สรุปสั้น
บริษัท Anthropic เปิดเผยเมื่อวันพฤหัสบดีว่าได้สกัดปฏิบัติการของกลุ่มภัยคุกคามที่รัฐรัสเซียหนุนหลัง ซึ่งนำ Claude ไปใช้พัฒนาเวิร์กโฟลว์ที่อาศัย AI เพื่อชิงความได้เปรียบเหนือการตรวจจับ ปฏิบัติการนี้ถูกระบุว่าเป็นของกลุ่มจารกรรมไซเบอร์ที่บริษัทเรียกว่า GTG-20006 (โดย GTG ย่อมาจาก Generative Threat Group) ซึ่งสอดคล้องกับรายงานในวงกว้างที่เชื่อมโยงกลุ่มนี้เข้ากับ Midnight Blizzard หรือที่รู้จักในชื่อ APT29 และ Cozy Bear จุดที่น่ากังวลคือกลุ่มนี้พัฒนากระบวนการที่ขับเคลื่อนด้วย AI ให้รื้อสร้างและปล่อยชุดเครื่องมือของตนขึ้นใหม่โดยอัตโนมัติทันทีที่ถูกผลิตภัณฑ์ความมั่นคงตรวจจับ ทำให้การตรวจจับแบบสถิต (static detection) ของฝ่ายป้องกันใช้บล็อกไฟล์เหล่านั้นได้ยากขึ้น
การโจมตีของ GTG-20006 พุ่งเป้าที่หน่วยงานข่าวกรองทางทหาร รัฐบาลในยูเครนและยุโรป ตลอดจนองค์กรด้านการทูตและกลาโหม รวมถึงบุคคลที่เกี่ยวข้องกับนโยบายต่างประเทศของสหรัฐฯ โดยมีองค์กรมากกว่า 20 แห่งถูกเล็งเป้าในช่วงการสอดแนมและปฏิบัติการจริง กระจายไปถึงตะวันออกกลางและหน่วยงานรัฐด้านทางทะเลในเอเชียด้วย Anthropic ย้ำว่าผลลัพธ์ของแนวทางนี้คือ AI ได้พลิกภาระต้นทุนกลับมาที่ฝ่ายป้องกัน จากเดิมที่การออกกฎตรวจจับใหม่เคยชะลอจังหวะการทำงานของผู้โจมตีได้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 11 กันยายน 2569 ว่า บริษัท Anthropic เปิดเผยเมื่อวันพฤหัสบดีที่ผ่านมาว่าได้สกัดแคมเปญของกลุ่มภัยคุกคามที่รัฐรัสเซียหนุนหลัง ซึ่งนำ Claude ไปพัฒนาเวิร์กโฟลว์ AI เพื่อชิงความได้เปรียบเหนือการตรวจจับ ปฏิบัติการนี้ถูกระบุว่าเป็นของกลุ่มที่บริษัทเรียกว่า GTG-20006 และเชื่อมโยงกับ Midnight Blizzard หรือ APT29
Anthropic ระบุว่ากลุ่มนี้พัฒนากระบวนการที่ขับเคลื่อนด้วย AI ให้รื้อสร้างและปล่อยชุดเครื่องมือขึ้นใหม่โดยอัตโนมัติเมื่อถูกตรวจจับ “ผู้โจมตียังใช้ AI คอยติดตามว่าเครื่องมือของตนหลบเลี่ยงการตรวจจับจากแนวป้องกันความมั่นคงที่รู้จักได้ดีเพียงใด” บริษัทอธิบาย “หากเอเจนต์ AI ที่คอยเฝ้าดูพบว่ามัลแวร์ที่ปล่อยไปถูกผลิตภัณฑ์ความมั่นคงตรวจจับ เอเจนต์ก็จะเริ่มกระบวนการดัดแปลงและสร้างมัลแวร์ขึ้นใหม่เองเพื่อหลบเลี่ยงการตรวจจับที่มีอยู่” เมื่อไฟล์สามารถผ่านการตรวจจับได้แล้ว ก็จะถูกนำไปวางบนเซิร์ฟเวอร์โฮสต์แบบใช้แล้วทิ้ง ซึ่งเหยื่อจะถูกเปลี่ยนเส้นทางมาดึงมัลแวร์ผ่านการฟิชชิง เทคนิค ClickFix และการปลอมแปลงระบบชื่อโดเมน (DNS hijacking)
