สรุปสั้น

องค์กรด้านบริการทางการเงิน ค้าปลีก และอีคอมเมิร์ซในบราซิลตกเป็นเป้าหมายของกลุ่มอาชญากรไซเบอร์ที่มีแรงจูงใจทางการเงินชื่อ Breeze Comet (เดิมชื่อ UNC5669) มาตั้งแต่ปี 2567 โดยบริษัท Google Threat Intelligence Group และทีม Mandiant อธิบายว่ากลุ่มนี้เชี่ยวชาญเฉพาะทางในการเข้าไปควบคุมระบบชำระเงินและซอฟต์แวร์ธนาคารในบราซิลเพื่อสั่งโอนเงินฉ้อโกง และมีอย่างน้อยหนึ่งครั้งที่ขโมยทรัพย์สินมูลค่าหลายหมื่นดอลลาร์สหรัฐฯ ออกไปได้สำเร็จ กิจกรรมชุดนี้ทับซ้อนกับคลัสเตอร์ที่บริษัท CrowdStrike ติดตามในชื่อ Plump Spider และบริษัท Trend Micro ติดตามในชื่อ SHADOW-AETHER-064

สิ่งที่ทำให้กลุ่มนี้ต่างจากอาชญากรรมไซเบอร์ในละตินอเมริกาที่ผ่านมาคือ แทนที่จะเน้นการฉ้อโกงฝั่งผู้ใช้ปลายทางจำนวนมาก Breeze Comet เลือกเจาะเข้าไปที่โครงสร้างพื้นฐานการชำระเงินหลักโดยตรง เป้าหมายที่กลุ่มเล็งคือองค์กรที่มีสิทธิ์สั่งทำธุรกรรมผ่านซอฟต์แวร์ธนาคาร API และระบบชำระเงินอย่าง Pix, STR และ Boleto ครอบคลุมทั้งธนาคาร ผู้ประมวลผลการชำระเงิน ผู้ค้าปลีก ตลาดแลกเปลี่ยน รวมถึงฟินเทคและผู้ให้บริการซอฟต์แวร์ธนาคาร

ในเชิงเครื่องมือ กลุ่มนี้พัฒนาแบ็กดอร์ของตัวเองอย่างน้อยสี่ตัวที่เขียนด้วยภาษาต่างกัน ควบคู่กับมัลแวร์จัดเส้นทางเครือข่ายภาษา Rust ชื่อ COBALTSPIN ที่ทำหน้าที่เป็นอุโมงค์ทะลุไฟร์วอลล์ขอบเขตเครือข่ายเข้าไปถึงโครงสร้าง API การเงิน และเมื่อสั่งโอนเงินฉ้อโกงหลายร้อยรายการเสร็จแล้วก็ล้างล็อกเหตุการณ์และลบไดเรกทอรีที่สร้างขึ้นระหว่างการบุกรุกทิ้ง เพื่อลดร่องรอยทางนิติวิทยาศาสตร์

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 1 กันยายน 2569 ว่า บริษัท Google Threat Intelligence Group และทีม Mandiant เผยแพร่รายงานการวิเคราะห์กลุ่ม Breeze Comet ซึ่งเป็นกลุ่มที่มีแรงจูงใจทางการเงินและมุ่งเป้าไปที่บราซิลโดยเฉพาะ ตามข้อมูลของ CrowdStrike กลุ่มอาชญากรรมทางเศรษฐกิจกลุ่มนี้ปฏิบัติการอยู่ในบราซิลและเคลื่อนไหวมาตั้งแต่เดือนกันยายน 2566 โดยหารายได้จากการบุกรุกด้วยการเข้าถึงระบบชำระเงินภายในองค์กรโดยไม่ได้รับอนุญาต แล้วสั่งทำธุรกรรมฉ้อโกง

การเข้าถึงครั้งแรกทำผ่านสองทางหลัก ทางแรกคือการพ่นรหัสผ่านและการโทรศัพท์แอบอ้างเป็นทีมสนับสนุนด้านไอทีเพื่อโน้มน้าวให้เป้าหมายติดตั้งเครื่องมือเฝ้าระวังและจัดการระยะไกลอย่าง AnyDesk ในเคสหนึ่งที่บริษัท Axur เปิดเผยเมื่อเดือนพฤศจิกายน 2568 ผู้โจมตีสวมรอยเป็นเจ้าหน้าที่ฝ่ายสนับสนุนไอทีผ่านการสนทนาบน WhatsApp แล้วชี้นำให้เหยื่อติดตั้งสคริปต์ PowerShell สำหรับสำรวจระบบ โดยอ้างว่าเป็นการอัปเดตแอปพลิเคชันขององค์กร ทางที่สองคือการเล็งเซิร์ฟเวอร์ JBoss AS ที่มีช่องโหว่เพื่อวางเว็บเชลล์ แล้วใช้เว็บเชลล์นั้นส่งเครื่องมือเพิ่มเติมเข้าไป รวมถึง Chisel และยูทิลิตีพร็อกซีตัวอื่น

