเองกำลังทำงานด้วยสิทธิ์ SYSTEM อยู่หรือไม่ แล้วเลือกโหมดทำงานหนึ่งในสองโหมดตามผลการตรวจ “ถ้ามันทำงานด้วยสิทธิ์ SYSTEM อยู่แล้ว มันจะเดินหน้าเข้าสู่โหมดฉีดโค้ดทันที ข้ามขั้นตอนตั้งค่าการฝังตัวไปเลย มิฉะนั้นมันจะเข้าสู่โหมดตั้งค่า ซึ่งจะสร้างการฝังตัวก่อนแล้วค่อยรันขั้นถัดไป” บริษัท Acronis ระบุ
ในโหมดฉีดโค้ด มัลแวร์จะแยกและถอดรหัสเชลล์โค้ดที่ฝังอยู่ในไฟล์ PNG อีกไฟล์หนึ่ง แล้วฉีดเข้าไปในกระบวนการ vssvc.exe เพื่อรันภายใต้บริบทของกระบวนการเป้าหมายนั้น และเพื่อให้เพย์โหลดที่ฉีดเข้าไปยังทำงานอยู่เสมอ มันจะเฝ้าดูกระบวนการ vssvc.exe แล้วฉีดเชลล์โค้ดเข้าไปใหม่ทันทีหากกระบวนการนั้นถูกปิดหรือเริ่มใหม่ด้วยหมายเลข PID ใหม่
ส่วนในโหมดตั้งค่า มัลแวร์จะอ่านและถอดรหัสเชลล์โค้ดจากไฟล์เดียวกัน จากนั้นตรวจหารายชื่อกระบวนการที่ถูกฝังไว้ตายตัวซึ่งเกี่ยวข้องกับ Qihoo 360 หากไม่พบสักตัว มันจะตั้งกลไกฝังตัวผ่านบริการของวินโดวส์เพื่อเรียกไบนารีที่ทำ side-load DLL ให้วนกลับไปเริ่มวงจรทั้งหมดใหม่ แล้วจึงฉีดเชลล์โค้ดเข้า vssvc.exe เช่นเดียวกับอีกโหมด
เมื่อถึงขั้นเพย์โหลดหลัก ลำดับการทำงานประกอบด้วยการพยายามแพตช์ฟังก์ชันที่เกี่ยวข้องกับ AMSI และ ETW เพื่อทำให้กลไกตรวจสอบสคริปต์และการเก็บเหตุการณ์ของวินโดวส์ใช้การไม่ได้ ตั้งการฝังตัวเพิ่มด้วยงานตามกำหนดเวลา ติดตั้งไดรเวอร์ ardrv.sys ที่มีช่องโหว่ CVE-2026-36425 เพื่อสั่งปิดกระบวนการที่เกี่ยวกับความปลอดภัยอย่าง Microsoft Defender, Huorong Internet Security และ Tencent PC Manager และอ่านถอดรหัสเพย์โหลดที่ฝังอยู่ในไฟล์ PNG ไฟล์ที่สามเพื่อไล่ปิดกระบวนการความปลอดภัยที่ถูกกำหนดชื่อไว้ล่วงหน้าในระดับ user mode อีกชั้นหนึ่ง
ควบคู่กันไป ไฟล์เพย์โหลดที่ซ่อนใน PNG ไฟล์ที่สี่จะถูกประมวลผลเพื่อแยกและถอดรหัสเชลล์โค้ดที่ถูกฉีดเข้าไปใน ctfmon.exe ซึ่งนำไปสู่การรัน Spark RAT ในที่สุด รูปแบบการซ่อนเพย์โหลดไว้ในไฟล์ภาพหลายไฟล์แยกหน้าที่กันเช่นนี้ ทำให้ไฟล์ที่ถูกส่งเข้ามาแต่ละไฟล์ดูไม่มีพิษภัยเมื่อตรวจแยกชิ้น และทำให้การวิเคราะห์แบบสแตติกเห็นภาพรวมได้ยาก
ผลกระทบ
การผสมกันของ BYOVD กับการปิดกลไก AMSI และ ETW หมายความว่าเมื่อห่วงโซ่นี้ทำงานสำเร็จ เครื่องเหยื่อจะไม่ได้แค่ติดมัลแวร์ แต่สูญเสียความสามารถในการมองเห็นของตัวเองไปพร้อมกัน ไดรเวอร์ที่มีลายเซ็นถูกต้องทำงานในระดับเคอร์เนล จึงฆ่ากระบวนการของโปรแกรมป้องกันได้จากตำแหน่งที่โปรแกรมป้องกันในระดับ user mode ป้องกันตัวเองไม่ได้ องค์กรที่พึ่งพาการแจ้งเตือนจาก endpoint เป็นสัญญาณหลักจึงอาจไม่เห็นอะไรเลยหลังจากจุดนั้น
