สรุปสั้น

บริษัท Recorded Future โดยทีม Insikt Group เปิดเผยแคมเปญจารกรรมชุดใหม่ที่พุ่งเป้าไปยังหน่วยงานรัฐและองค์กรด้านการทูตในโรมาเนีย สเปน และตุรกี ในช่วงตั้งแต่ปลายเดือนกันยายน 2568 ถึงต้นเดือนเมษายน 2569 โดยแคมเปญเหล่านี้นำไปสู่การติดตั้งแบ็กดอร์ที่ไม่เคยมีการบันทึกไว้มาก่อนชื่อ HOOKEDGE ซึ่งเป็นเพียงสคริปต์ batch ของวินโดวส์ขนาดเล็ก แจกจ่ายผ่านเอกสาร Microsoft Word ที่เปิดใช้งานมาโคร และใช้เนื้อหาแนวการทูตเป็นเหยื่อล่อ เวอร์ชันแรก ๆ ปลอมตัวเป็นเอกสารของทางการสเปน ก่อนจะเปลี่ยนไปใช้วิธีหลอกล่อทางจิตวิทยา (social engineering) ในอีกหนึ่งเดือนถัดมา

นักวิจัยระบุความเชื่อมโยงกับกลุ่มแฮ็กเกอร์ที่รัฐรัสเซียหนุนหลังซึ่งรู้จักกันในชื่อ APT28 (หรือ Fancy Bear และ Forest Blizzard) ด้วยความมั่นใจระดับปานกลาง โดย Recorded Future เรียกกลุ่มนี้ในระบบติดตามของตัวเองว่า BlueDelta พื้นฐานของการชี้ตัวมาจากความทับซ้อนอย่างมีนัยสำคัญทั้งในระดับโค้ดและวิธีปฏิบัติงาน ระหว่าง HOOKEDGE กับ HEADLACE ซึ่งเป็นแบ็กดอร์แบบโมดูลาร์บนวินโดวส์ที่ APT28 ใช้โจมตีนักการทูตมาตั้งแต่เดือนเมษายน 2566 ความคล้ายกันครอบคลุมถึงสถาปัตยกรรมหลักและการนำบริการ webhook[.]site มาใช้เป็นทั้งช่องทางสั่งการและควบคุม (C2) พื้นที่พักเพย์โหลด และช่องส่งข้อมูลออก

สิ่งที่ทำให้เครื่องมือชุดนี้น่าสนใจไม่ใช่ความสามารถใหม่ แต่เป็นการที่กลุ่มเลือกจะไม่สร้างโครงสร้างพื้นฐานของตัวเองเลย ทราฟฟิกที่ออกจากเครื่องเหยื่อจึงวิ่งไปยังบริการเว็บที่คนทั่วไปใช้งานปกติ และตัวส่งข้อมูลก็เป็นเบราว์เซอร์ที่ติดมากับวินโดวส์อยู่แล้ว Recorded Future ระบุว่าอิมแพลนต์ตัวนี้ถูกปรับปรุงต่อเนื่องตลอดช่วงกันยายน 2568 ถึงเมษายน 2569 น่าจะเพื่อหลบสภาพแวดล้อมแซนด์บ็อกซ์อัตโนมัติ และเพื่อปรับตัวกับโควตาการเรียก API ระดับฟรีของ webhook[.]site ที่ถูกลดลง พร้อมอธิบายว่าเป็น “ทายาทสายตรงที่วิวัฒน์มาจาก HEADLACE”

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 สิงหาคม 2569 ว่า บริษัท Recorded Future เผยแพร่บทวิเคราะห์แคมเปญนี้เมื่อวันพฤหัสบดีที่ผ่านมา โดยชี้ว่าช่องทางส่งมอบหลักของ HOOKEDGE คือเอกสาร Microsoft Word ที่เปิดใช้งานมาโคร ซึ่งเมื่อเหยื่อเปิดไฟล์จะเห็นหน้าจอที่บังคับให้กด “Enable Content” เพื่อแสดงเนื้อหา การกดปุ่มดังกล่าวทำให้ชุดมาโครเขียนไฟล์ 6 ไฟล์ลงในไดเรกทอรี “%userprofile%” แล้วเริ่มลูกโซ่การติดตั้ง HOOKEDGE ทันที

