สรุปสั้น

กลุ่มภัยคุกคามเกาหลีเหนือที่รู้จักในชื่อ Jade Sleet ถูกระบุว่าอยู่เบื้องหลังการเจาะองค์กร “ขนาดเล็กกว่ามาก” ที่ตั้งอยู่ในอินเดียในอุตสาหกรรมบริการไอที ตอกย้ำอีกครั้งว่ากลุ่มนี้ยังคงมุ่งเป้าไปที่นักพัฒนาเพื่อเจาะเข้าเครือข่ายเป้าหมาย โดยบริษัท SentinelOne ที่เปิดเผยรายละเอียดระบุว่าการโจมตีใช้แบ็กดอร์บนระบบ Apple macOS สองตัวที่ชื่อ FLATROOF (หรือ Gaslight) และ ROOFDECK ซึ่งเคยพบมาก่อนในการโจมตีสะพานข้ามเชน LayerZero ของ KelpDAO ช่วงเดือนมีนาคมถึงเมษายน 2569

Jade Sleet ซึ่งยังถูกติดตามในชื่อ PUKCHONG, Slow Pisces, TraderTraitor และ UNC4899 มีประวัติมุ่งเป้าภาค Web3 เพื่อขโมยคริปโทเคอร์เรนซี ในต้นปี 2025 กลุ่มนี้ถูกเชื่อมโยงกับการขโมยเงินราว 1.5 พันล้านดอลลาร์จากคลังกระเป๋าเย็นของ Bybit หลังจากการโจมตีซัพพลายเชนสภาพแวดล้อมนักพัฒนาของ Safe{Wallet} แคมเปญล่าสุดใช้วิศวกรรมสังคมด้วยอุบายหลอกสัมภาษณ์งาน ซึ่งเป็นกลยุทธ์ที่กลุ่มเกาหลีเหนือหลายกลุ่มนิยมใช้ มุ่งเป้าผู้หางานในสาย DevOps คริปโท และเทคโนโลยีทางการเงิน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 กันยายน 2569 ว่า กลุ่ม Jade Sleet ถูกระบุว่าอยู่เบื้องหลังการเจาะผู้ให้บริการไอทีในอินเดีย โดยอ้างอิงผลวิเคราะห์ของบริษัท SentinelOne

นักวิจัยด้านความปลอดภัย Albert Priego, Alex Delamotte และ Matej Havranek ระบุว่า ธีมของ repository บน GitHub ที่ใช้เป็นตัวล่อโครงการเขียนโค้ดถูกออกแบบให้ดูเหมือนโครงการวิศวกรรมโครงสร้างพื้นฐานที่เกี่ยวข้องกับบริษัทที่ผู้กระทำจากเกาหลีเหนือแอบอ้างตัวเป็น โดยตัวอย่าง repository ที่พบ ได้แก่ gtn-candidate-repo (ใช้ในเหตุการณ์ KelpDAO), Northwind-IAC, novacart-interview และ terraform-candidate-repo

repository เหล่านี้มีไฟล์ dependency lock ของ Terraform (".terraform.lock.hcl") ที่ถูกดัดแปลงให้ชี้ไปยังโดเมนอันตราย (เช่น “registry.hashicorp-aws[.]com”) ทำให้แพลตฟอร์มดาวน์โหลดโมดูลที่ผู้โจมตีควบคุมเมื่อนักพัฒนาที่ไม่ทันระวังรันคำสั่ง “terraform init”

SentinelOne ระบุว่าการล่าหาแบ็กดอร์ทั้งสองตัวนำไปสู่การพบเหยื่ออีกรายที่ไม่เกี่ยวข้องกัน นั่นคือผู้ให้บริการไอทีในอินเดียที่ถูกเจาะผ่าน MacBook ชิป Apple Silicon ของวิศวกร DevOps คนหนึ่ง โดยตรวจพบแบ็กดอร์บนเครื่องตั้งแต่วันที่ 18 มีนาคม 2569 แม้จะยังไม่ทราบกลไกการส่งมัลแวร์ที่แน่ชัด มัลแวร์ยังคงอยู่เฉย ๆ จนถึงวันที่ 29 มีนาคม จึงเริ่มมีการติดต่อกลับเซิร์ฟเวอร์ควบคุมและกิจกรรมบนเครื่อง โดยถูกเรียกใช้งานครั้งแรกโดย Cursor ไม่กี่วินาทีหลังจากเปิด workspace ชื่อ cloudshield

