สรุปสั้น

ผู้ไม่หวังดีที่เกี่ยวข้องกับแรนซัมแวร์ Aurora (หรือ Aur0ra) ถูกพบว่าใช้ Cursor ผู้ช่วยเขียนโค้ดขับเคลื่อนด้วยปัญญาประดิษฐ์ (AI) แบบ agentic เพื่อบุกเข้าเครือข่ายเป้าหมาย ตามผลการวิเคราะห์ของบริษัท CloudSEK และ Gambit Security ที่ตรวจสอบแยกกันจากโครงสร้างพื้นฐานที่เปิดทิ้งไว้ของกลุ่มอาชญากรไซเบอร์ที่พูดภาษารัสเซียกลุ่มนี้ ไดเรกทอรีที่เปิดทิ้งดังกล่าวเผยกิจกรรมที่เคลื่อนไหวต่อองค์กรกว่า 20 แห่งใน 9 ประเทศระหว่างเดือนเมษายนถึงกรกฎาคม 2569 ทั้งชุดเครื่องมือ ประวัติคำสั่งเชลล์ และตัวเข้ารหัส โดย CloudSEK ระบุว่าผู้ปฏิบัติการใช้ Cursor วางแผนโจมตีเป็นภาษารัสเซีย พร้อมกันเว้นช่วง IP และโดเมนของประเทศกลุ่ม CIS ออกอย่างเคร่งครัด

จุดที่น่าจับตาเป็นพิเศษคือ Gambit Security สังเกตเห็นผู้ปฏิบัติการ Aurora ใช้ Cursor Agent ที่รันโมเดล Claude Sonnet ของ Anthropic เพื่อช่วยลงมือโจมตีจริง (hands-on exploitation) กับ 10 องค์กรระหว่างวันที่ 8 เมษายนถึง 21 พฤษภาคม 2569 นับเป็นตัวอย่างล่าสุดที่ผู้ไม่หวังดีหันมาพึ่งเครื่องมือ AI เชิงพาณิชย์ในการโจมตี แม้ผู้ให้บริการโมเดลจะพยายามวางมาตรการป้องกันการใช้งานในทางที่ผิดมากขึ้นก็ตาม ข่าวนี้ต่อยอดจากรายงานก่อนหน้าของ CloudSEK ที่พบเซิร์ฟเวอร์แอฟฟิลิเอต Aurora ถูกเปิดทิ้งไว้จนเห็นบันทึกแชทกับ Cursor ที่ใช้ร่างแผนเจาะ Active Directory Certificate Services

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 31 สิงหาคม 2569 ว่า จากไดเรกทอรีที่เปิดทิ้งไว้ บริษัท CloudSEK พบว่ามีข้อมูลกิจกรรม “หลายเดือน” ที่เคลื่อนไหวต่อองค์กรกว่า 20 แห่งใน 9 ประเทศ โดยมีเหยื่อสี่รายที่ถูกนำขึ้นประกาศบนเว็บไซต์รั่วข้อมูลของกลุ่มแล้ว รายละเอียดของ Aurora ปรากฏครั้งแรกช่วงปลายเดือนพฤษภาคม 2569 โดยบริษัท CYFIRMA ชี้ว่ากลุ่มนี้พุ่งเป้าที่ระบบ Windows เป็นหลักและพัฒนาเทคนิคอย่างต่อเนื่อง ข้อมูลจาก Ransomware.Live ระบุเหยื่อ 33 รายในสหรัฐฯ เยอรมนี เนเธอร์แลนด์ แคนาดา และสหราชอาณาจักร

