สรุปสั้น
บริษัท Check Point Research เปิดเผยว่ากลุ่มอาชญากรไซเบอร์ที่ใช้ภาษาจีนซึ่งบริษัทตั้งชื่อว่า Gambling Goblin ติดตั้งโมดูล Apache ที่เป็นอันตรายลงบนเว็บเซิร์ฟเวอร์ที่ถูกเจาะของหน่วยงานรัฐและสถาบันการศึกษาในบราซิล แล้วใช้โมดูลเหล่านั้นเบี่ยงผู้เข้าชมไปยังหน้าเว็บที่ผู้โจมตีควบคุมซึ่งโปรโมตการพนันออนไลน์และการเดิมพันกีฬา โดยบริษัทระบุว่าติดตามแคมเปญนี้มาตั้งแต่กลางปี 2568
กลไกสำคัญอยู่ที่การที่โมดูลทำหน้าที่ reverse proxy ส่งผู้เข้าชมไปยังชุดหน้าฟิชชิงในขณะที่ทราฟฟิกยังดูเหมือนออกมาจากโดเมนของหน่วยงานจริง พร้อมกับถอดส่วนหัวความปลอดภัยของเว็บไซต์ต้นทางออก ทำให้เนื้อหาที่ถูกแทรกเข้ามาทำงานได้อย่างอิสระ ส่วนหน้าปลายทางนั้นปลอมเป็นสโตร์แอปที่ผู้ใช้คุ้นเคยอย่าง Google Play, Microsoft Store และ Amazon แล้วดันเนื้อหาพนันออนไลน์อยู่หลังฉากหน้าดังกล่าว
Check Point ประเมินว่าเป้าหมายน่าจะเป็นการปั่นอันดับผลการค้นหาในระดับใหญ่ โดยนำโดเมนที่มีค่าความน่าเชื่อถือสูงซึ่งจำนวนมากเป็นเว็บของรัฐบาลบราซิลมาร้อยต่อกันเพื่อดันอันดับ ทั้งนี้ข้อมูลที่เผยแพร่ออกมายังไม่มีจำนวนเซิร์ฟเวอร์ที่ถูกเจาะ ไม่มีชื่อไฟล์ เส้นทาง หรือค่าแฮชของโมดูล และไม่ระบุชื่อองค์กรที่ได้รับผลกระทบ ผู้ดูแลระบบจึงยังไม่สามารถนำตัวบ่งชี้ไปตรวจโมดูลที่โหลดอยู่ใน Apache ของตนได้โดยตรง
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 2 กันยายน 2569 ว่า Check Point Research เผยแพร่บทวิเคราะห์แคมเปญของกลุ่ม Gambling Goblin ซึ่งเป็นคลัสเตอร์อาชญากรรมไซเบอร์ที่ใช้ภาษาจีน โดยกลุ่มนี้เข้าควบคุมเว็บเซิร์ฟเวอร์ของหน่วยงานรัฐและสถาบันการศึกษาในบราซิล แล้วเปลี่ยนเซิร์ฟเวอร์เหล่านั้นให้เป็นเครื่องมือปั่นอันดับผลการค้นหาแทนที่จะใช้เพื่อขโมยข้อมูลโดยตรง
บริบทที่ทำให้แคมเปญนี้มีมูลค่าคือบราซิลเริ่มออกใบอนุญาตการเดิมพันแบบอัตราต่อรองคงที่ตั้งแต่วันที่ 1 มกราคม 2568 ภายใต้กฎหมายฉบับที่ 14,790/2023 และอนุญาตให้ผู้ประกอบการที่ได้รับอนุญาตดำเนินการบนโดเมน .bet.br ที่ออกผ่านนายทะเบียนโดเมนของบราซิล ทั้งนี้ Check Point ไม่ได้ระบุว่าเว็บพนันที่ถูกโปรโมตผ่านเซิร์ฟเวอร์ที่ถูกเจาะมีใบอนุญาตดังกล่าวหรือไม่
เมื่อเข้าถึงเครื่องได้แล้ว บริษัทระบุว่ากลุ่มนี้จะติดตั้งชุดเครื่องมือประกอบด้วยตัวดาวน์โหลดที่พัฒนาเองชื่อ DownPro, แบ็กดอร์แบบโมดูลชื่อ AlphaAgent, โทรจันเข้าถึงระยะไกลชื่อ oRAT, ตัวขโมยข้อมูลยืนยันตัวตนที่ดัดแปลงจากเครื่องมือโอเพนซอร์ส 3snake, ตัวเดารหัสผ่าน SSH และเอเจนต์สำรวจเครือข่ายที่ทำงานด้วยปลั๊กอิน
