สรุปสั้น

กระทรวงยุติธรรมสหรัฐฯ ตั้งข้อหาชาวรัสเซียรายหนึ่งซึ่งถูกส่งตัวข้ามแดนมาจากไซปรัสเมื่อวันที่ 28 สิงหาคม 2569 ในความผิดฐานใช้บัญชีปลอมราว 255 บัญชีบนแพลตฟอร์มหางานฟรีแลนซ์ ส่งไฟล์แนบ Excel ที่ฝังมัลแวร์ไปยังผู้ใช้ของแพลตฟอร์มราว 80,000 รายในช่วงปี 2559 ถึง 2560 โดยผู้ต้องหาคือนาย Searzhudin Tamirlanovich Aktulaev อายุ 40 ปี ซึ่งถูกจับกุมที่ไซปรัสตั้งแต่เดือนพฤษภาคม 2568 และเพิ่งขึ้นศาลกลางที่ซานฟรานซิสโกเป็นครั้งแรกเมื่อวันที่ 31 สิงหาคม ก่อนถูกควบคุมตัวไว้

คำฟ้องซึ่งยื่นไว้ตั้งแต่วันที่ 1 มิถุนายน 2564 และเพิ่งถูกเปิดผนึกในวันเดียวกับที่ผู้ต้องหาขึ้นศาล ระบุถึงแพลตฟอร์มที่ตกเป็นเป้าเพียงว่าเป็น “บริษัทเทคโนโลยีด้านการจ้างงานฟรีแลนซ์ที่เป็นที่รู้จักดี” ซึ่งตั้งอยู่ในเขตอำนาจศาลภาคเหนือของรัฐแคลิฟอร์เนีย มัลแวร์ที่ใช้มีสองชนิดคือสายพันธุ์หนึ่งของ TVRAT ซึ่งเป็นโทรจันที่อาศัยโปรแกรม TeamViewer หรือที่รู้จักในชื่อ TVSPY และ TeamSpy กับ DarkVNC ซึ่งทั้งคู่ให้สิทธิ์ควบคุมเครื่องที่ติดเชื้อจากระยะไกล

เครื่องคอมพิวเตอร์หลายพันเครื่องที่ติดเชื้อ TVRAT ติดต่อกลับไปยังโดเมนสั่งการที่โฮสต์อยู่ในสหรัฐฯ โดยผู้เสียหายราวครึ่งหนึ่งอยู่ในสหรัฐฯ และจำนวนมากอยู่ในเขตอำนาจศาลดังกล่าว นอกจากนี้ในบัญชีอีเมลที่ใช้ก่อเหตุยังพบเอกสารที่แชร์กันซึ่งบรรจุข้อมูลล็อกอินของระบบอีคอมเมิร์ซและข้อมูลส่วนบุคคลของผู้เสียหายหลายร้อยราย ทั้งนี้เจ้าตัวปฏิเสธข้อกล่าวหาและอ้างว่าไม่ทราบเรื่องคดีในสหรัฐฯ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 2 กันยายน 2569 ว่า สำนักงานอัยการสหรัฐฯ ประจำเขตภาคเหนือของรัฐแคลิฟอร์เนียออกแถลงการณ์ระบุรายละเอียดคดีของ Aktulaev ซึ่งถูกตั้งข้อหารวมหลายกระทง ได้แก่ สมคบกันฉ้อโกงผ่านสื่ออิเล็กทรอนิกส์ การส่งโปรแกรม ข้อมูล โค้ด หรือคำสั่งเพื่อสร้างความเสียหายแก่คอมพิวเตอร์ที่ได้รับความคุ้มครอง สมคบกันกระทำความผิดเกี่ยวกับคอมพิวเตอร์ การเข้าถึงคอมพิวเตอร์ที่ได้รับความคุ้มครองโดยไม่ได้รับอนุญาตเพื่อให้ได้มาซึ่งข้อมูลอันมีมูลค่าและผลประโยชน์ทางการเงิน และการโจรกรรมอัตลักษณ์บุคคลในลักษณะร้ายแรง

คำฟ้องกล่าวหาว่าตั้งแต่อย่างน้อยเดือนมิถุนายน 2559 จนถึงเดือนพฤศจิกายน 2560 ข้อความที่ส่งผ่านแพลตฟอร์มมีไฟล์แนบ Excel ที่หลอกให้ผู้รับสั่งรันมาโคร ซึ่งมาโครดังกล่าวจะดาวน์โหลดมัลแวร์จากอินเทอร์เน็ตลงเครื่องต่อไป เท่ากับการโจมตีทั้งแคมเปญพึ่งพาขั้นตอนเดียวคือการหลอกให้เหยื่อกดเปิดใช้งานมาโคร

ข้อมูลที่ถูกขโมยจากทั้งสองสายพันธุ์ถูกส่งไปยังเซิร์ฟเวอร์สั่งการ ซึ่งกระทรวงยุติธรรมระบุว่า Aktulaev และผู้ร่วมขบวนการนำไปใช้ก่ออาชญากรรมฉ้อโกงและกิจกรรมผิดกฎหมายอื่นต่อ