Google ระบุว่ากลวิธีของ Breeze Comet พัฒนาขึ้นตามเวลา จนมาถึงการใช้ชุดมัลแวร์ที่ปรับแต่งเองและเว็บไซต์ที่น่าเชื่อถือซึ่งถูกเจาะแล้ว มาช่วยทั้งการเข้าถึงครั้งแรก การสั่งการและควบคุม และการโต้ตอบกับซอฟต์แวร์ทางการเงินและ API ชำระเงิน พร้อมตั้งข้อสังเกตว่าโครงสร้างพื้นฐานของกลุ่มอาจบ่งชี้ถึงความตั้งใจที่จะขยายรอยเท้าไปยังประเทศอื่นในละตินอเมริกาและแอฟริกาด้วย

อย่างไรก็ตาม การจะบรรลุเป้าหมายได้ กลุ่มนี้ต้องมีองค์ประกอบครบสี่อย่างพร้อมกัน หนึ่งคือการเข้าถึงเครือข่ายระบบการเงินแห่งชาติของบราซิล (RSFN) ผ่านนิติบุคคลที่มีสิทธิ์เข้าถึงอยู่แล้ว สองคือการเข้าถึงข้อมูลรับรอง mTLS ที่ทำให้ส่งเพย์โหลดคำสั่งทำธุรกรรมแบบยืนยันตัวตนแล้วไปยัง Pix หรือ STR ได้ สามคือการเข้าถึงบัญชีหลายบัญชีในสภาพแวดล้อม Active Directory และคลาวด์ขององค์กรเป้าหมาย และสี่คือความเข้าใจในขั้นตอนการประมวลผลการโอนเงิน มาตรการควบคุมเครือข่าย การเชื่อมต่อกับฟินเทค และระบบป้องกันการฉ้อโกงขององค์กรนั้น ซึ่งข้อสุดท้ายนี้สะท้อนว่าผู้โจมตีต้องใช้เวลาศึกษาภายในระบบเหยื่อพอสมควรก่อนลงมือ

วิธีการโจมตี

กลวิธีที่น่าสังเกตของกลุ่มนี้ ได้แก่ การใช้เว็บไซต์ของหน่วยงานรัฐขนาดเล็กในบราซิลที่ถูกเจาะแล้วเป็นที่พักเครื่องมือ RMM มัลแวร์ขโมยข้อมูลที่ปลอมตัวเป็นเอกสารภาษีหรือใบเสร็จ และแบ็กดอร์อย่าง XWorm รวมถึงใช้เว็บไซต์เหล่านั้นเป็นจุดปลายทางสั่งการและควบคุมเพื่อเลี่ยงตัวกรองที่ตัดสินจากชื่อเสียงของโดเมน รูปแบบเดียวกันนี้ถูกนำไปใช้ซ้ำในไนจีเรีย ปารากวัย กานา และเวเนซุเอลา ซึ่งบ่งชี้ว่าขอบเขตเป้าหมายกำลังขยายตัว

อีกกลวิธีที่ผิดไปจากรูปแบบทั่วไปคือ การนำอุปกรณ์ฮาร์ดแวร์แปลกปลอมไปเสียบเข้ากับเครือข่ายในร้านค้าปลีกโดยตรง เพื่อสร้างจุดยืนในเครือข่ายแบบตรงตัว แล้วเคลื่อนตัวไปยังระบบภายใน ตามด้วยการดาวน์โหลดยูทิลิตี Netcat และสคริปต์ที่เขียนขึ้นเองเพื่อดึงเฟรมเวิร์กสำหรับใช้งานหลังการเจาะระบบเข้ามา

ในขั้นสำรวจภายในและยกระดับสิทธิ์ กลุ่มนี้ใช้ Impacket, ADRecon และ ADVipscan ร่วมกับยูทิลิตีเดารหัสผ่าน LDAP ที่พัฒนาเองชื่อ REALBREEZE โดยพุ่งเป้าไปที่สภาพแวดล้อมของทีมพัฒนาและสภาพแวดล้อมคลาวด์ จากนั้นเคลื่อนตัวด้านข้างด้วยการเปิดเซสชัน RDP ที่ไม่ได้รับอนุญาตและสั่งรันคำสั่งผ่านการแชร์ไฟล์เครือข่าย SMB ขั้นตอนนี้เองที่มีการวาง COBALTSPIN ซึ่งเป็นมัลแวร์จัดเส้นทางเครือข่ายภาษา Rust ที่ทำงานเป็นอุโมงค์เครือข่ายเพื่อติดต่อและคงการเข้าถึงโครงสร้าง API ทางการเงินไว้