จุดที่ควรเน้นคือความสามารถของตัวขโมยข้อมูลยืนยันตัวตน เพราะ 3snake รุ่นสาธารณะทำงานด้วยการผูก ptrace เข้ากับโพรเซส sshd และ sudo ที่เพิ่งถูกสร้างขึ้น แล้วดึงข้อความที่เกี่ยวกับการยืนยันตัวตนด้วยรหัสผ่านออกมา ซึ่งเอกสารของเครื่องมือระบุเองว่ามุ่งเป้าไปที่เซิร์ฟเวอร์ที่ถูกยึดสิทธิ์ root แล้ว ผลลัพธ์ก็คือรหัสผ่านที่ผู้ดูแลระบบใช้เข้าไปบริหารเครื่องที่ถูกเจาะจะถูกอ่านโดยส่วนประกอบที่ผู้โจมตีควบคุมอยู่
Check Point ระบุว่ายังไม่ได้สังเกตเห็นโดยตรงว่ากลุ่มนี้เข้าถึงเครื่องครั้งแรกด้วยวิธีใด แต่พบไดเรกทอรีที่เปิดทิ้งไว้บนเซิร์ฟเวอร์ของผู้ก่อภัยรายหนึ่งซึ่งเก็บไฟล์ ELF ที่เขียนด้วยภาษา Go และรวมปลั๊กอินสำหรับสำรวจและสแกนไว้ในตัว นอกจากนี้ยังพบเครือข่ายฟิชชิงคู่ขนานที่แปลเป็นภาษาเวียดนาม สเปน และอังกฤษ พร้อมโครงสร้างพื้นฐานที่สร้างโดเมนใหม่ทุกวัน โดยบริษัทเตือนว่าเนื่องจากหน้าปลายทางเลียนแบบแหล่งดาวน์โหลดแอปอยู่แล้ว ผู้ควบคุมจึงอยู่ห่างจากการ “ส่งมัลแวร์ตรงถึงเหยื่อเพียงก้าวเดียว”
ในด้านการระบุตัวตนของกลุ่ม Check Point เชื่อมโยงคลัสเตอร์นี้เข้ากับ Earth Berberoka ซึ่งบริษัท Trend Micro เคยบันทึกไว้เมื่อปี 2565 ว่าโจมตีเว็บพนันทั่วเอเชียด้วยตระกูลมัลแวร์ที่ในอดีตถูกระบุว่าเป็นของผู้ใช้ภาษาจีน โดย oRAT ซึ่งเป็นหนึ่งในเครื่องมือบนลินุกซ์ของคลังนี้ ถูก Trend Micro บันทึกไว้ตั้งแต่เดือนเมษายน 2565 ในตัวอย่างทั้งบนวินโดวส์และแมคโอเอสที่ระบุเป็นเวอร์ชัน 0.5.1 เหมือนกัน ส่วน Xnote ซึ่งเป็นแบ็กดอร์บนลินุกซ์ที่ผูกกับกลุ่มนี้ก็ถูกรายงานเมื่อเดือนมีนาคมในการโจมตีโครงสร้างพื้นฐานสำคัญในเอเชีย
เทคนิคชนิดเดียวกันนี้ยังปรากฏในงานวิจัยของบริษัทอื่นมาก่อน โดยบริษัท ESET บันทึกไว้ว่ามีเซิร์ฟเวอร์วินโดวส์อย่างน้อย 65 เครื่อง ซึ่งส่วนใหญ่อยู่ในบราซิล ไทย และเวียดนาม ถูกเจาะเมื่อเดือนมิถุนายน 2568 โดยผู้ก่อภัยชื่อ GhostRedirector ที่ ESET ประเมินด้วยความเชื่อมั่นระดับกลางว่าเป็นกลุ่มที่สอดคล้องกับจีน และติดตั้งโมดูล IIS แบบเนทีฟชื่อ Gamshen เอาไว้ โดย ESET ระบุว่า “GhostRedirector ได้พัฒนาโมดูล IIS แบบเนทีฟที่เป็นอันตรายชื่อ Gamshen ซึ่งทำการฉ้อโกงด้าน SEO ได้ เราเชื่อว่าจุดประสงค์คือการโปรโมตเว็บพนันต่าง ๆ อย่างผิดธรรมชาติ” และจุดที่แนบเนียนคือ Gamshen จะเปลี่ยนการตอบสนองของเซิร์ฟเวอร์เฉพาะเมื่อคำขอมาจากบอตของ Google เท่านั้น ผู้เข้าชมทั่วไปจึงยังได้หน้าเว็บที่ขอไปตามปกติ