มีจุดหนึ่งที่ควรระบุให้ชัดเพราะเป็นข้อโต้แย้งเก่าที่ยังไม่จบ นั่นคือแถลงการณ์ของกระทรวงยุติธรรมระบุว่า TVRAT อาศัยช่องโหว่ในโปรแกรม TeamViewer ซึ่งเป็นถ้อยคำเดียวกับที่บริษัท Kaspersky ใช้ในรายงานเรื่อง TeamSpy เมื่อเดือนมีนาคม 2556 ที่ระบุว่ามอดูลอันตราย “ใช้ช่องโหว่ใน TeamViewer v6 ที่รู้จักกันในชื่อ DLL hijacking” ขณะที่โฆษกของ TeamViewer เคยบอกกับ Security Affairs เมื่อเดือนกุมภาพันธ์ 2560 ว่า “เราไม่มีหลักฐานที่จะสรุปได้ว่าซอฟต์แวร์ของเรามีช่องโหว่”

ข่าวนี้เกิดขึ้นในช่วงที่เว็บไซต์หางานและแพลตฟอร์มฟรีแลนซ์ยังคงเป็นเหยื่อล่อที่ผู้โจมตีที่รัฐหนุนหลังใช้ซ้ำแล้วซ้ำเล่า โดยบริษัท ESET เคยระบุเมื่อเดือนกุมภาพันธ์ 2568 ว่าแฮ็กเกอร์เกาหลีเหนือใช้เหยื่อล่อแบบเดียวกันนี้กับนักพัฒนาซอฟต์แวร์ ส่วนเมื่อเดือนที่แล้วก็มีรายงานแคมเปญปลอมเป็นผู้สรรหาบุคลากรจาก Check Point Research ที่ระบุว่ากลุ่ม Lazarus จับคู่ข้อเสนองานปลอมเข้ากับแบ็กดอร์ และจากทีม CERT-UA ของยูเครนที่ระบุว่ากลุ่มซึ่งเชื่อมโยงกับ Sandworm ติดต่อผู้สมัครผ่านแชตของเว็บหางานก่อนจะผลักดันโปรแกรม VPN ที่สั่งรันคำสั่งได้

วิธีการโจมตี

บริษัท Avast ซึ่งวิเคราะห์ตัวอย่าง TeamSpy ที่แพร่ผ่านมาโครของ Excel เมื่อเดือนเมษายน 2560 อธิบายว่ามาโครจะดึงตัวติดตั้งที่ล็อกด้วยรหัสผ่านลงมา ซึ่งภายในมัดรวมไฟล์ไบนารีของ TeamViewer ตัวจริงที่มีลายเซ็นดิจิทัลถูกต้องเข้ากับไฟล์ msimg32.dll ที่เป็นอันตราย จากนั้นไลบรารีอันตรายจะถูกโหลดแทนไลบรารีของ Windows ตัวจริงด้วยเทคนิค DLL search order hijacking ซึ่ง Avast เรียกว่าเป็น “เทคนิคที่ฉลาด” เพราะการตรวจลายเซ็นของไฟล์โปรแกรมหลักจะไม่พบสิ่งผิดปกติเลย

เมื่อไลบรารีถูกโหลดแล้ว มันจะดักฟังก์ชัน API ของ Windows เกือบ 50 รายการเพื่อไม่ให้หน้าต่างและกล่องโต้ตอบของ TeamViewer แสดงให้เหยื่อเห็น จากนั้นเครื่องที่ติดเชื้อจะรายงานหมายเลข TeamViewer ID ของตัวเองกลับไปยังเซิร์ฟเวอร์สั่งการ ซึ่งหมายเลขนี้เมื่อรวมกับรหัสผ่านที่ตั้งไว้ล่วงหน้าก็เพียงพอให้ผู้ก่อเหตุเชื่อมต่อเข้ามาควบคุมเครื่องจากระยะไกลได้ทันที

ส่วน DarkVNC เป็นเครื่องมือประเภท hVNC หรือการรีโมตแบบซ่อนหน้าจอ ซึ่งบริษัท eSentire ระบุในบทวิเคราะห์เมื่อเดือนกุมภาพันธ์ 2567 ว่าถูกโฆษณาขายครั้งแรกบนฟอรัม Exploit เมื่อวันที่ 24 พฤศจิกายน 2559 เครื่องมือนี้สร้างเดสก์ท็อปที่ซ่อนไว้บนเครื่องเหยื่อให้ผู้ควบคุมเข้าไปใช้งาน ทำให้ผู้ก่อเหตุทำธุรกรรมหรือสั่งงานจากเครื่องของเหยื่อได้โดยที่เจ้าของเครื่องซึ่งกำลังนั่งอยู่หน้าจอไม่เห็นอะไรผิดปกติ ซึ่งเป็นเทคนิคที่ออกแบบมาเพื่อหลบระบบตรวจจับการฉ้อโกงที่ดูจากอุปกรณ์และไอพีของผู้ใช้โดยเฉพาะ

