สรุปสั้น

ทีม Symantec Threat Hunter เปิดเผยรายงานที่ระบุว่าผู้ก่อภัยคุกคามหลายรายกำลังใช้ประโยชน์จากรันไทม์ JavaScript ชื่อ Node.js ซึ่งเป็นเครื่องมือของนักพัฒนาที่ถูกต้องตามกฎหมายและมีลายมือชื่อดิจิทัลกำกับ เป็นช่องทางในการวางเพย์โหลดอันตรายในการโจมตีหลายครั้ง โดยพบวิธีการนี้ถูกใช้กับหน่วยงานภาครัฐ บริษัทเทคโนโลยี และโรงแรมมาตั้งแต่เดือนกุมภาพันธ์ 2569 ซึ่งหน่วยงานความปลอดภัยในเครือของบริษัท Broadcom อธิบายเสน่ห์ของเทคนิคนี้ไว้ว่า “ความน่าดึงดูดของเทคนิคนี้คือ node.exe ซึ่งเป็นไฟล์ไบนารีที่รัน Node.js เป็นเครื่องมือนักพัฒนาที่ถูกต้องและมีลายมือชื่อกำกับ”

เหตุผลเชิงเทคนิคที่ทำให้ผู้โจมตีเลือกใช้ก็ตรงไปตรงมา คือโค้ดอันตรายไปอยู่ในสคริปต์ที่ถูกตีความแทนที่จะอยู่ในไฟล์ไบนารี จึงมีโอกาสน้อยกว่าที่จะไปกระตุ้นการตรวจจับด้วยลายเซ็น ขณะที่การใส่รายการใน Run key ของรีจิสทรีก็ทำให้เพย์โหลดถูกเรียกกลับมาทำงานใหม่ทุกครั้งที่ผู้ใช้ล็อกอิน กล่าวคือทั้งการหลบการตรวจจับและการฝังตัวถาวรได้มาจากเครื่องมือที่องค์กรจำนวนมากอนุญาตให้ใช้อยู่แล้ว

จุดที่ควรบันทึกเป็นพิเศษคือในเหตุการณ์หนึ่งผู้โจมตีเปลี่ยนมาใช้วิธีนี้หลังจากที่ความพยายามวางบีคอนของ AdaptixC2 และ Cobalt Strike บนเครือข่ายเหยื่อถูกบล็อกซ้ำแล้วซ้ำเล่า ซึ่งแสดงว่าการเปลี่ยนมาใช้เครื่องมือที่ถูกต้องเป็นการตอบสนองต่อระบบป้องกันที่ทำงานได้ผล ไม่ใช่ทางเลือกแรกของผู้โจมตี และเป็นสัญญาณว่าองค์กรที่บล็อกเครื่องมือโจมตีสำเร็จรูปได้แล้วควรเตรียมรับมือกับขั้นถัดไปที่อาศัยเครื่องมือในระบบเอง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 กันยายน 2569 ว่าทีม Symantec Threat Hunter เผยแพร่รายงานฉบับใหม่ในวันเดียวกัน ซึ่งอธิบายการนำ Node.js มาใช้เป็นเครื่องมือส่งมัลแวร์ในการโจมตีแบบเจาะจงเป้าหมาย โดยรายงานถูกแบ่งปันกับ The Hacker News ก่อนเผยแพร่

ในการบุกรุกกรณีหนึ่งที่ถูกสังเกตการณ์ระหว่างวันที่ 23 มีนาคมถึง 25 กรกฎาคม 2569 ซึ่งพุ่งเป้าไปที่บริษัทเทคโนโลยีในเอเชียที่ไม่ระบุชื่อ ผู้โจมตีดาวน์โหลดตัวติดตั้ง Node.js อย่างเป็นทางการจากเว็บไซต์ nodejs[.]org แล้วใช้รันไทม์ที่ได้รับความไว้วางใจและมีลายมือชื่อกำกับตัวนั้นวางอิมแพลนต์อันตรายเพื่อสร้างการเข้าถึงระยะยาว พร้อมดึงคำสั่งและเครื่องมือเพิ่มเติมด้วยเทคนิคที่เรียกว่า EtherHiding

รายงานระบุว่าผู้ก่อภัยกลุ่มนี้เปลี่ยนมาใช้แนวทางดังกล่าวหลังจากที่ความพยายามวางบีคอนของ AdaptixC2 และ Cobalt Strike ถูกบล็อกซ้ำ ๆ โดยการเข้าถึงครั้งแรกได้มาจากเทคนิควิศวกรรมสังคมแบบ ClickFix ที่หลอกให้ผู้ใช้คัดลอกคำสั่งไปวางเองในหน้าต่าง Run หรือ Windows Terminal ซึ่งเว็บไซต์นี้เคยรายงานสายพันธุ์ล่าสุดของเทคนิคนี้ไว้ในโพสต์ 2026/08/174 เรื่อง TerminalFix