ฝั่ง Palo Alto Networks Unit 42 บันทึกเทคนิค reverse proxy แบบเดียวกันบนเซิร์ฟเวอร์ IIS ไว้เมื่อเดือนกันยายน 2568 ส่วนบริษัท Hunt.io รายงานเมื่อเดือนกรกฎาคม 2568 ว่าพบ URL มากกว่า 630,000 รายการที่ถูกสร้างขึ้นบนซับโดเมนของ gov.br ที่ถูกยึด โดยเสิร์ฟหน้าเว็บสไตล์ราชการที่ยัดคำค้นให้บอตของ Google ขณะที่ผู้ใช้จริงถูกเบี่ยงไปยังเว็บเดิมพัน ซึ่งบริษัทปกปิดตัวบ่งชี้บางส่วนโดยประสานกับทีมรับมือเหตุภัยคุกคามของรัฐบาลบราซิลระหว่างที่การสอบสวนยังดำเนินอยู่ และสรุปไว้ว่า “เป้าหมายไม่ใช่การเจาะเข้าระบบ แต่คือการควบคุมการมองเห็น”
วิธีการโจมตี
หัวใจของเทคนิคนี้คือการฝังตัวไว้ที่ตัวเว็บเซิร์ฟเวอร์เอง ไม่ใช่ที่หน้าเว็บหรือฐานข้อมูล เมื่อผู้โจมตีติดตั้งโมดูล Apache ของตนเข้าไปในโพรเซสของเซิร์ฟเวอร์ได้แล้ว โมดูลจะอยู่ในตำแหน่งที่เห็นและแก้ไขทุกคำขอและทุกการตอบสนองก่อนที่เนื้อหาจะถูกส่งออกไป การตรวจสอบด้วยการเทียบไฟล์ในไดเรกทอรีของเว็บไซต์จึงไม่พบอะไรผิดปกติ เพราะเนื้อหาต้นฉบับไม่ได้ถูกแก้
จากตำแหน่งนั้น โมดูลจะทำหน้าที่เป็น reverse proxy ดึงเนื้อหาจากชุดหน้าฟิชชิงมาแสดงภายใต้โดเมนของหน่วยงานที่ถูกเจาะ ผลคือผู้เข้าชมและเครื่องมือจัดอันดับเห็นเนื้อหาของผู้โจมตีอยู่บนโดเมนที่มีความน่าเชื่อถือสูง พร้อมกันนั้นโมดูลยังถอดส่วนหัวความปลอดภัยของเว็บไซต์ต้นทางออก ซึ่งทำให้กลไกอย่าง Content Security Policy ที่ควรจะจำกัดว่าสคริปต์และเนื้อหาจากที่ใดรันได้บ้างหมดผลไป เนื้อหาที่ถูกแทรกเข้ามาจึงทำงานได้เต็มที่
หน้าปลายทางถูกออกแบบให้ปลอมเป็นสโตร์แอปที่ผู้ใช้ไว้ใจ ทั้ง Google Play, Microsoft Store และ Amazon แล้วดันเนื้อหาพนันออนไลน์และการเดิมพันกีฬาอยู่หลังฉากหน้านั้น ส่วนการอยู่ต่อบนเครื่องอาศัยชุดเครื่องมือที่กล่าวไปข้างต้น โดยตัวขโมยข้อมูลยืนยันตัวตนที่ดัดแปลงจาก 3snake ทำให้ผู้โจมตีเก็บรหัสผ่านของผู้ดูแลระบบไว้ต่อยอดได้ และตัวเดารหัสผ่าน SSH ก็เปิดทางให้ขยายไปยังเครื่องอื่นในสภาพแวดล้อมเดียวกัน
ผลกระทบ
ผู้เสียหายโดยตรงในแคมเปญนี้คือหน่วยงานรัฐและสถาบันการศึกษาในบราซิลที่เว็บเซิร์ฟเวอร์ถูกยึด แต่ความเสียหายไม่ได้จบที่เครื่องเซิร์ฟเวอร์ เพราะสิ่งที่ถูกนำไปใช้จริงคือชื่อเสียงของโดเมน ซึ่งเป็นทรัพย์สินที่หน่วยงานสร้างมานานและกู้คืนได้ช้ากว่าการล้างเครื่อง เมื่อโดเมนของรัฐถูกใช้ดันเนื้อหาพนัน ผลกระทบจะไปตกกับประชาชนที่ค้นหาข้อมูลราชการแล้วเจอหน้าที่ผู้โจมตีเตรียมไว้
สิ่งที่ทำให้เรื่องนี้อันตรายกว่าการปั่นอันดับทั่วไปคือหน้าปลายทางถูกทำให้เหมือนสโตร์แอปแล้ว โครงสร้างเดิมจึงพร้อมสำหรับการส่งไฟล์ติดตั้งที่เป็นมัลแวร์แทนการส่งไปหน้าพนันได้ทันทีโดยไม่ต้องสร้างอะไรใหม่ ซึ่งเป็นข้อสังเกตที่ Check Point ระบุไว้เอง