วิธีการโจมตี

ห่วงโซ่การโจมตีจบลงด้วยการติดตั้งมัลแวร์ตระกูล Rust สองตัวที่มุ่งเป้าระบบ macOS บนสถาปัตยกรรม ARM ตัวแรกคือ FLATROOF แบ็กดอร์ที่ใช้ Telegram เป็นช่องทางสั่งการและควบคุม (C2) สามารถรันคำสั่ง อัปโหลดและดาวน์โหลดไฟล์ และขโมยข้อมูลผ่านโมดูล Python ที่เก็บข้อมูลเบราว์เซอร์ Chrome, Brave, Firefox และ Safari, ประวัติคำสั่งใน Terminal, รายการแอปพลิเคชันที่ติดตั้ง, โปรไฟล์ฮาร์ดแวร์และซอฟต์แวร์ของระบบ, ภาพรวมของโปรเซสที่กำลังทำงาน และสำเนาของ login.keychain-db

ตัวที่สองคือ ROOFDECK แบ็กดอร์ที่ใช้โปรโตคอล Nostr เพื่อการสั่งการแบบกระจายศูนย์ สามารถสำรวจระบบ จัดการไฟล์ เข้าถึงเชลล์ระยะไกล เคลื่อนที่ด้านข้าง (lateral movement) และสร้างความคงอยู่ผ่าน Launch Agents โดยคำสั่งของ ROOFDECK จะถูกลงนามด้วยคีย์ส่วนตัวของผู้ควบคุม และตรวจสอบความถูกต้องด้วยคีย์สาธารณะที่ฝังไว้ก่อนรัน อีกทั้งยังเขียนคำสั่งเชลล์ทั่วไปขึ้นใหม่จำนวนมาก ซึ่งเป็นกลยุทธ์ที่มักพบในชุดเครื่องมือขั้นสูงของกลุ่มที่เชื่อมโยงกับเกาหลีเหนือ รวมถึง LightlessCan ของ Lazarus

หลักฐานบ่งชี้ว่า ROOFDECK ถูกติดตั้งเป็นเครื่องมือตามหลังเมื่อผู้โจมตีตั้งหลักและควบคุมเครื่องได้แล้ว นอกจากนี้ยังพบว่า ROOFDECK เวอร์ชันอัปเดตถูกติดตั้งบนเครื่องของวิศวกร DevOps เมื่อวันที่ 20 เมษายน 2569 หนึ่งวันหลัง LayerZero ยอมรับต่อสาธารณะว่าถูกแฮ็ก KelpDAO โดยเวอร์ชันใหม่จะลบไบนารีของ ROOFDECK และ FLATROOF เดิมทิ้ง พร้อมตัดสัญลักษณ์และข้อมูลดีบักออกเพื่อหลบเลี่ยงการตรวจจับ

ผลกระทบ

การโจมตีนี้สะท้อนว่าจุดอ่อนของอุตสาหกรรมได้ย้ายมาอยู่ที่บุคคลภายนอกและซัพพลายเชนซอฟต์แวร์ โดยเฉพาะเครื่องปลายทางของนักพัฒนาซึ่งกลายเป็นศูนย์กลางของการป้องกัน เครื่องที่ใช้พัฒนาซอฟต์แวร์มักถือสิทธิ์เข้าถึงคลาวด์ ไปป์ไลน์ และซอร์สโค้ด ทำให้การเฝ้าระวังและปกป้องเครื่องเหล่านี้เป็นเรื่องสำคัญลำดับต้น แคมเปญนี้ใช้สภาพแวดล้อมพัฒนาที่สร้างขึ้นเฉพาะเพื่อเล่นงานวิศวกรทีละคน ควบคู่กับไฟล์ Terraform ที่ฝังแบ็กดอร์ซึ่งต่างกันไปในแต่ละเหยื่อ ทำให้ตรวจจับได้ยากและขยายผลกระทบไปยังลูกค้าและพันธมิตรของเหยื่อได้ผ่านซัพพลายเชน

คำแนะนำ

นักพัฒนาและทีม DevOps ควรระมัดระวังคำเชิญสัมภาษณ์งานหรือโครงการเขียนโค้ดที่มาพร้อม repository ซึ่งขอให้รันโค้ดบนเครื่องจริง ควรตรวจสอบไฟล์ “.terraform.lock.hcl” และแหล่งที่มาของโมดูล/รีจิสทรีก่อนรัน “terraform init” ทุกครั้ง ปักหมุด (pin) เวอร์ชันและแหล่งของ dependency ให้ชัดเจน และหลีกเลี่ยงการรันโค้ดที่ไม่น่าเชื่อถือบนเครื่องที่มีสิทธิ์เข้าถึงคลาวด์หรือซอร์สโค้ดขององค์กร องค์กรควรติดตั้ง EDR ที่รองรับ macOS บนเครื่องนักพัฒนา เฝ้าระวัง Launch Agents ที่ผิดปกติ การเชื่อมต่อออกไปยัง Telegram/Nostr และการเข้าถึง login.keychain-db พร้อมแยกเครื่องพัฒนาออกจากระบบที่มีสิทธิ์สูงเท่าที่ทำได้

แหล่งอ้างอิง