ลูกโซ่เริ่มจากตัวเรียกโปรแกรมติดตั้ง (installer launcher) ที่สร้าง scheduled task ให้ทำงานทุก 30 นาที เพื่อเรียกตัวเรียกของ HOOKEDGE โดยส่งตัวแบ็กดอร์เข้าไปเป็นอาร์กิวเมนต์ จากนั้นโปรแกรมติดตั้งหลักจะลบตัวเอง ลบตัวเรียกโปรแกรมติดตั้ง และลบไฟล์นิยาม task ออกจากไดเรกทอรี เพื่อกลบร่องรอย ลดหลักฐานทางนิติวิทยาศาสตร์ดิจิทัล และทำให้การตอบสนองต่อเหตุการณ์ยากขึ้น นอกจากนี้เอกสารล่อยังฝังภาพที่มองไม่เห็นซึ่งอ้างอิงไปยัง URL ของ webhook[.]site เพื่อแจ้งเตือนผู้ปฏิบัติการทันทีที่เหยื่อเปิดไฟล์

Recorded Future ยังพบว่า BlueDelta ปรับวิธีทำงานอย่างต่อเนื่องเพื่อให้เข้ากับความต้องการเชิงปฏิบัติการของตัวเอง ถึงขั้นถอดกลไก canary ที่ใช้เก็บหมายเลขไอพีของเหยื่อตอนเปิดเอกสารออกไป แม้เหตุผลเบื้องหลังการเปลี่ยนแปลงนี้จะยังไม่ชัดเจน แต่นักวิจัยสันนิษฐานว่าน่าจะเป็นความพยายามลดตัวบ่งชี้การถูกบุกรุกที่ตรวจจับได้จากเครือข่าย และบริษัทสรุปว่ากลุ่มนี้ยังคงลงทุนกับเครื่องมือเข้าถึงระบบขั้นต้นที่เบาและดัดแปลงง่าย เพื่อสนับสนุนการเก็บข่าวกรองจากเป้าหมายภาครัฐและการทูตในยุโรป โดยไม่ได้เพิ่มความสามารถใหม่ แต่ค่อย ๆ ขัดเกลาวิธีปฏิบัติงานเดิมให้ทนทานขึ้นต่อมาตรการป้องกันและข้อจำกัดของโครงสร้างพื้นฐานที่ใช้

วิธีการโจมตี

ตัว HOOKEDGE เป็นแบ็กดอร์ batch ของวินโดวส์แบบพื้นฐานที่เข้าสู่ลูปการสำรวจ (polling loop) เพื่อรองรับการรันคำสั่งจากระยะไกล โดยดึงเพย์โหลด .cmd ตามที่ผู้โจมตีกำหนดจาก webhook ที่ใช้พักไฟล์ นำมารัน แล้วส่งผลลัพธ์กลับไปยัง URL ของ webhook ในรูปไฟล์ HTML จุดที่ทำให้ตรวจจับยากคือขั้นตอนการรับคำสั่งและส่งข้อมูลออกทั้งหมดทำผ่านการเปิด Microsoft Edge ในโหมดไร้หน้าจอ (headless) หรือในหน้าต่างที่ซ่อนไว้ แล้วยิงคำขอ HTTP ไปยัง webhook เมื่อส่งข้อมูลเสร็จ ไฟล์ชั่วคราวทั้งหมดจะถูกลบ และกระบวนการใดก็ตามที่ชื่อหน้าต่างตรงกับตัวระบุ task ของ HOOKEDGE จะถูกสั่งปิด

BlueDelta ยังถูกพบว่าปล่อยเพย์โหลด HOOKEDGE ระยะที่สองใส่เป้าหมายที่มีมูลค่าสูง โดยตั้งช่วงเวลาติดต่อกลับสั้นเพียง 5 นาที ทำให้ผู้โจมตีควบคุมการสั่งงานและทำกิจกรรมโต้ตอบหลังเจาะระบบได้มากขึ้น ที่น่าสนใจคือสถาปัตยกรรมสองระยะนี้ไม่ได้เกิดจากเหตุผลด้านการซ่อนตัวเพียงอย่างเดียว แต่เกิดจากข้อจำกัดของบริการฟรีที่กลุ่มเลือกใช้ Recorded Future อธิบายว่า webhook[.]site ระดับฟรีจำกัดคำขอไว้สูงสุด 100 ครั้งต่อหนึ่งจุดปลายทาง ซึ่งหมายความว่าการติดต่อกลับทุก 30 นาทีจะใช้โควตาของจุดปลายทางนั้นหมดภายในราวสองถึงสามวัน

การย้ายเหยื่อที่มีลำดับความสำคัญสูงไปใช้จุดปลายทาง webhook ระยะที่สองโดยเฉพาะ จึงเท่ากับแยกโครงสร้างพื้นฐานสำหรับการเข้าถึงขั้นต้นออกจากโครงสร้างพื้นฐานสำหรับการเก็บข้อมูลจริง ทำให้การสั่งงานและการเก็บข้อมูลที่ดำเนินอยู่ไม่ไปกินโควตาของจุดปลายทางที่ใช้หาเหยื่อรายใหม่จนหมดก่อนเวลา นักวิจัยเชื่อว่านี่เป็นการเลือกโดยเจตนา เพราะอิมแพลนต์ระยะแรกเน้นการเข้าถึงในวงกว้าง แล้วนำข้อมูลที่ได้จากระยะนั้นมาคัดว่าเหยื่อรายใดมีคุณค่าทางข่าวกรองสูงพอที่จะยกระดับการเก็บข้อมูลต่อ