ในแง่การเลือกเป้าหมาย การที่เหยื่อล่อครอบคลุมทั้งหนังสือราชการ เอกสารสาธารณสุข บันทึกทันตกรรม และเอกสารอสังหาริมทรัพย์ บ่งชี้ว่าผู้ก่อเหตุไม่ได้เจาะจงภาคส่วนใดภาคส่วนหนึ่ง แต่หว่านให้กว้างในพื้นที่เดียว การใช้เอกสารท้องถิ่นที่ดูสมจริงยังทำให้อัตราการเปิดไฟล์สูงกว่าฟิชชิงแบบแปลภาษาเครื่องทั่วไป
สำหรับองค์กรในภูมิภาคเดียวกัน สิ่งที่ควรถอดออกมาใช้คือรูปแบบการโจมตี ไม่ใช่แค่รายชื่อตัวบ่งชี้ เพราะห่วงโซ่นี้ประกอบขึ้นจากชิ้นส่วนที่นำกลับมาใช้ซ้ำได้ทั้งหมด ทั้ง RAT โอเพนซอร์สที่ใครก็ดาวน์โหลดได้ ตัวติดตั้ง Inno Setup ที่สร้างง่าย ไฟล์ปฏิบัติการที่มีลายเซ็นถูกต้องสำหรับ side-load และไดรเวอร์เชิงพาณิชย์ที่มีช่องโหว่ การเปลี่ยนภาษาของเหยื่อล่อจากกัมพูชาเป็นประเทศอื่นในภูมิภาคจึงเป็นงานที่ผู้ก่อเหตุทำได้โดยไม่ต้องเปลี่ยนเครื่องมือเลยแม้แต่ชิ้นเดียว
ข้อจำกัดของหลักฐานที่ต้องระบุไว้คือ รายงานนี้มาจากผู้ขายรายเดียว ไม่มีการเปิดเผยชื่อองค์กรผู้เสียหายหรือจำนวนเหยื่อที่ยืนยันได้ ไม่ชัดเจนว่าแคมเปญยังดำเนินอยู่หรือหยุดไปแล้ว การเชื่อมโยงกับกลุ่ม Silver Fox ถูกระบุด้วยความมั่นใจระดับต่ำและถูกปฏิเสธในระดับหลักฐานทางเทคนิคอย่างชัดเจน ส่วนข้อสังเกตเรื่องภาษาจีนในคอนฟิกและผลิตภัณฑ์ความปลอดภัยที่ถูกเล็ง เป็นเพียงข้อบ่งชี้เชิงบริบท ไม่ใช่การระบุสัญชาติหรือผู้สนับสนุนของผู้ก่อเหตุ
คำแนะนำ
- อัปเดตหรือถอดโปรแกรม OPSWAT AppRemover ให้พ้นช่องโหว่ CVE-2026-36425 และเปิดใช้บัญชีดำไดรเวอร์ที่มีช่องโหว่ของไมโครซอฟท์ (Microsoft Vulnerable Driver Blocklist) พร้อมเปิด HVCI บนเครื่องที่รองรับ เพื่อกันการโหลดไดรเวอร์กลุ่มนี้ตั้งแต่ต้นทาง
- เฝ้าระวังการติดตั้งไดรเวอร์เคอร์เนลใหม่บนเครื่องปลายทาง โดยเฉพาะไดรเวอร์ที่ไม่เคยปรากฏในองค์กรมาก่อน และตั้งแจ้งเตือนเมื่อมีการโหลดไดรเวอร์นอกรายการที่อนุญาต
- ตั้งกฎตรวจจับการแก้ไขหรือปิดกลไก AMSI และ ETW รวมถึงการเพิ่มรายการยกเว้นให้ Microsoft Defender โดยที่ไม่ได้มาจากผู้ดูแลระบบ เพราะเป็นสัญญาณที่มาก่อนความเงียบของ endpoint
- กรองไฟล์บีบอัดที่แนบมากับอีเมลและตรวจสิ่งที่อยู่ภายใน โดยเฉพาะไฟล์ปฏิบัติการที่สร้างด้วย Inno Setup ซึ่งเป็นรูปแบบที่พนักงานมักเข้าใจว่าเป็นตัวติดตั้งโปรแกรมปกติ
- เฝ้าดูการฉีดโค้ดเข้ากระบวนการระบบที่ไม่น่ามีโค้ดแปลกปลอมอย่าง
vssvc.exeและctfmon.exeรวมถึงการที่กระบวนการเหล่านี้เริ่มมีการเชื่อมต่อเครือข่ายออกภายนอก - ตรวจหาการสร้างบริการวินโดวส์และงานตามกำหนดเวลาใหม่ที่ชี้ไปยังไบนารีในโฟลเดอร์ของผู้ใช้หรือโฟลเดอร์ชั่วคราว ซึ่งเป็นตำแหน่งที่ซอฟต์แวร์ที่ติดตั้งอย่างถูกต้องไม่ควรอยู่
- สำหรับองค์กรที่มีสำนักงานหรือคู่ค้าในกัมพูชา ให้ถือว่าเอกสารธีมราชการและสาธารณสุขในภาษาท้องถิ่นเป็นเวกเตอร์ที่ใช้งานอยู่จริง และแจ้งเตือนผู้ใช้ในพื้นที่เป็นการเฉพาะ