สรุปสั้น

บริษัท Kaspersky รายงานว่าองค์กรในรัสเซียได้กลายเป็นเป้าหมายของกลุ่มกิจกรรมภัยคุกคามสามกลุ่มที่ติดตามในชื่อ NightEagle, Hacking Cat และ Toy Ghouls ซึ่งใช้ทั้งแบ็กดอร์ แรนซัมแวร์ และมัลแวร์ล้างข้อมูล (wiper) กลุ่มแรก NightEagle (หรือ APT-Q-95) เป็นผู้ก่อภัยที่เคลื่อนไหวมาตั้งแต่อย่างน้อยปี 2566 ใช้เทคนิคใหม่ในการฝังตัวคงอยู่และเคลื่อนที่ในแนวขวาง โดยเจาะผ่าน VPN ขององค์กรด้วยข้อมูลประจำตัวที่ถูกขโมยมา แล้ววางแบ็กดอร์ GhostContainer บนเซิร์ฟเวอร์ Microsoft Exchange

กลุ่มที่สองคือ Hacking Cat กลุ่มแฮ็กทิวิสต์ที่หนุนยูเครน เดิมทำการเปลี่ยนหน้าเว็บ (defacement) และเจาะข้อมูล แต่ช่วงหลังเปลี่ยนมาใช้การเข้ารหัสและการทำลายล้าง ด้วย Gorilla RAT และแรนซัมแวร์ Monkey ที่บางรุ่นไม่เก็บกุญแจเข้ารหัสไว้จนกลายเป็น wiper เต็มตัว ส่วนกลุ่มที่สามคือ Toy Ghouls (หรือ Bearlyfy, Laboo.boo, Feral Wolf) กลุ่มที่หวังผลทางการเงิน ซึ่งขยับจากการใช้ตัวสร้างแรนซัมแวร์ที่รั่วของ Babuk และ LockBit มาสู่แรนซัมแวร์ GenieLocker ของตัวเอง และล่าสุดคือแบ็กดอร์ Bird Agent ที่สั่งการผ่านช่องทางแปลกใหม่อย่าง HiveMQ MQTT และ Element ที่ใช้โปรโตคอล Matrix

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 16 กันยายน 2569 ว่า บริษัท Kaspersky ระบุในบทวิเคราะห์ว่า NightEagle ใช้ข้อมูลประจำตัวที่ถูกต้องซึ่งถูกขโมยมาเพื่อเข้าถึง VPN ขององค์กร โดยการเชื่อมต่อ VPN มาจากที่อยู่ IP ในเขตของรัสเซียที่โยงกับอุโมงค์ Cloudflare WARP รวมถึงจากผู้ให้บริการโครงสร้างพื้นฐานเสมือนในยุโรป จากนั้นวางแบ็กดอร์แบบโมดูลาร์ GhostContainer ที่ให้ผู้ควบคุมเข้าถึงเซิร์ฟเวอร์ Microsoft Exchange ของเหยื่อได้อย่างสมบูรณ์ ทั้งรันโค้ดตามอำเภอใจ จัดการไฟล์ และโหลดโมดูลเพิ่ม โดยมัลแวร์จะปลอมตัวเป็นส่วนประกอบของเซิร์ฟเวอร์ทั่วไปเพื่อกลมกลืนกับการทำงานปกติ และยังทำหน้าที่เป็นตัวเปลี่ยนเส้นทางทราฟฟิกหรืออุโมงค์ได้ด้วย

Kaspersky อธิบายว่า GhostContainer ประกอบร่างจากหลายโครงการโอเพนซอร์ส ทั้งอุโมงค์ Neo-reGeorg, โค้ดโจมตีช่องโหว่ CVE-2020-0688 และคลาส GhostWebShell จากเครื่องมือ ysoserial ซึ่งล้วนหาได้จาก GitHub วิธีส่งมัลแวร์ขึ้นเซิร์ฟเวอร์ Exchange ที่แน่ชัดยังไม่ทราบ แต่เชื่อว่าเกี่ยวข้องกับการดึงกุญแจเข้ารหัสของเซิร์ฟเวอร์จากไฟล์คอนฟิก ASP.NET แล้วเขียนทับพารามิเตอร์ VIEWSTATE เพื่อ inject เพย์โหลดให้แบ็กดอร์ทำงานในหน่วยความจำ ในการเคลื่อนที่แนวขวาง NightEagle ดาวน์โหลดเครื่องมือทำอุโมงค์เพื่อเปลี่ยนเส้นทางทราฟฟิกผ่าน RDP ด้วย Microsoft dev tunnels และโปรแกรมโอเพนซอร์สชื่อ rdp2tcp พร้อมเจาะช่องโหว่ใน Active Directory หลายรายการ รวมถึง CVE-2019-0708 (BlueKeep) เพื่อสร้างบัญชีในเครื่องและเพิ่มเข้ากลุ่มผู้ดูแลระบบ และพยายามปลอมเป็นโดเมนคอนโทรลเลอร์ด้วยการโจมตีแบบ DCSync โดยมีเป้าหมายสุดท้ายคือยึด Active Directory ทั้งระบบและได้แฮชรหัสผ่านของบัญชีโดเมน