ในเคสหนึ่งที่บริษัท Black Hills Information Security อธิบายไว้เมื่อต้นเดือนนี้ ผู้โจมตีเข้าถึงเบื้องต้นด้วยการถล่มอีเมล (email bombing) อย่างหนัก ตามด้วยการโทรศัพท์หาพนักงานโดยแอบอ้างเป็นเจ้าหน้าที่ IT help desk เพื่อเสนอตัวช่วยแก้ปัญหา แล้วอาศัยจังหวะนั้นตั้งการเข้าถึงระยะไกลด้วยเครื่องมือโอเพนซอร์สชื่อ Xray-core จากนั้นห่วงโซ่การโจมตีจึงขยับด้านข้างผ่าน SMB, LDAP, WinRM, RDP และ RPC เข้าถึงบัญชีผู้ดูแลระบบสิทธิ์สูง แล้วใช้บัญชีเหล่านั้นหลบเลี่ยงการตรวจจับด้วยการล้างล็อกและปิด Microsoft Defender ก่อนเก็บเกี่ยวและขโมยข้อมูลอ่อนไหวและปล่อยตัวเข้ารหัส

microsoft defender cloudsek ad cs esxi attacks against aur0ra
microsoft defender cloudsek ad cs esxi attacks against aur0ra
microsoft defender cloudsek ad cs esxi attacks against aur0ra

วิธีการโจมตี

CloudSEK ระบุว่าพบตัวเข้ารหัสของ Aurora ทั้งเวอร์ชัน Windows และ Linux ที่เขียนด้วยภาษา Zig และประวัติแชทที่กู้คืนได้แสดงการใช้ Cursor อย่างหนักในการวางแผนหลายเฟสของการโจมตี รวมถึงแผนโจมตี Active Directory Certificate Services (AD CS) ฉบับเต็มที่เขียนเป็นภาษารัสเซีย บริษัทระบุว่าไบนารีตัวเข้ารหัสทั้งสอง ทั้ง sap.exe ของ Windows และ encrypt.out ของ Linux/ESXi เป็น static build จากซอร์สโค้ด Zig ชุดเดียวกันที่คอมไพล์ต่าง target กัน ไม่ได้เขียนแยกกันสองครั้ง ถึงขั้นที่ไบนารีฝั่ง Windows ยังพกตัวอย่างการใช้งานของ build ฝั่ง Linux ติดมาด้วย ซึ่งเป็นร่องรอยจากการใช้ซอร์สทรีเดียวข้ามสองแพลตฟอร์ม เวอร์ชัน Windows ยังขัดขวางการกู้คืนระบบด้วยการลบ volume shadow copy และปิด System Restore ผ่าน Registry ส่วนเวอร์ชัน Linux และ ESXi จะพยายามบังคับปิดเครื่องเสมือน (VM) ทุกตัวบนโฮสต์ก่อนเริ่มเข้ารหัส

ด้าน Gambit Security ซึ่งเปิดเผยข้อมูลของตนเอง ระบุว่าสังเกตเห็นผู้ปฏิบัติการ Aurora ใช้ Cursor Agent ที่รัน Claude Sonnet ช่วยลงมือโจมตีจริงกับ 10 องค์กร โดย นาย Eyal Sela ผู้อำนวยการฝ่าย threat intelligence ของ Gambit Security อธิบายว่าในเคสเหล่านี้เอเจนต์ได้รับข้อมูลรับรองหรือเส้นทางเข้าองค์กรเหยื่อไว้แล้ว จากนั้นจึงถูกสั่งให้ทำกิจกรรมโจมตีต่าง ๆ บางครั้งผู้โจมตีเพียงบอกเป้าหมาย เช่น “บอกทีว่าผู้ใช้คนนี้มีสิทธิ์อะไรบ้าง” ขณะที่บางครั้งก็ระบุเครื่องมือให้ใช้หรือสั่งให้ทำตามแผนโจมตีที่ร่างไว้ก่อน และมีบางกรณีที่เอเจนต์เสนอลำดับขั้นตอนถัดไปเป็นตัวเลือก แล้วผู้โจมตีเพียงตอบด้วยหมายเลขที่ตรงกับตัวเลือกนั้น งานบางส่วนที่ยกให้เอเจนต์ทำ ได้แก่ การติดตั้งไคลเอนต์ VPN หรือ proxychains แล้วตั้งค่าเชื่อมต่อกับเหยื่อ การสแกนซับเน็ตภายในด้วย Nmap หรือ NetExec การแจกแจงโดเมนเพื่อรายงานสิทธิ์ของผู้ใช้ด้วยตัวเก็บข้อมูล BloodHound ของ NetExec การพยายามโจมตี NTLM relay ด้วย PetitPotam, Coerce Plus และ PrinterBug ร่วมกับ Impacket ntlmrelayx และการโจมตีใบรับรองด้วย Certipy อย่างไรก็ตาม Gambit ระบุว่าคำสั่งส่วนใหญ่ไม่บรรลุเป้าหมายในครั้งแรก ต้องปรับแก้หลายรอบ บางงานสำเร็จในที่สุด ขณะที่บางงานล้มเหลวและส่งกลับเพียงรายงานความพยายาม ทั้งนี้ Reuters ระบุชื่อบริษัทที่ได้รับผลกระทบว่าได้แก่ Christeyns, Teckentrup, Helideck Certification Agency, Bayou Title, ผู้จัดจำหน่ายยาสัญชาติอาร์เจนตินา และผู้ผลิตสัญชาติอิตาลี