ที่น่าสนใจคือเทคนิคเดียวกันนี้ยังถูกใช้ร่วมกับ ModeloRAT และ Mistic หรือที่รู้จักในชื่อ MLTBackdoor ซึ่งทั้งคู่ถูกประเมินว่าเป็นผลงานของนายหน้าขายการเข้าถึงระบบที่ชื่อ KongTuke หรือ Woodgnat โดยเว็บไซต์นี้เคยรายงานเรื่อง Mistic และการเชื่อมโยงของ Woodgnat กับแรนซัมแวร์หลายตระกูลไว้ในโพสต์ 2026/06/163

ก่อนหน้านี้เมื่อเดือนมิถุนายน 2569 Symantec เคยเปิดเผยว่าห่วงโซ่การโจมตีของ Woodgnat มีลักษณะเด่นที่การใช้ node.exe ในทางที่ผิดเพื่อรัน JavaScript ของผู้โจมตี แล้วต่อเข้ากับ PowerShell และเครื่องมือบรรทัดคำสั่งของวินโดวส์ รวมถึงส่วนขยาย Chrome ที่เป็นอันตรายชื่อ NexShield ซึ่งเป็นส่วนหนึ่งของ ClickFix สายพันธุ์ที่เรียกว่า CrashFix นอกจากนี้ยังมีเพย์โหลด .NET ชื่อ GateKeeper ที่มีการเข้ารหัสหลายชั้นและตรรกะระบุลายนิ้วมือของเหยื่อ

รูปแบบการปฏิบัติการเดียวกันยังถูกพบกับองค์กรฟินเทคในสหรัฐฯ ซึ่งนำไปสู่การวางแบ็กดอร์ที่เขียนด้วยภาษา Rust ชื่อ C2Looper ที่ ThreatLabz ของบริษัท Zscaler บันทึกไว้เมื่อเดือนก่อน โดยกิจกรรมแรกสุดที่สังเกตได้เกิดขึ้นเมื่อวันที่ 6 พฤษภาคม 2569 เมื่อผู้โจมตีใช้ฐานที่มั่นที่ได้จาก ClickFix วางเอเจนต์ AdaptixC2 และ Cobalt Strike Beacon จุดที่ต้องระบุข้อจำกัดของหลักฐานไว้คือการติดตั้ง C2Looper เกิดขึ้นหลังเหตุการณ์แรกกว่าสองเดือน และไม่มีหลักฐานว่าผู้โจมตีขโมยข้อมูลยืนยันตัวตน เคลื่อนย้ายในแนวราบ หรือก่อความเสียหายต่อระบบ อีกทั้งยังไม่ชัดเจนว่าบรรลุเป้าหมายสุดท้ายเกินกว่าการสร้างฐานที่มั่นด้วยแบ็กดอร์หรือไม่ ซึ่ง Symantec อธิบายว่า “แม้ในเหตุการณ์นั้นจะไม่พบการใช้ node.js และการเชื่อมต่อกับบล็อกเชน Ethereum แต่โดเมนที่ใช้ร่วมกันและความคล้ายคลึงในห่วงโซ่การโจมตีชี้ว่าเป็นผู้โจมตีรายเดียวกัน”

บริษัทสรุปว่ามีผู้ก่อภัยหลายรายกำลังใช้ประโยชน์จาก Node.js ในการโจมตี โดยเครื่องมือที่พบในการบุกรุกเหล่านี้รวมถึงตัวขโมยข้อมูลชื่อ AsukaStealer เวอร์ชันที่เขียนด้วย Node.js, EtherRAT และยูทิลิตีที่ถูกต้องของ Microsoft กับเครื่องมือบรรทัดคำสั่งอื่น ๆ พร้อมระบุว่า “ผู้โจมตีที่ใช้ Node.js ดูจะยินดีใช้ทั้งเครื่องมือที่มีอยู่ในระบบและเครื่องมือสองวัตถุประสงค์ผสมกัน รวมถึงมัลแวร์สำเร็จรูปและเครื่องมือใหม่อย่าง Backdoor.Mistic, C2Looper และ AsukaStealer เวอร์ชันใหม่ ซึ่งบ่งชี้ว่าผู้โจมตีที่มีระดับทักษะหลากหลายอาจกำลังใช้ Node.js เนื่องจากมันกลับมาได้รับความนิยมอีกครั้ง”