วิธีการโจมตี

กลุ่มที่สอง Hacking Cat เป็นกลุ่มแฮ็กทิวิสต์หนุนยูเครนที่เคลื่อนไหวมาตั้งแต่กุมภาพันธ์ 2567 แต่ระยะหลังหันมาใช้การเข้ารหัสและการทำลายล้าง โดยใช้ช่องโหว่ในเซิร์ฟเวอร์ Exchange (เช่น CVE-2021-26855 และ CVE-2026-42897) ปล่อยโทรจันควบคุมระยะไกลที่เขียนด้วยภาษา Go ชื่อ Gorilla RAT ซึ่งทำอุโมงค์ทราฟฟิกเข้าเครือข่ายภายในของเหยื่อได้ นอกจากนี้ยังปล่อยแรนซัมแวร์ตระกูล Monkey หลายสายพันธุ์ที่เขียนด้วย Rust, .NET, C++ และ Golang เพื่อเล่นงานทั้ง Windows, Linux และ VMware ESXi โดยรุ่นที่เขียนด้วย Rust จะสร้างกุญแจขนาด 32 ไบต์และเข้ารหัสไฟล์ด้วย ChaCha20-Poly1305 ที่น่ากังวลคือบางรุ่นไม่เก็บกุญแจไว้ที่ใดเลย ทำให้กลายเป็น wiper เต็มตัวทั้งที่ยังทิ้งข้อความเรียกค่าไถ่ไว้ ส่วนรุ่น C++ สามารถฝังตัวผ่าน scheduled task หรือคีย์ RunOnce ล้างล็อก ปิดการบันทึก ข้าม AMSI ปิด ETW ตั้งค่ายกเว้นใน Microsoft Defender และปิด Volume Shadow Copy Service ขณะที่รุ่น Golang ที่เน้นเล่นงาน Linux และ ESXi ฝังตัวผ่าน crontab และปิด SELinux กับ AppArmor

Kaspersky ยังพบว่า Hacking Cat ร่วมมือกับกลุ่มอื่น ทั้ง Cyber Anarchy Squad ในการปล่อยแรนซัมแวร์ ClearWater ที่กระจายในรูปแบบ ransomware-as-a-service และ Ukrainian Cyber Alliance ในการวางมัลแวร์ล้างข้อมูล Nemo Wiper ที่เขียนทับไฟล์ด้วยข้อมูลสุ่มและเติมพื้นที่ว่างในดิสก์จนเต็ม Kaspersky ตั้งข้อสังเกตว่าหลายกลุ่มใช้เครื่องมือที่เขียนขึ้นเองชุดเดียวกัน อาจบ่งชี้ว่ามีแหล่งพัฒนาร่วม อย่างไรก็ตาม หลังรายงานเผยแพร่ Hacking Cat ได้โพสต์บนช่อง Telegram ของตนว่า “เครื่องมือบางชิ้นเป็นของเราจริง แต่ตัวล็อกไฟล์ไม่ใช่ของเราแน่นอน” และกล่าวหาว่า Kaspersky นำเครื่องมือของกลุ่มที่ไม่เกี่ยวข้องมาปนกับพวกตน

กลุ่มที่สาม Toy Ghouls เป็นกลุ่มที่หวังผลทางการเงินซึ่งเคลื่อนไหวมาตั้งแต่ปี 2568 ล่าสุดใช้แบ็กดอร์ Bird Agent ที่ตรวจพบครั้งแรกเมื่อกรกฎาคม 2569 ใน 2 สายพันธุ์ คือ mqtt-bird-agent 0.1.0 ที่ใช้ HiveMQ MQTT broker เป็นช่องทางสั่งการ และ matrix-bird-agent 0.1.0 ที่ใช้ Element แอปส่งข้อความเข้ารหัสต้นทางถึงปลายทางบนโปรโตคอล Matrix กลุ่มนี้ใช้ Windows Remote Management (WinRM) ส่งแบ็กดอร์และไฟล์คอนฟิกไปยังเครื่องที่ถูกเจาะ ผ่านเครื่องมือโอเพนซอร์สอย่าง Evil-WinRM และ WinRM-fs โดยแบ็กดอร์จะอ่านไฟล์คอนฟิก config.toml ที่เข้ารหัสบางส่วนด้วยกุญแจที่ได้จากค่า MachineGuid ของเครื่องเหยื่อ ทำให้คอนฟิกผูกกับเครื่องนั้นโดยเฉพาะ และจะหยุดทำงานหากถอดรหัสคอนฟิกไม่ได้ในการรันครั้งถัดไป จากนั้นจะรับคำสั่งจากเซิร์ฟเวอร์ควบคุมและรันผ่าน PowerShell ในโหมดซ่อน