ชุดเครื่องมือ Gryxa ที่สร้างด้วย AI

รายงานฉบับเดียวกันยังกล่าวถึงการค้นพบชุดเครื่องมือใหม่ที่ AI ช่วยสร้างชื่อ Gryxa ซึ่งผู้ไม่หวังดีที่มีแรงจูงใจทางการเงินใช้ในปฏิบัติการเข้าถึงเบื้องต้น (initial access) โจมตี 324 โฮสต์ บริษัท ReliaQuest ระบุว่า Gryxa เป็นกรณีแรกที่พบว่ามีการใช้ AI สร้างทั้งปฏิบัติการ ตั้งแต่ชุดเครื่องมือไปจนถึงคอนโซลที่ใช้ควบคุม โดย Gryxa เปลี่ยนซอฟต์แวร์บริหารและเฝ้าระวังระยะไกล (RMM) ที่ถูกต้องตามกฎหมายให้กลายเป็นช่องทางเข้าถึงแบบแฝง คงการเข้าถึงไว้ผ่านกลไกรีสตาร์ตหลายชั้นที่ทำงานอิสระต่อกัน แล้วขโมยข้อมูลรับรองที่บันทึกในเบราว์เซอร์ตระกูล Chromium โดยหลบเลี่ยงการป้องกัน app-bound encryption (ABE) และส่งข้อมูลที่ขโมยได้ผ่าน Telegram

หลักฐานชี้ว่าผู้อยู่เบื้องหลังปฏิบัติการนี้ jailbreak เอเจนต์เขียนโค้ด AI ด้วยการแอบอ้างกระบวนการพัฒนาทั้งหมดว่าเป็น “การติดตั้งภายในที่ได้รับอนุญาต” จุดที่ผิดปกติที่สุดของ Gryxa คือมันบันทึกความพยายามในการกำจัดมัลแวร์แล้วรายงานกลับไปยังผู้โจมตี กล่าวคือ หลังอิมแพลนต์ RMM ที่มองเห็นได้ถูกลบออก องค์ประกอบมัลแวร์ที่ซ่อนอยู่จะเก็บล็อก Windows และร่องรอยของโฮสต์แล้วอัปโหลดไปยังโครงสร้างพื้นฐานของผู้โจมตี นอกจากนี้ หากรีเลย์ของผู้โจมตีติดต่อไม่ได้ Gryxa จะพยายามปิดและถอนการติดตั้งเอเจนต์ป้องกันปลายทาง เช่น Microsoft Defender ภายในราว 10-13 นาที และเปิด Defender กลับเมื่อรีเลย์กลับมาเข้าถึงได้ ReliaQuest ยังระบุว่าคอนโซลของผู้โจมตีมีงานสำเร็จรูปชื่อ collect-forensics ซึ่งบ่งชี้ว่านี่เป็นความสามารถประจำ ไม่ใช่การตอบสนองต่อเหตุครั้งเดียว และ Gryxa หมุนไฟล์ล็อกเมื่อเกิน 200KB หมายความว่ากิจกรรมล่าสุดจะถูกเก็บไว้ให้ผู้ตอบสนองที่ลงมือเร็วเท่านั้น