Google อธิบายกลไกของ COBALTSPIN ว่า มัลแวร์ตัวนี้สร้างพร็อกซี SOCKS5 แบบย้อนกลับผ่านการเชื่อมต่อ WebSocket แล้วจัดเส้นทางทราฟฟิกไปกลับระหว่างเซิร์ฟเวอร์สั่งการกับเป้าหมายภายใน ทำให้เคลื่อนตัวด้านข้างทะลุไฟร์วอลล์ขอบเขตเครือข่ายได้โดยไม่ต้องพึ่งกลไกฝังตัวถาวรที่อาจไปกระตุ้นการตรวจจับ

กลไกการฝังตัวถาวรของกลุ่มพัฒนามาเป็นลำดับ จากการวางเครื่องมือ RMM เชิงพาณิชย์ในปี 2567 มาเป็นการวางพ็อด Kubernetes ที่เป็นอันตรายในอีกหนึ่งปีต่อมา และการขโมยความลับของคลาวด์ออกไปยังเว็บไซต์จดบันทึกสาธารณะอย่าง “dontpad[.]com” หลังจากนั้นกลุ่มยังถูกพบว่าใช้แบ็กดอร์ที่พัฒนาเองหลายตัวเป็นช่องทางเข้าถึงสำรองซ้อนกันไว้ ได้แก่ LIGHTPAINT แบ็กดอร์ภาษา Java ที่ใช้ติดตั้ง SoftEther VPN ตัวจริงแล้วตั้งค่าให้ฝังตัวถาวรอัตโนมัติ, MILDFROST แบ็กดอร์ JAR ภาษา Java แบบทำงานเชิงรับที่ใช้สร้างอุโมงค์ DNS แบบซ่อนเร้น, KICKPLATE แบ็กดอร์ภาษา Nim ที่ปลอมตัวเป็น Windows Update Health Tools เพื่อส่งเพย์โหลดขั้นถัดไปและสั่งควบคุมอุโมงค์ SOCKS5 และ BOATBEAM แบ็กดอร์ภาษา Golang ที่เปิดเซิร์ฟเวอร์ IIS HTTPS ปลอมบนพอร์ต 443

เพื่อไม่ให้กลไกเหล่านี้ถูกตรวจพบและลบทิ้ง ผู้โจมตีจะสั่งคำสั่ง PowerShell ปิดการเฝ้าระวังแบบเรียลไทม์ของ Windows Defender บนเครื่องที่ถูกเจาะ จากนั้นในขั้นสุดท้ายจึงใช้ COBALTSPIN ร่วมกับบัญชีสิทธิ์สูงที่ยึดมาได้เข้าถึงแอปพลิเคชันทางการเงินหลักและสั่งทำธุรกรรมฉ้อโกงหลายร้อยรายการ เมื่อเสร็จแล้วก็ล้างล็อกเหตุการณ์เพื่อลดร่องรอยทางนิติวิทยาศาสตร์และปกปิดการเรียกใช้ API กับซอฟต์แวร์ทางการเงินและระบบชำระเงิน พร้อมลบไดเรกทอรีทุกอันที่สร้างขึ้นระหว่างการบุกรุก

อีกประเด็นที่รายงานตั้งข้อสังเกตคือ การพบคอมเมนต์อธิบายอย่างละเอียดและส่วนหัวของสคริปต์ที่มีรูปแบบเป็นมาตรฐานเดียวกัน บ่งชี้ว่ามีการใช้โมเดลภาษาขนาดใหญ่มาย่นวงจรการพัฒนามัลแวร์ ซึ่งสอดคล้องกับผลวิเคราะห์ก่อนหน้าของ Trend Micro เมื่อเดือนพฤษภาคม 2569 ที่พบว่าสคริปต์บางส่วนมีข้อความบรรยายกระบวนการให้เหตุผลกับตัวเองและการตัดสินใจแบบอัตโนมัติปนอยู่ด้วย

ผลกระทบ

จุดที่ทำให้กรณีนี้ต่างจากการฉ้อโกงทางการเงินทั่วไปคือ ตำแหน่งที่ผู้โจมตีเลือกโจมตี Google ชี้ว่าระบบนิเวศอาชญากรรมไซเบอร์ในละตินอเมริกาแต่เดิมนิยามด้วยการฉ้อโกงฝั่งผู้ใช้ปลายทางจำนวนมาก แต่แคมเปญของ Breeze Comet เป็นการเปลี่ยนทิศทางที่ชัดเจน และอาจกลายเป็นต้นแบบให้ภัยคุกคามที่มีแรงจูงใจทางการเงินในภูมิภาคนี้เดินตามในอนาคต