การเปิดเผยนี้เกิดขึ้นพร้อมกับที่บริษัท GuidePoint Security ระบุว่าผู้โจมตีเจาะองค์กรไปแล้วอย่างน้อย 31 แห่ง ทั้งธุรกิจอีคอมเมิร์ซ บริการวิชาชีพ และโลจิสติกส์ค้าปลีก ผ่านแคมเปญ ClickFix ที่แสดงหน้าต่างยืนยันตัวตนแบบ CAPTCHA ปลอมให้ผู้เข้าชมที่เข้ามายังเว็บไซต์ที่ถูกเจาะ แล้ววางแบ็กดอร์ที่ใช้ EtherHiding ค้นหาโครงสร้างพื้นฐานสั่งการของตน โดยแคมเปญนี้สร้างเหยื่อสองประเภทพร้อมกัน คือธุรกิจที่ถูกต้องซึ่งเว็บไซต์ถูกฝังโค้ดล่อ และผู้ใช้ที่บังเอิญเข้ามายังเว็บเหล่านั้น

วิธีการโจมตี

จุดเริ่มของห่วงโซ่ในเคสที่รายงานคือ ClickFix ซึ่งหลอกให้ผู้ใช้คัดลอกคำสั่งจากหน้าเว็บไปวางในหน้าต่าง Run หรือ Windows Terminal ด้วยตัวเอง โดยอ้างว่าเป็นการแก้ข้อผิดพลาดหรือยืนยันว่าไม่ใช่บอต ผลคือเหยื่อเป็นผู้รันคำสั่งเอง ทำให้ไม่มีช่องโหว่ใดถูกใช้และไม่มีไฟล์แนบให้ระบบกรองอีเมลตรวจจับ

ขั้นถัดมาคือการนำ Node.js เข้ามาในเครื่อง โดยในเคสหนึ่งผู้โจมตีโหลดตัวติดตั้งอย่างเป็นทางการจากเว็บไซต์ของโครงการเองมาใช้ ซึ่งหมายความว่าไฟล์ที่ปรากฏบนเครื่องมีลายมือชื่อดิจิทัลถูกต้องทุกประการ จากนั้นโค้ดอันตรายจะอยู่ในรูปสคริปต์ JavaScript ที่ node.exe เป็นผู้ตีความและรัน ระบบป้องกันที่ตัดสินจากไฟล์ที่ถูกเรียกจึงเห็นเพียงเครื่องมือนักพัฒนาที่ถูกต้องกำลังทำงาน

การฝังตัวถาวรทำผ่านรายการใน Run key ของรีจิสทรี ซึ่งเรียกเพย์โหลดกลับมาทำงานใหม่ทุกครั้งที่ผู้ใช้ล็อกอิน ส่วนการติดต่อกับเซิร์ฟเวอร์สั่งการใช้ EtherHiding ซึ่งเก็บที่อยู่ของเซิร์ฟเวอร์ไว้ในธุรกรรมบนบล็อกเชนแทนที่จะฝังไว้ในมัลแวร์ตรง ๆ นาย Jean-Pierre Mouton นักวิจัยของ GuidePoint Security อธิบายผลของกลไกนี้ว่า “โดยปกติมัลแวร์ ClickFix สามารถถูกทำให้ไร้ผลได้ด้วยการบล็อกเซิร์ฟเวอร์สั่งการของผู้โจมตี ซึ่งเป็นการตัดการสื่อสารกับเครื่องที่ติดเชื้อ” แต่ “แคมเปญนี้เลี่ยงการป้องกันนั้นด้วยการใช้บล็อกเชน Polygon เป็นสมุดที่อยู่ที่อัปเดตได้แบบไดนามิก” และเสริมว่า “เพราะมันเปิดให้ปรับรายละเอียดของเซิร์ฟเวอร์สั่งการได้ตามต้องการในระดับใหญ่ การบล็อกโดเมนหรือหมายเลขไอพีเพียงรายการเดียวจึงไม่ได้ตัดการเข้าถึงของผู้โจมตีอย่างถาวร ด้วยค่าธรรมเนียมเพียงเศษเสี้ยวของหนึ่งเซ็นต์ต่อธุรกรรม ผู้โจมตีสามารถเปลี่ยนเส้นทางเครื่องที่ติดเชื้อทุกเครื่องไปยังเซิร์ฟเวอร์ใหม่ได้โดยอัตโนมัติ”

