สรุปสั้น
กลุ่มภัยคุกคามจีนที่ถูกตั้งรหัสว่า UTA0565 ถูกพบว่ากำลังใช้ชุดโจมตี zero-day ที่ร้อยช่องโหว่ของ Google Chrome และ Microsoft Windows เข้าด้วยกันผ่านเว็บไซต์ปลอม การโจมตีที่ตรวจพบเมื่อวันที่ 3 และ 4 กันยายน 2569 อาศัยการร้อยช่องโหว่สองตัวใน Chrome (CVE-2026-85046 และ CVE-2026-87491) กับช่องโหว่ Advanced Local Procedure Call ของ Windows หนึ่งตัว (CVE-2026-85880) เพื่อหลุดออกจากแซนด์บ็อกซ์ของเบราว์เซอร์และรันโค้ดจากระยะไกล นักวิจัยของบริษัท Volexity คือนาย Damien Cash และนาย Tom Lancaster ระบุว่า UTA0565 ปลอมตัวเป็นหลายองค์กร ทั้งสำนักข่าวและองค์กรพัฒนาเอกชน โดยจุดที่ต่างจากการโจมตีที่เคยบันทึกไว้ก่อนหน้าคือ กลุ่มนี้ใช้เว็บไซต์ปลอมหลายแห่งหลอกเหยื่อ เพย์โหลดสุดท้ายคือมัลแวร์ตระกูลใหม่ชื่อ CLEANGULP ซึ่งรองรับการรันคำสั่ง จัดการไฟล์ และรัน beacon object file การที่หลายกลุ่มใช้ชุดโจมตีเดียวกันชี้ว่าน่าจะมีความร่วมมือในแวดวงจารกรรมไซเบอร์ของจีน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 กันยายน พ.ศ. 2569 ว่า กลุ่มภัยคุกคามจีน UTA0565 ถูกพบใช้ชุดโจมตี Chrome–Windows ที่เพิ่งถูกเปิดเผยในฐานะ zero-day ผ่านเว็บไซต์ปลอม อ้างอิงจากการวิเคราะห์ของนักวิจัยบริษัท Volexity ในรายงานชุด “Mind the Patch Gap ภาค 2”
นักวิจัยของ Volexity คือนาย Damien Cash และนาย Tom Lancaster ระบุว่า “UTA0565 ปลอมตัวเป็นหลายองค์กร รวมถึงสำนักข่าวและองค์กรพัฒนาเอกชน (NGO)” และเสริมว่า “ที่น่าสังเกตคือ แคมเปญของกลุ่มนี้ต่างจากการโจมตีที่เคยถูกบันทึกไว้ก่อนหน้า ด้วยการใช้เว็บไซต์ปลอมหลายแห่งเพื่อหลอกลวงเหยื่อ” แคมเปญหนึ่งมุ่งเป้าหน่วยงานภาครัฐในเอเชียด้วยอีเมลฟิชชิงภาษาจีนและอังกฤษที่เร่งเร้าให้ผู้รับสนับสนุนนางสาว Chow Hang-tung นักกิจกรรมชาวฮ่องกง และปลอมตัวเป็นองค์กร Center for American Progress (CAP) โดยนางสาว Chow ถูกตัดสินจำคุกเจ็ดปีสามเดือนเมื่อต้นเดือนนี้
ข้อความเหล่านั้นมีลิงก์ปลอมที่ชี้ไปยัง chinadigitaltimes[.]top และ americanprgoress[.]top ซึ่งลอกเลียนหน้าตาของ China Digital Times และ CAP พร้อมโหลดองค์ประกอบ HTML เพิ่มเติมผ่าน iframe ที่ซ่อนไว้ องค์ประกอบ HTML ดังกล่าว (config.html) ถูกระบุว่าใช้ชุดโจมตี BlueMoon ตัวเดียวกันที่ผสมช่องโหว่ CVE-2026-85046, CVE-2026-87491 และ CVE-2026-85880 โดยเชลล์โค้ด “pp” ตัวสุดท้ายจะดาวน์โหลดไฟล์ปฏิบัติการชื่อ chrome_cleanup.exe มาจากโดเมนปลอม ซึ่งก็คือมัลแวร์ตระกูล CLEANGULP ที่สร้างด้วย Microsoft Visual C Compiler
วิธีการโจมตี
CLEANGULP รองรับความสามารถหลายอย่าง ได้แก่ shell สำหรับรันคำสั่ง, ps สำหรับแสดงรายการโพรเซสที่ทำงานอยู่, upload สำหรับอัปโหลดไฟล์, download สำหรับดาวน์โหลดไฟล์ และ bof สำหรับรัน beacon object file (BOF) ที่น่าสนใจคือ CLEANGULP ถูกพบว่าใช้โดเมนแบบฝังตายชื่อ thecovnresation[.]com เป็นช่องทางสั่งการและควบคุม (C2) ผ่าน HTTP ซึ่งเป็นความพยายามเลียนแบบ theconversation[.]com สำนักข่าวไม่แสวงหากำไรที่เผยแพร่งานวิจัยและบทวิเคราะห์เชิงวิชาการ