วิธีการโจมตี
ชุดเครื่องมือของ GTG-20006 ประกอบด้วยหลายส่วน ทั้งอิมแพลนต์บนวินโดวส์สองตัว ชุดเจาะอุปกรณ์มือถือ เครื่องมือขโมยรหัสผ่านที่เล็งคลังรหัสผ่านในเบราว์เซอร์ แพลตฟอร์มฟิชชิงที่ออกแบบให้เลียนแบบเป้าหมายลำดับต้น ๆ อย่างหน่วยงานรัฐบาล และคอนโซลผู้ดูแลระบบสำหรับจัดการบัญชีที่ถูกยึด นอกจากใช้ AI ดัดแปลงมัลแวร์แล้ว กลุ่มนี้ยังใช้เวิร์กโฟลว์ AI ในการจดทะเบียนโดเมน ตั้งค่าโครงสร้างพื้นฐานสำหรับส่งอีเมลฟิชชิง ส่งข้อความ และเฝ้าดูช่องทางสั่งการและควบคุม (C2) เพื่อดูว่าเจาะสำเร็จหรือไม่
ปฏิบัติการนี้ยังทับซ้อนกับแคมเปญที่ชื่อ CaptiveCrunch ซึ่ง ReliaQuest, Microsoft, Google และ Lumen Black Lotus Labs รายงานไว้ในเดือนกรกฎาคมและสิงหาคม 2569 โดย Anthropic ระบุว่ากลุ่มได้เจาะผู้ให้บริการ Wi-Fi ในโรงแรมอย่างน้อยสามราย แล้วใช้บัญชีผู้ดูแลที่ยึดมาแก้ไขระเบียน DNS ให้ชี้ไปยังบริการของผู้โจมตี ทำให้แขกของโรงแรมที่เชื่อมต่อ Wi-Fi ถูกส่งทราฟฟิก ตัวระบุอุปกรณ์ และที่อยู่ IP ไปยังเซิร์ฟเวอร์ของกลุ่ม จากนั้นเหยื่อจะถูกล่อด้วย ClickFix เพื่อส่งมัลแวร์ที่ปรับให้ตรงกับอุปกรณ์ ทั้งบนวินโดวส์ (PowerChrome, WUEngine, Shadow C2, MiniPlasma, CloudSyncSvc) แอนดรอยด์ (GiftDrop ซึ่งเป็น RAT สอดแนมที่รีแบรนด์จาก GiftsExpress) และ iOS (DarkSword)
ยิ่งไปกว่านั้น กลุ่มยังนำข้อมูลที่ขโมยจากระบบบริหารจัดการโรงแรมและอุปกรณ์ของแขกไปใช้ระบุเป้าหมายเพิ่มเติม โดยเฉพาะบุคคลที่เกี่ยวข้องกับยูเครน เช่น เจ้าหน้าที่รัฐและผู้ผลิตโดรน มีการยึดบัญชี WhatsApp ของเหยื่อด้วยการใช้เบราว์เซอร์แบบไร้หน้าจอ (headless browser) เชื่อมบัญชีเป็นอุปกรณ์คู่ แล้วส่งออกบทสนทนาภาษารัสเซียและยูเครนจำนวนมากพร้อมกดไม่ให้ขึ้นสถานะอ่านแล้ว รวมถึงพบช่องโหว่ด้านสิทธิ์ในบริการสตรีมกล้องวงจรปิด ทำให้ไล่รายชื่อผู้ใช้และเก็บโทเคนเพื่อเข้าถึงภาพสดจากกล้องของเหยื่อได้ นอกจากนี้ GTG-20006 ยังถูกเชื่อมโยงกับการเจาะหน่วยงานเทคโนโลยีของรัฐบาลในแอฟริกาเหนือ โดยใช้ข้อมูลเข้าถึงอุปกรณ์ VPN ยึดเซิร์ฟเวอร์บัญชีกลางและดึงฐานข้อมูลรหัสผ่านทั้งชุดออกไป ซึ่งมีทั้งบันทึกตัวตนประชาชนกว่า 300,000 รายการและข้อมูลทะเบียนพาณิชย์ของบริษัทกว่าครึ่งล้านแห่ง อีกทั้งยังพัฒนาแพลตฟอร์มจารกรรมอีเมลบนคลาวด์ชื่อ Embassy Kit ที่ใช้เทคนิคฟิชชิงด้วยรหัสอุปกรณ์ (device code phishing) ขโมยโทเคน Microsoft 365 จนเข้าถึงและดึงบันทึกอีเมลจากองค์กรอย่างน้อยแปดแห่ง
ผลกระทบ
มีองค์กรมากกว่า 20 แห่งถูกเล็งเป้าตลอดช่วงการสอดแนมและปฏิบัติการจริง ทั้งกระทรวงของรัฐบาล หน่วยงานกลาโหมและข่าวกรอง สถานทูตและคณะผู้แทนทางการทูต สถาบันคลังสมอง และบริษัทในอุตสาหกรรมป้องกันประเทศ ส่วนใหญ่อยู่ในยูเครนและยุโรป แต่ขยายไปถึงตะวันออกกลางและหน่วยงานรัฐที่เกี่ยวกับกิจการทางทะเลในเอเชียด้วย ประเด็นที่ Anthropic เน้นย้ำคือ การนำ AI มาใช้ได้พลิกภาระต้นทุนกลับไปที่ฝ่ายป้องกัน เพราะเดิมทีการออกกฎตรวจจับใหม่เคยพอจะชะลอจังหวะการทำงานของผู้โจมตีได้ แต่เมื่อผู้โจมตีสามารถให้ AI รื้อสร้างมัลแวร์ขึ้นใหม่ให้หลบกฎนั้นได้ทันที ข้อได้เปรียบดังกล่าวก็หายไป ทั้งนี้การเชื่อมโยง GTG-20006 กับ APT29 เป็นการระบุที่ “สอดคล้องกับรายงานในวงกว้าง” และเนื้อหาที่เผยแพร่ยังไม่ได้ให้รายการตัวบ่งชี้การถูกบุกรุก (IoC) ไว้ในตอนนี้
คำแนะนำ
ผู้ดูแลระบบควรให้ความสำคัญกับการรับมือเทคนิค ClickFix ด้วยการอบรมผู้ใช้ไม่ให้คัดลอกและรันคำสั่งที่หน้าเว็บสั่งให้วางลงในหน้าต่าง Run หรือเทอร์มินัล ควรบังคับใช้การยืนยันตัวตนหลายชั้นชนิดต้านฟิชชิงเพื่อลดผลของการขโมยโทเคน และตั้งการเฝ้าระวังการเปลี่ยนแปลงระเบียน DNS บนโครงสร้างพื้นฐานของผู้ให้บริการภายนอก เช่น ผู้ให้บริการ Wi-Fi โรงแรม สำหรับความเสี่ยงจากการฟิชชิงด้วยรหัสอุปกรณ์ ควรจำกัดหรือเฝ้าระวังการอนุมัติ device code บนบัญชี Microsoft 365 นอกจากนี้องค์กรที่ใช้บริการสตรีมกล้องวงจรปิดควรทบทวนกลไกการยืนยันตัวตนและสิทธิ์ในการเข้าถึงภาพสด และหมั่นตรวจสอบอุปกรณ์ VPN ที่เปิดสู่ภายนอกว่าไม่มีข้อมูลเข้าถึงที่รั่วไหลหรือบัญชีผู้ดูแลที่ผิดปกติ