สรุปสั้น

บริษัท Proofpoint รายงานว่ามีกลุ่มจารกรรมทางไซเบอร์หลายกลุ่มใช้ชุดเครื่องมือเจาะช่องโหว่ (exploit kit) ตัวใหม่ที่ถูกตั้งชื่อว่า BlueMoon ในการโจมตีที่ดูฉวยโอกาสและเร่งรีบ โดยกลุ่ม APT ที่โยงกับจีนอย่าง Violet Typhoon (หรือที่รู้จักในชื่อ APT31, JungleBamboo, TA412 และ Tide Castle) เป็นกลุ่มแรกที่นำมาใช้เมื่อวันที่ 28 สิงหาคม และภายในไม่กี่วันก็มีกลุ่มภัยคุกคามจีนอีกหลายกลุ่มเริ่มใช้ตาม แม้กิจกรรมนี้อาจไม่ได้จำกัดอยู่เฉพาะกลุ่มที่ฝักใฝ่จีนก็ตาม สิ่งที่ทำให้ BlueMoon ถูกรับไปใช้อย่างรวดเร็วคือการที่มันร้อยช่องโหว่สามรายการที่ยังไม่มีแพตช์ในตอนที่ปรากฏตัวครั้งแรกเข้าด้วยกัน ได้แก่ zero-day สองตัวใน Chrome และอีกหนึ่งตัวใน Windows

Proofpoint ระบุว่ายังไม่ทราบว่ากลุ่มภัยคุกคามหลายกลุ่มที่แยกจากกันเข้าถึงชุดเครื่องมือนี้ได้อย่างไร และด้วยความง่ายในการนำไปใช้ มีแนวโน้มสูงที่มันจะแพร่กระจายต่อไปและถูกนำไปใช้โดยทั้งกลุ่มที่มีแรงจูงใจด้านจารกรรมและด้านการเงิน นักวิจัยยังพบว่าสิ่งประดิษฐ์ระหว่างการพัฒนา (development artifacts) ที่กู้คืนมาได้บ่งชี้ว่าผู้สร้างชุดเครื่องมือนี้อาจใช้ AI ช่วยสร้าง แม้จะไม่มีหลักฐานชิ้นใดยืนยันได้อย่างเด็ดขาดก็ตาม

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 12 กันยายน 2569 ว่า บริษัท Proofpoint เปิดเผยการค้นพบชุดเครื่องมือเจาะช่องโหว่ BlueMoon ที่ถูกใช้โดยกลุ่มจารกรรมหลายกลุ่ม โดย Violet Typhoon นำ BlueMoon มาใช้ครั้งแรกในการโจมตีองค์กรพัฒนาเอกชน (NGO) ในสหรัฐ ตลอดจนกิจการเหมืองแร่และบริษัทค้าสินค้าโภคภัณฑ์ทางกายภาพ

ต่อมาตั้งแต่วันที่ 2 กันยายน กลุ่มจารกรรมที่โยงจีนกลุ่มที่สองซึ่งถูกติดตามในชื่อ UNK_LateNight ได้ใช้ BlueMoon โจมตีบริษัทด้านอากาศยานหลายแห่งในสหรัฐ และกลุ่มที่ถูกติดตามในชื่อ UNK_DoubleCheck พุ่งเป้าไปที่องค์กรภาคการผลิตแห่งหนึ่งในเวียดนาม จากนั้นในวันถัดมา กลุ่มจารกรรมจีนที่ชื่อ UNK_QuietRacket เริ่มใช้ BlueMoon ในการโจมตีหน่วยงานภาครัฐ บริษัทที่ปรึกษา และองค์กรด้านการเงินในอินโดนีเซียและสิงคโปร์

Proofpoint ระบุว่า BlueMoon ถูกพัฒนา นำไปใช้อย่างรวดเร็ว และแบ่งปันข้ามกลุ่มภัยคุกคามหลายกลุ่มภายในเวลาไม่กี่วัน ในลักษณะที่ทิ้งสัญญาณให้ตรวจจับได้สูง ซึ่งอาจสะท้อนว่าต้นทุนและกำแพงในการเข้าถึงขีดความสามารถระดับนี้ลดลง เนื่องจากเอเจนต์ AI ช่วยให้ผู้ก่อภัยคุกคามพัฒนา exploit ได้ง่ายขึ้นเรื่อย ๆ