ผลกระทบ

กลุ่มเป้าหมายที่ระบุไว้ในรายงานคือหน่วยงานภาครัฐ บริษัทเทคโนโลยี และโรงแรม ซึ่งสะท้อนว่าผู้โจมตีไม่ได้เลือกเป้าตามอุตสาหกรรมเพียงอย่างเดียว แต่เลือกตามสภาพแวดล้อมที่การมีเครื่องมือนักพัฒนาอยู่บนเครื่องเป็นเรื่องปกติหรืออย่างน้อยก็ไม่ผิดสังเกต ส่วนองค์กรฟินเทคในสหรัฐฯ ที่ถูกกล่าวถึงแสดงว่าเทคนิคนี้ไม่ได้จำกัดอยู่ในภูมิภาคใดภูมิภาคหนึ่ง

ผลกระทบที่ตรงที่สุดต่อทีมป้องกันคือการตรวจจับด้วยลายเซ็นและการอนุญาตตามลายมือชื่อของไฟล์ใช้ไม่ได้กับเทคนิคนี้ เพราะไฟล์ที่ถูกเรียกคือ node.exe ของแท้ พฤติกรรมที่ต้องจับจึงย้ายไปอยู่ที่บริบทของการรันแทน เช่น node.exe ที่รันบนเครื่องของผู้ใช้ที่ไม่ใช่นักพัฒนา node.exe ที่รันสคริปต์จากตำแหน่งชั่วคราว หรือ node.exe ที่สร้างโพรเซสลูกเป็น PowerShell

การใช้ EtherHiding เปลี่ยนสมการของการตอบสนองต่อเหตุการณ์อย่างมีนัยสำคัญ เพราะการบล็อกโดเมนหรือไอพีที่พบไม่ได้ตัดการเข้าถึงของผู้โจมตีอย่างถาวรอีกต่อไป การกักกันจึงต้องเน้นไปที่การตัดเครื่องที่ติดเชื้อออกจากเครือข่ายและการล้างกลไกฝังตัว มากกว่าการอาศัยรายการบล็อกที่ปลายทาง

ข้อจำกัดของข้อมูลชุดนี้ที่ควรระบุคือรายงานไม่ได้เปิดเผยชื่อองค์กรที่ตกเป็นเหยื่อ ไม่ได้ให้จำนวนเครื่องที่ติดเชื้อในแต่ละเหตุการณ์ และในเคสองค์กรฟินเทคก็ยังไม่มีหลักฐานว่าผู้โจมตีทำอะไรต่อหลังจากได้ฐานที่มั่นแล้ว การประเมินความเสียหายจึงยังทำได้เพียงบางส่วน

คำแนะนำ

ตรวจสอบว่ามี Node.js ติดตั้งอยู่บนเครื่องที่ไม่ควรมีหรือไม่ และพิจารณาจำกัดการติดตั้งรันไทม์ของนักพัฒนาให้อยู่เฉพาะกลุ่มผู้ใช้ที่ต้องใช้งานจริง ด้วยนโยบายควบคุมแอปพลิเคชันที่อิงตามผู้ใช้และกลุ่ม ไม่ใช่ตามลายมือชื่อของไฟล์เพียงอย่างเดียว

สร้างกฎเฝ้าระวังพฤติกรรมของ node.exe แทนการพึ่งลายเซ็น โดยเฝ้าดูการรันสคริปต์จากไดเรกทอรีชั่วคราวหรือโฟลเดอร์ของผู้ใช้ การสร้างโพรเซสลูกเป็น PowerShell หรือเครื่องมือบรรทัดคำสั่งของระบบ และการเชื่อมต่อขาออกจาก node.exe ไปยังปลายทางที่ไม่เกี่ยวกับงานพัฒนา

ตรวจสอบรายการใน Run key ของรีจิสทรีที่อ้างถึง node.exe หรือไฟล์สคริปต์ JavaScript ซึ่งเป็นกลไกฝังตัวที่รายงานระบุไว้โดยตรง

ตรวจสอบเว็บไซต์สาธารณะขององค์กรอย่างต่อเนื่องเพื่อหาการเปลี่ยนแปลงที่น่าสงสัยหรือสคริปต์ที่เป็นอันตราย เพราะแคมเปญลักษณะนี้ทำให้องค์กรกลายเป็นทั้งเหยื่อและช่องทางแพร่มัลแวร์ไปยังผู้เข้าชมของตนเอง

จำกัดส่วนขยายของเบราว์เซอร์ที่ไม่ได้รับอนุมัติ และจัดอบรมสร้างความตระหนักให้พนักงานรู้จักรูปแบบวิศวกรรมสังคมแบบ ClickFix โดยเน้นกฎง่าย ๆ ว่าไม่มีเว็บไซต์ที่ถูกต้องใดขอให้ผู้ใช้คัดลอกคำสั่งไปวางในหน้าต่าง Run หรือ Terminal เพื่อยืนยันว่าไม่ใช่บอต

แหล่งอ้างอิง