การย้ายจากการฉ้อโกงธนาคารรายย่อยแบบฉวยโอกาส ไปเป็นการบุกรุกเข้าสู่ระบบสวิตช์การเงินหลักและโครงสร้างพื้นฐานการชำระเงินทันทีโดยตรง มีนัยสองชั้น ชั้นแรกคือความเสียหายต่อหนึ่งเหตุการณ์สูงขึ้นมาก เพราะเป็นการสั่งโอนในนามของนิติบุคคลที่มีสิทธิ์เข้าถึงเครือข่ายการชำระเงินอยู่แล้ว ไม่ใช่การหลอกผู้ใช้ทีละราย ชั้นที่สองคือความเสี่ยงลามข้ามองค์กร เพราะเป้าหมายที่กลุ่มนี้เล็งรวมถึงผู้ให้บริการซอฟต์แวร์ธนาคารและฟินเทคที่เชื่อมต่ออยู่กับสถาบันการเงินอื่นอีกหลายราย

ในแง่จังหวะเวลา Google เตือนว่าเมื่อกลุ่มภัยคุกคามใช้โมเดลภาษาขนาดใหญ่ช่วยงานกลวิธีที่ทำซ้ำ ๆ มากขึ้น ฝ่ายป้องกันต้องคาดการณ์ว่าเวลาที่ฝ่ายตรงข้ามใช้ตั้งแต่เริ่มจนถึงลงมือจะสั้นลง และแรงกดดันต่อระบบนิเวศการเงินที่เชื่อมต่อกันจะสูงขึ้นตามไปด้วย ส่วนการที่โครงสร้างพื้นฐานของกลุ่มถูกนำไปใช้ซ้ำในไนจีเรีย ปารากวัย กานา และเวเนซุเอลาแล้ว เป็นสัญญาณว่ารูปแบบนี้ไม่ได้จำกัดอยู่เฉพาะบราซิล และประเทศที่มีระบบโอนเงินทันทีระดับชาติในลักษณะเดียวกันควรถือว่าอยู่ในขอบเขตความสนใจ

คำแนะนำ

  • ทบทวนสิทธิ์และเส้นทางที่นำไปสู่ระบบสั่งทำธุรกรรม โดยแยกเครือข่ายที่เข้าถึงระบบชำระเงินและ API การเงินออกจากเครือข่ายสำนักงานทั่วไป และจำกัดจำนวนบัญชีที่สั่งโอนได้ให้น้อยที่สุด
  • ปกป้องและหมุนข้อมูลรับรอง mTLS ที่ใช้ยืนยันตัวตนกับระบบชำระเงินเป็นระยะ พร้อมเฝ้าระวังการใช้จากโฮสต์ที่ไม่ใช่โฮสต์ที่ได้รับอนุญาต
  • เฝ้าระวังการติดตั้งเครื่องมือ RMM ที่ไม่ได้รับอนุญาต โดยเฉพาะกรณีที่เกิดขึ้นหลังพนักงานได้รับการติดต่อทางโทรศัพท์หรือ WhatsApp จากผู้ที่อ้างตัวเป็นฝ่ายสนับสนุนไอที และอบรมพนักงานว่าฝ่ายไอทีจะไม่ขอให้ติดตั้งเครื่องมือควบคุมระยะไกลผ่านช่องทางเหล่านั้น
  • แพตช์และปิดการเข้าถึงเซิร์ฟเวอร์ JBoss AS จากอินเทอร์เน็ต พร้อมตรวจหาเว็บเชลล์ในไดเรกทอรีที่แอปพลิเคชันให้บริการ
  • ตั้งการแจ้งเตือนเมื่อมีการปิดการเฝ้าระวังแบบเรียลไทม์ของ Windows Defender ผ่าน PowerShell และเมื่อล็อกเหตุการณ์ถูกล้าง ซึ่งเป็นสองสัญญาณที่ปรากฏชัดในห่วงโซ่การโจมตีนี้
  • เฝ้าระวังการเชื่อมต่อ WebSocket ขาออกที่ผิดปกติจากเซิร์ฟเวอร์ภายใน และทราฟฟิกไปยังเว็บไซต์จดบันทึกสาธารณะอย่าง dontpad[.]com ซึ่งถูกใช้เป็นปลายทางส่งข้อมูลความลับของคลาวด์ออกไป
  • ตรวจสอบอุปกรณ์ที่เชื่อมต่อเข้ากับเครือข่ายสาขาและร้านค้าปลีกทางกายภาพ พร้อมบังคับใช้การควบคุมการเข้าถึงเครือข่ายที่พอร์ตสวิตช์
  • ตรวจสอบพ็อด Kubernetes และงานที่ตั้งเวลาไว้ในสภาพแวดล้อมคลาวด์ว่ามีรายการที่ไม่ได้อยู่ในบัญชีที่อนุมัติหรือไม่

แหล่งอ้างอิง