ผลกระทบ

แม้เป้าหมายในรายงานนี้จะเป็นองค์กรในรัสเซีย แต่เทคนิคที่ทั้งสามกลุ่มใช้ล้วนเป็นภัยที่องค์กรทั่วโลกเผชิญได้ โดยเฉพาะการเจาะเซิร์ฟเวอร์ Microsoft Exchange ที่เปิดสู่อินเทอร์เน็ต การใช้ข้อมูลประจำตัวที่ถูกขโมยเข้าถึง VPN และการเจาะ Active Directory ด้วยช่องโหว่เก่าอย่าง BlueKeep และ ProxyLogon ที่ยังไม่ได้แพตช์ การที่ NightEagle ใช้ GhostContainer ซึ่งเคยเล่นงานหน่วยงานรัฐและบริษัทเทคโนโลยีในเอเชียมาก่อน สะท้อนว่าชุดเครื่องมือเหล่านี้เคลื่อนย้ายเป้าหมายได้ และการเปลี่ยนของกลุ่มแฮ็กทิวิสต์จากการป่วนเว็บมาสู่การเข้ารหัสและ wiper ยิ่งเพิ่มความเสี่ยงต่อความเสียหายถาวรของข้อมูล

จุดที่ผู้ดูแลระบบต้องให้ความสำคัญคือ แรนซัมแวร์ Monkey บางรุ่นทำงานเหมือน wiper คือเข้ารหัสโดยไม่เก็บกุญแจ ทำให้แม้จ่ายค่าไถ่ก็กู้ข้อมูลคืนไม่ได้ ประกอบกับความสามารถในการปิดกลไกสำรองข้อมูลและการกู้คืนอย่าง Volume Shadow Copy ทำให้การมีข้อมูลสำรองที่แยกออกจากระบบและทดสอบกู้คืนได้จริงกลายเป็นแนวป้องกันสุดท้ายที่สำคัญที่สุด

คำแนะนำ

องค์กรควรเร่งแพตช์เซิร์ฟเวอร์ Microsoft Exchange และระบบที่เปิดสู่อินเทอร์เน็ตให้เป็นปัจจุบัน โดยเฉพาะการอุดช่องโหว่เก่าที่ยังถูกใช้อยู่อย่าง CVE-2020-0688, CVE-2021-26855 (ProxyLogon) และ CVE-2019-0708 (BlueKeep) พร้อมบังคับใช้การยืนยันตัวตนหลายปัจจัยที่ต้านฟิชชิงได้กับการเข้าถึง VPN และบัญชีสำคัญ เพื่อลดผลของข้อมูลประจำตัวที่ถูกขโมย ควรเฝ้าระวังพฤติกรรมผิดปกติใน Active Directory เช่น การสร้างบัญชีผู้ดูแลใหม่ การทำ DCSync และการเชื่อมต่อ RDP ผ่านอุโมงค์ที่ไม่คุ้นเคย

ในด้านการตรวจจับ ควรเฝ้าระวังการใช้เครื่องมือดูแลระบบในทางที่ผิด เช่น WinRM, Evil-WinRM, Microsoft dev tunnels และการเชื่อมต่อออกไปยังช่องทางสั่งการที่ไม่ปกติอย่าง MQTT broker หรือเซิร์ฟเวอร์ Matrix รวมถึงการแก้ไขคอนฟิกที่ปิด Microsoft Defender, ETW และ AMSI ซึ่งเป็นสัญญาณก่อนการเข้ารหัส ที่สำคัญคือต้องมีข้อมูลสำรองที่แยกออกจากเครือข่ายหลัก (offline/immutable backup) และทดสอบการกู้คืนอย่างสม่ำเสมอ เพื่อรับมือกรณีที่แรนซัมแวร์ทำงานแบบ wiper

แหล่งอ้างอิง