รายละเอียดช่องโหว่

BlueMoon ร้อยช่องโหว่สามรายการเข้าด้วยกัน โดยช่องโหว่ Chrome สองตัวถูกติดตามในรหัส CVE-2026-85046 และ CVE-2026-87491 ซึ่งได้รับการแก้ไขในฐานะ zero-day เมื่อวันที่ 3 กันยายนและ 8 กันยายนตามลำดับ ทั้งคู่กระทบเอนจิน V8 ที่ประมวลผล JavaScript และ WebAssembly ส่วนช่องโหว่ zero-day ของ Windows ถูกติดตามในรหัส CVE-2026-85880 ซึ่งได้รับการแก้ไขใน Patch Tuesday ของเดือนกันยายน 2569 เป็นช่องโหว่ยกระดับสิทธิ์ในกลไก Advanced Local Procedure Call (ALPC) ของ Windows

ลำดับการทำงานของ BlueMoon คือ ใช้ช่องโหว่ V8 เพื่อหลุดออกจาก sandbox ของเบราว์เซอร์ก่อน จากนั้นเก็บ fingerprint ของเครื่องเป้าหมายและรันโค้ดยกระดับสิทธิ์ ต่อมาจึง inject CreateProcess stub เข้าไปในโพรเซส broker ของ Chrome ที่เป็น parent เพื่อดาวน์โหลดไฟล์ปฏิบัติการผ่านคำสั่ง curl แล้วสั่งรัน Proofpoint พบว่ามี BlueMoon หลายรูปแบบการแพ็กเกจ แต่ทั้งหมดใช้ห่วงโซ่ช่องโหว่พื้นฐานเดียวกันและกลไกการจัดวาง (orchestration) กับการโหลดที่เหมือนกัน

ผลกระทบ

จุดที่น่ากังวลที่สุดของ BlueMoon ไม่ใช่ความซับซ้อนของช่องโหว่ แต่เป็นความเร็วในการแพร่กระจาย การที่ชุดเครื่องมือถูกพัฒนา นำไปใช้ และส่งต่อข้ามกลุ่มภัยคุกคามหลายกลุ่มภายในไม่กี่วัน สะท้อนว่ากำแพงในการสร้าง exploit chain ระดับ zero-day กำลังลดต่ำลง โดยเฉพาะเมื่อมีการนำ AI มาช่วยพัฒนา ทำให้ช่วงเวลาระหว่างการเปิดเผยช่องโหว่กับการถูกใช้โจมตีจริงหดสั้นลงมาก

สำหรับภูมิภาคอาเซียน ข่าวนี้มีนัยโดยตรง เพราะเป้าหมายที่ถูกโจมตีจริงรวมถึงองค์กรภาคการผลิตในเวียดนาม และหน่วยงานภาครัฐ บริษัทที่ปรึกษา กับองค์กรการเงินในอินโดนีเซียและสิงคโปร์ ซึ่งเป็นประเทศเพื่อนบ้านที่มีโปรไฟล์เป้าหมายใกล้เคียงกับหน่วยงานภาครัฐและสถาบันการเงินของไทย เมื่อกลุ่มจารกรรมจีนหลายกลุ่มเล็งเป้าไปที่ภาครัฐและการเงินในเอเชียตะวันออกเฉียงใต้พร้อมกันด้วยเครื่องมือเดียวกัน หน่วยงานไทยที่มีลักษณะเดียวกันจึงควรถือว่าตนเองอยู่ในกลุ่มเสี่ยงด้วย

คำแนะนำ

ผู้ดูแลระบบควรเร่งอัปเดต Chrome ให้เป็นเวอร์ชันที่แก้ CVE-2026-85046 และ CVE-2026-87491 แล้ว (แพตช์ 3 และ 8 กันยายน) และติดตั้งแพตช์ Windows จาก Patch Tuesday กันยายน 2569 ที่แก้ CVE-2026-85880 โดยด่วน เนื่องจากห่วงโซ่การโจมตีต้องอาศัยทั้งสามช่องโหว่ การอุดช่องใดช่องหนึ่งก็ช่วยตัดห่วงโซ่ได้

ทีมความมั่นคงควรเฝ้าระวังพฤติกรรมที่ BlueMoon ทิ้งไว้ เช่น การที่โพรเซส broker ของ Chrome เรียกดาวน์โหลดไฟล์ผ่าน curl หรือการสร้างโพรเซสลูกที่ผิดปกติจากเบราว์เซอร์ เนื่องจาก Proofpoint ระบุว่าชุดเครื่องมือนี้ทิ้งสัญญาณตรวจจับได้สูง หน่วยงานภาครัฐและสถาบันการเงินโดยเฉพาะในภูมิภาคอาเซียนควรทบทวนมาตรการตรวจจับการโจมตีผ่านเบราว์เซอร์ และเตรียมรับมือการแพร่กระจายของ BlueMoon ที่มีแนวโน้มขยายวงต่อไป

แหล่งอ้างอิง