ข้อสังเกตสำคัญคือขั้นตอนส่งมัลแวร์ที่แคมเปญนี้พึ่งพา ถูกปิดไปมากแล้วในปัจจุบัน เพราะ Microsoft บล็อกมาโคร VBA ในไฟล์ Office ที่ดาวน์โหลดมาจากอินเทอร์เน็ตบนเครื่อง Windows เป็นค่าเริ่มต้นตั้งแต่ปี 2565 อย่างไรก็ตามการตั้งค่านี้ใช้กับไฟล์ที่มีเครื่องหมายว่ามาจากอินเทอร์เน็ตเท่านั้น ไฟล์ที่ถูกส่งต่อภายในองค์กรหรือแตกออกมาจากไฟล์บีบอัดบางรูปแบบจึงยังหลุดรอดได้

ผลกระทบ

สำหรับผู้เสียหายเดิม ความเสียหายไม่ได้จบที่การถูกยึดเครื่อง เพราะข้อมูลที่ถูกขโมยรวมถึงข้อมูลล็อกอินของระบบอีคอมเมิร์ซและข้อมูลส่วนบุคคลของผู้เสียหายหลายร้อยราย ซึ่งถูกนำไปใช้ฉ้อโกงต่อ นี่คือรูปแบบที่พบซ้ำ ๆ ในคดีลักษณะนี้ คือการเข้าถึงเครื่องหนึ่งเครื่องถูกแปลงเป็นเงินผ่านการสวมรอยทำธุรกรรมในนามเหยื่อ

ในเชิงบทเรียนสำหรับองค์กร คดีนี้ย้ำว่าแพลตฟอร์มหางานและช่องทางติดต่อทางธุรกิจที่พนักงานต้องเปิดไฟล์จากคนแปลกหน้าเป็นปกติ คือจุดที่ระบบป้องกันอีเมลขององค์กรมองไม่เห็น เพราะข้อความและไฟล์แนบเดินทางผ่านแพลตฟอร์มภายนอก ไม่ได้ผ่านเกตเวย์อีเมลขององค์กร ฟรีแลนซ์และผู้รับจ้างอิสระที่ทำงานให้องค์กรจึงกลายเป็นทางเข้าที่อยู่นอกขอบเขตการมองเห็นของทีมความปลอดภัย

อีกประเด็นที่ควรอ่านเป็นสัญญาณคือระยะเวลาของคดี จากพฤติกรรมในปี 2559-2560 สู่คำฟ้องปี 2564 การจับกุมปี 2568 และการส่งตัวข้ามแดนปี 2569 รวมแล้วเกือบสิบปี ซึ่งสะท้อนว่ากลไกทางกฎหมายข้ามพรมแดนทำงานได้จริงแต่ช้ามาก องค์กรจึงไม่ควรวางความหวังไว้ที่การบังคับใช้กฎหมายเป็นมาตรการป้องกัน และต้องระบุด้วยว่าคำฟ้องเป็นเพียงข้อกล่าวหา ผู้ต้องหายังได้รับการสันนิษฐานว่าบริสุทธิ์จนกว่าจะพิสูจน์ความผิดได้

คำแนะนำ

องค์กรควรตรวจสอบว่านโยบายบล็อกมาโครสำหรับไฟล์ Office ที่มาจากอินเทอร์เน็ตถูกบังคับใช้จริงบนเครื่องทั้งหมด ไม่ใช่ปล่อยตามค่าเริ่มต้นอย่างเดียว และควรบังคับใช้เพิ่มเติมกับไฟล์ที่แตกออกมาจากไฟล์บีบอัดหรือถูกส่งต่อภายในองค์กร รวมถึงจำกัดสิทธิ์ผู้ใช้ในการเปิดใช้งานมาโครเองเมื่อไม่จำเป็น

ควรเฝ้าระวังการติดตั้งและการทำงานของโปรแกรมรีโมตที่ถูกกฎหมายอย่าง TeamViewer บนเครื่องที่ไม่ควรมี เพราะรูปแบบการโจมตีนี้ใช้ไฟล์ของผู้ผลิตจริงที่มีลายเซ็นถูกต้องประกอบกับ DLL อันตราย การตรวจเฉพาะลายเซ็นดิจิทัลจึงไม่พบอะไร ควรตรวจที่พฤติกรรมแทน เช่น การโหลด DLL จากตำแหน่งที่ผิดปกติ การดักฟังก์ชัน API จำนวนมาก และการเชื่อมต่อขาออกไปยังโครงสร้างพื้นฐานของบริการรีโมตในเวลาที่ไม่มีใครทำงาน

สำหรับทีมที่ต้องรับไฟล์จากบุคคลภายนอกเป็นประจำ เช่น ฝ่ายจัดซื้อ ฝ่ายบุคคล และทีมที่จ้างฟรีแลนซ์ ควรกำหนดช่องทางรับไฟล์ที่ผ่านการสแกนขององค์กรเสมอ ไม่เปิดไฟล์ตรงจากแชตของแพลตฟอร์มภายนอกบนเครื่องที่เข้าถึงระบบภายในได้ และหากเป็นไปได้ควรเปิดไฟล์จากคนแปลกหน้าในสภาพแวดล้อมที่แยกออกมา

แหล่งอ้างอิง