ผลกระทบ

พัฒนาการนี้สะท้อนแนวโน้มที่ผู้ไม่หวังดีนำเครื่องมือ AI เชิงพาณิชย์มาใช้ในการโจมตีจริงมากขึ้น ทั้งในเชิงวางแผนและลงมือปฏิบัติการ การที่แอฟฟิลิเอตแรนซัมแวร์สามารถยกงานเจาะระบบซับซ้อน เช่น การแจกแจงโดเมน การทำ NTLM relay และการโจมตีใบรับรอง ให้เอเจนต์ AI ทำแทน ช่วยลดกำแพงทักษะที่ผู้โจมตีเคยต้องมี แม้คำสั่งส่วนใหญ่จะล้มเหลวในครั้งแรกและต้องปรับแก้หลายรอบก็ตาม ขณะที่ Gryxa แสดงให้เห็นก้าวถัดไปที่น่ากังวลกว่า คือการใช้ AI สร้างเครื่องมือและคอนโซลควบคุมทั้งชุด พร้อมความสามารถต่อต้านการตอบสนองเหตุอย่างการปิด/เปิด EDR ตามสถานะการเชื่อมต่อ และการเก็บหลักฐานการกำจัดมัลแวร์ส่งกลับผู้โจมตี องค์กรที่ใช้ซอฟต์แวร์ RMM และเบราว์เซอร์ตระกูล Chromium จึงต้องตระหนักว่าเครื่องมือที่ถูกต้องตามกฎหมายอาจถูกดัดแปลงเป็นช่องทางแฝง และการลบอิมแพลนต์ที่มองเห็นได้อาจไม่เพียงพอหากยังมีองค์ประกอบซ่อนอยู่

คำแนะนำ

ผู้ดูแลระบบควรเฝ้าระวังการใช้ซอฟต์แวร์ RMM ที่ผิดปกติและจำกัดการติดตั้งให้เฉพาะเครื่องมือที่ได้รับอนุมัติ ตรวจสอบพฤติกรรมการปิด/ถอนการติดตั้งเอเจนต์ป้องกันปลายทางที่เกิดขึ้นเองโดยไม่มีการเปลี่ยนแปลงที่ได้รับอนุญาต ป้องกันการเข้าถึงเบื้องต้นด้วยการอบรมพนักงานให้รู้ทันกลลวง email bombing ควบคู่กับการโทรแอบอ้างเป็น IT help desk เปิดใช้การยืนยันตัวตนหลายปัจจัยที่ทนต่อฟิชชิงกับบัญชีสิทธิ์สูง เฝ้าระวังเครื่องมือ living-off-the-land และการโจมตีใบรับรอง (AD CS) รวมถึงตั้งค่าให้ AD CS ปลอดภัยเพื่อลดช่องทาง NTLM relay สำหรับสภาพแวดล้อมเวอร์ชวลไลเซชัน ควรเสริมการป้องกันโฮสต์ ESXi/vCenter และแยกเครือข่ายบริหารจัดการ พร้อมสำรองข้อมูลแบบออฟไลน์ที่ทดสอบกู้คืนได้จริง เนื่องจากตัวเข้ารหัสฝั่ง Linux/ESXi จะบังคับปิด VM ทั้งหมดก่อนเข้ารหัส

แหล่งอ้างอิง