ผลกระทบ

เป้าหมายของแคมเปญนี้คือหน่วยงานรัฐและคณะผู้แทนทางการทูตในโรมาเนีย สเปน และตุรกี ซึ่งเป็นกลุ่มที่ APT28 ให้ความสนใจมาต่อเนื่อง ประเด็นสำคัญสำหรับฝ่ายป้องกันไม่ได้อยู่ที่ความซับซ้อนของมัลแวร์ เพราะ HOOKEDGE เป็นเพียงสคริปต์ batch ที่แทบไม่มีอะไรพิเศษในเชิงเทคนิค แต่อยู่ที่การที่ทุกองค์ประกอบของห่วงโซ่การโจมตีล้วนเป็นของที่มีอยู่แล้วในระบบหรือเป็นบริการที่ถูกกฎหมาย ทั้งมาโครใน Word, scheduled task, เบราว์เซอร์ Edge ที่ติดมากับวินโดวส์ และบริการ webhook สาธารณะ

ผลที่ตามมาคือแนวป้องกันที่อาศัยการบล็อกโดเมนหรือไอพีของผู้โจมตีจะแทบไม่ได้ผล เพราะปลายทางที่เครื่องเหยื่อติดต่อคือบริการเว็บที่องค์กรจำนวนมากใช้ทดสอบระบบจริง ๆ และกระบวนการที่ยิงคำขอออกไปก็คือเบราว์เซอร์ประจำเครื่อง ไม่ใช่ไบนารีแปลกปลอม การตรวจจับจึงต้องย้ายไปดูพฤติกรรมแทน เช่น การที่ Edge ถูกเรียกในโหมดไร้หน้าจอโดยไม่มีผู้ใช้กด หรือการที่ scheduled task ถูกสร้างขึ้นแล้วไฟล์นิยามของมันหายไปทันที

อีกด้านหนึ่ง การที่กลุ่มยอมออกแบบสถาปัตยกรรมทั้งหมดรอบข้อจำกัดของบริการฟรี สะท้อนว่าปฏิบัติการจารกรรมระดับรัฐไม่จำเป็นต้องมีงบโครงสร้างพื้นฐานสูงเสมอไป ต้นทุนที่ต่ำลงเช่นนี้ทำให้แคมเปญขยายจำนวนเป้าหมายได้ง่ายขึ้น และทำให้การจับตาดูโครงสร้างพื้นฐานของผู้โจมตีซึ่งเป็นวิธีที่นักวิจัยใช้ติดตามกลุ่มมาตลอด มีข้อมูลให้จับน้อยลงกว่าเดิม

คำแนะนำ

ข้อแนะนำหลักจาก Recorded Future คือให้องค์กรจัดลำดับความสำคัญกับการบล็อกการรันมาโครในเอกสารที่มีต้นทางจากอินเทอร์เน็ต ซึ่งเป็นจุดตัดวงจรที่ได้ผลที่สุดของห่วงโซ่นี้ เพราะทั้งลูกโซ่เริ่มจากการที่ผู้ใช้กด “Enable Content”

นอกจากนั้นควรวางการตรวจจับเพิ่มใน 3 จุด ได้แก่ การใช้ scheduled task ในทางที่ผิด โดยเฝ้าดูการสร้าง task ใหม่ที่ตั้งรอบทำงานถี่ผิดปกติและการลบไฟล์นิยาม task ทิ้งหลังสร้างเสร็จ, การเรียกใช้ Microsoft Edge ในโหมดไร้หน้าจอที่ไม่ได้มาจากการทำงานปกติของผู้ใช้หรือระบบอัตโนมัติที่รู้จัก และการเชื่อมต่อขาออกไปยังบริการ webhook สาธารณะ ซึ่งหากองค์กรไม่มีความจำเป็นทางธุรกิจก็ควรพิจารณาบล็อกหรืออนุญาตเฉพาะรายการที่ตรวจสอบแล้ว

สำหรับหน่วยงานที่ทำงานด้านการต่างประเทศหรือรับส่งเอกสารกับคณะผู้แทนทางการทูต ควรถือว่าเอกสารแนวนโยบายหรือเอกสารราชการที่ส่งมาพร้อมมาโครเป็นสัญญาณอันตรายเสมอ และตรวจย้อนหลังในล็อกว่าเคยมีการเขียนไฟล์หลายไฟล์ลงใน %userprofile% พร้อมกับการสร้าง scheduled task ในช่วงเวลาเดียวกันหรือไม่

แหล่งอ้างอิง