ในเชิงการตรวจจับ เทคนิคนี้เจาะจงเล่นกับจุดบอดของการเฝ้าระวังเว็บไซต์แบบเดิม เพราะระบบตรวจการเปลี่ยนแปลงไฟล์ในเว็บรูตจะไม่เห็นอะไร ขณะที่การกลับมาดูหน้าเว็บด้วยเบราว์เซอร์ปกติก็อาจได้หน้าที่ถูกต้อง โดยเฉพาะเมื่อโมดูลถูกตั้งให้เปลี่ยนพฤติกรรมตามผู้เรียก เช่นเดียวกับที่ Gamshen ตอบสนองต่างออกไปเฉพาะกับบอตของ Google การตรวจจึงต้องลงไปที่ระดับรายการโมดูลที่โหลดอยู่จริงในเซิร์ฟเวอร์และการเปรียบเทียบการตอบสนองเมื่อเปลี่ยน User-Agent
ข้อจำกัดของข้อมูลชุดนี้ต้องระบุไว้ให้ชัดว่ารายงานที่เผยแพร่ยังไม่ให้จำนวนเซิร์ฟเวอร์ที่ถูกเจาะ ไม่ให้ชื่อไฟล์ เส้นทาง หรือค่าแฮชของโมดูล ไม่ระบุชื่อองค์กรที่ได้รับผลกระทบ และไม่ระบุว่าเซิร์ฟเวอร์เหล่านั้นถูกล้างแล้วหรือยัง ผู้ดูแลระบบจึงต้องตรวจด้วยวิธีเชิงพฤติกรรมแทนการนำตัวบ่งชี้ไปเทียบตรง ๆ
คำแนะนำ
ตรวจรายการโมดูลที่ Apache โหลดอยู่จริงบนเครื่อง ด้วยคำสั่งอย่าง apachectl -M หรือ httpd -M แล้วเทียบกับรายการที่ตั้งใจติดตั้งไว้ พร้อมไล่ดูไฟล์คอนฟิกในไดเรกทอรีที่โหลดโมดูล เพื่อหาบรรทัด LoadModule ที่ไม่มีใครในทีมยอมรับว่าเป็นคนใส่
เปรียบเทียบการตอบสนองของเว็บไซต์เมื่อเปลี่ยน User-Agent เป็นบอตของเครื่องมือค้นหา และเมื่อเปลี่ยนค่า Referer เพราะโมดูลลักษณะนี้มักเปลี่ยนพฤติกรรมตามผู้เรียก การเปิดดูด้วยเบราว์เซอร์ปกติเพียงอย่างเดียวจึงไม่พอที่จะสรุปว่าเว็บสะอาด
ตรวจว่าส่วนหัวความปลอดภัยที่ตั้งไว้ในคอนฟิก เช่น Content-Security-Policy และ X-Frame-Options ยังปรากฏในการตอบสนองจริงหรือไม่ หากส่วนหัวหายไปโดยที่คอนฟิกไม่ได้ถูกแก้ ให้ถือเป็นสัญญาณที่ต้องสอบสวนทันที
เฝ้าระวังเครื่องมือที่กลุ่มนี้ใช้ในระดับโฮสต์ โดยเฉพาะโพรเซสที่ผูก ptrace เข้ากับ sshd หรือ sudo ซึ่งเป็นพฤติกรรมของตัวขโมยข้อมูลยืนยันตัวตนแบบ 3snake รวมถึงการเชื่อมต่อขาออกที่ผิดปกติจากเว็บเซิร์ฟเวอร์ไปยังโดเมนที่เพิ่งจดทะเบียน
หากพบว่าเซิร์ฟเวอร์ถูกเจาะ ให้ถือว่าข้อมูลยืนยันตัวตนทุกชุดที่เคยถูกใช้บนเครื่องนั้นรั่วแล้ว หมุนรหัสผ่านและกุญแจ SSH ทั้งหมด และตรวจสอบสถานะการจัดทำดัชนีของโดเมนบนเครื่องมือค้นหาเพื่อขอถอดหน้าที่ถูกสร้างขึ้นออก ควบคู่กับการล้างเครื่อง
แหล่งอ้างอิง
- Malicious Apache Modules Hijack Brazilian Government Site Traffic to Push Betting Pages — The Hacker News
- Gaming the System: How a Chinese-Speaking Actor Turned Brazilian Government Sites into an SEO Weapon — Check Point Research
- GhostRedirector Poisons Windows Servers — ESET Research
- Operation Rewrite: SEO Poisoning Campaign — Palo Alto Networks Unit 42
- 630K URLs on Hijacked gov.br Subdomains — Hunt.io