รูปแบบการโจมตีทั้งหมดจึงเริ่มจากอีเมลฟิชชิงที่พาเหยื่อไปยังเว็บไซต์ปลอมซึ่งดูเหมือนเว็บข่าวหรือองค์กรจริง จากนั้น iframe ที่ซ่อนอยู่จะจุดชนวนชุดโจมตี BlueMoon เพื่อร้อยช่องโหว่ Chrome สองตัวให้หลุดออกจากแซนด์บ็อกซ์ แล้วยกระดับสิทธิ์ด้วยช่องโหว่ ALPC ของ Windows ก่อนจะดาวน์โหลดและติดตั้ง CLEANGULP เพื่อคงการเข้าถึงและรับคำสั่งจากเซิร์ฟเวอร์ควบคุมต่อไป
ทาง Volexity ระบุว่า “การรับเอาชุดโจมตีนี้ไปใช้อย่างกว้างขวางในหลายกลุ่มภัยคุกคาม บ่งชี้ถึงความพยายามที่ประสานงานกันภายในชุมชนปฏิบัติการเจาะเครือข่ายคอมพิวเตอร์ (CNE) ของจีน ที่ซึ่งชุดโจมตีหลักน่าจะถูกแบ่งปัน ปรับแต่ง และทำเป็นอาวุธโดยหลายกลุ่ม” และเสริมว่า “กิจกรรมที่รายงานมาจนถึงตอนนี้สะท้อนเพียงการสังเกตการณ์ขององค์กรสองแห่งเท่านั้น ขอบเขตและผลกระทบที่แท้จริงน่าจะกว้างกว่านี้มาก” ทั้งนี้ชุดโจมตี BlueMoon และช่องโหว่ทั้งสามตัวเคยถูกรายงานว่ามีหลายกลุ่มจารกรรมจีนแห่ใช้ภายในไม่กี่วัน ซึ่งเว็บ Cloud Thunder เคยนำเสนอไว้ในโพสต์ 077 และ 097
ผลกระทบ
จุดที่ทำให้แคมเปญนี้อันตรายกว่าเดิมคือการเปลี่ยนจากลิงก์โจมตีตรง ๆ มาเป็นเว็บไซต์ปลอมที่ลอกเลียนสำนักข่าวและองค์กร NGO ที่น่าเชื่อถือ ซึ่งทำให้เหยื่อระวังตัวได้ยากขึ้น เพราะหน้าเว็บที่เห็นดูเหมือนแหล่งข้อมูลจริง เมื่อรวมกับชุดช่องโหว่ zero-day ที่ทำงานอัตโนมัติผ่านเบราว์เซอร์ เหยื่อเพียงเปิดหน้าเว็บก็อาจถูกฝังมัลแวร์ได้โดยไม่ต้องดาวน์โหลดหรือเปิดไฟล์ใด ๆ เป้าหมายที่ถูกระบุคือหน่วยงานภาครัฐในเอเชียและองค์กรที่เกี่ยวข้องกับประเด็นสิทธิมนุษยชนฮ่องกง สะท้อนว่าเป็นปฏิบัติการจารกรรมที่มีแรงจูงใจทางการเมือง การที่ Volexity ชี้ว่าชุดโจมตีเดียวกันถูกใช้ข้ามหลายกลุ่มภายในเวลาไล่เลี่ยกัน ยังหมายความว่าฝ่ายตั้งรับในภูมิภาคนี้มีแนวโน้มต้องเผชิญการโจมตีลักษณะนี้บ่อยและกว้างขึ้น โดยเฉพาะหน่วยงานที่บุคลากรใช้เบราว์เซอร์ที่อัปเดตช้ากว่าการแก้ในซอร์สโค้ดต้นน้ำ
คำแนะนำ
องค์กรควรเร่งอัปเดต Chrome ให้เป็นรุ่นล่าสุดที่ปิดช่องโหว่ CVE-2026-85046 และ CVE-2026-87491 และติดตั้ง Patch Tuesday ของ Windows ที่แก้ CVE-2026-85880 โดยเร็ว เพราะการอัปเดตเบราว์เซอร์และระบบปฏิบัติการทันเวลาเป็นการปิดชุดโจมตี BlueMoon ทั้งชุด ควรฝึกอบรมบุคลากรให้ระวังอีเมลที่พาไปยังเว็บข่าวหรือองค์กรที่ดูน่าเชื่อถือแต่ใช้โดเมนแปลกปลอม เช่น โดเมนลงท้าย .top ที่สะกดชื่อองค์กรจริงผิดเพี้ยน นอกจากนี้ควรเฝ้าระวังสัญญาณของ CLEANGULP เช่น ไฟล์ชื่อ chrome_cleanup.exe และการติดต่อออกไปยังโดเมน thecovnresation[.]com (ทำ defang ไว้แล้ว) รวมถึงพฤติกรรมที่เบราว์เซอร์สร้างโพรเซสลูกผิดปกติหรือดาวน์โหลดไฟล์ปฏิบัติการโดยไม่คาดคิด
Indicators of Compromise (IoCs)
| ประเภท | Indicator | หมายเหตุ |
|---|---|---|
| โดเมนปลอม | chinadigitaltimes[.]top | เลียนแบบ China Digital Times (defang แล้ว) |
| โดเมนปลอม | americanprgoress[.]top | เลียนแบบ Center for American Progress (defang แล้ว) |
| โดเมน C2 | thecovnresation[.]com | C2 ของ CLEANGULP ผ่าน HTTP เลียนแบบ theconversation[.]com (defang แล้ว) |
| ไฟล์ | chrome_cleanup.exe | เพย์โหลด CLEANGULP |
| ไฟล์ | config.html | องค์ประกอบ HTML ที่ฝังชุดโจมตี BlueMoon ผ่าน iframe |