โผล่ปฏิบัติการแรนซัมแวร์ใหม่ 'Galago' อ้างจับมือกลุ่ม Panzer — ยังไม่มีเหยื่อยืนยัน แต่ควรจับตา

สรุปสั้น

Galago เป็นปฏิบัติการแรนซัมแวร์ใหม่ที่กำลังได้รับความสนใจ เพราะอ้างว่าจับมือเป็นพันธมิตรกับกลุ่ม Panzer แต่ขอบเขตที่แท้จริงยังไม่ชัดเจน เนื่องจากนักวิจัยยังไม่ยืนยันการบุกรุกของ Galago และยังไม่เห็นเหยื่อรายใดถูกเผยแพร่บนเว็บปล่อยข้อมูล (leak site) ของกลุ่มเอง อันตรายจึงอยู่ที่สิ่งที่กลุ่มอาจทำต่อไป ไม่ใช่คลื่นการโจมตีที่ได้รับการยืนยันแล้ว วิธีที่ Galago เข้าสู่เครือข่ายยังไม่เป็นที่ทราบ ไม่มี payload หรือช่องทางเข้าที่ยืนยันได้ปรากฏในงานวิจัย ดังนั้นจึงไม่ควรนำเสนอฟิชชิงหรือการเข้าถึงระยะไกลที่เปิดโล่งเป็นกลยุทธ์ที่ยืนยันแล้วของ Galago

นักวิเคราะห์จากบริษัท CyberXTron ระบุตัว Galago ได้เมื่อวันที่ 9 กันยายน 2569 หลังมีการแจ้งเตือนจากแหล่งข้อมูลเปิดว่ามีการโจมตีองค์กรสาธารณสุขในไอซ์แลนด์ CyberXTron ระบุในรายงานที่แบ่งปันกับ Cyber Security News ว่าเริ่มเฝ้าติดตามเว็บปล่อยข้อมูลของกลุ่มตั้งแต่วันที่ 15 กันยายน แต่เว็บยังไม่มีการเคลื่อนไหวและไม่มีเหยื่อที่เผยแพร่ รายงานนี้จึงบันทึกปฏิบัติการที่กำลังก่อตัว ไม่ใช่การบุกรุกที่ยืนยันแล้ว โดยมีคำอ้างสาธารณะรายหนึ่งระบุชื่อ Inter ehf และอ้างว่ามีการดูดข้อมูลไป 105 GB

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 24 กันยายน 2569 ว่า บริษัท CyberXTron ตรวจพบปฏิบัติการแรนซัมแวร์ใหม่ชื่อ Galago ที่อ้างความเชื่อมโยงกับกลุ่ม Panzer

ผู้โจมตีระบุว่าตั้งใจปล่อยข้อมูลในช่วง 19 ถึง 20 วันหลังวันที่ 9 กันยายน ซึ่งอยู่ในกรอบวันที่ 28 หรือ 29 กันยายน อย่างไรก็ตาม ทั้งการขโมยข้อมูลและผลกระทบใด ๆ ยังไม่ได้รับการยืนยันอย่างอิสระ และขนาดความเสียหายที่เกี่ยวข้องกับ Galago ยังไม่เป็นที่ทราบ คำอธิบายบนเว็บของ Galago ระบุว่าทำงานร่วมกับ Panzer และนักวิจัยยังพบว่าที่อยู่เว็บปล่อยข้อมูลของทั้งสองกลุ่มใช้คำนำหน้า (prefix) ในการตั้งชื่อแบบเดียวกัน ซึ่งเป็นรายละเอียดที่สอดคล้องกับคำอ้าง แต่ไม่ใช่หลักฐานว่าทั้งสองใช้ผู้ปฏิบัติการ เครื่องมือ หรือช่องทางเข้าถึงเหยื่อร่วมกัน

Panzer มีร่องรอยที่มองเห็นได้มากกว่า โดย CyberXTron นับเหยื่อที่ Panzer โพสต์ไว้ได้ 32 รายระหว่างวันที่ 5 สิงหาคมถึง 23 กันยายน 2569 และอธิบายกิจกรรมของกลุ่มว่าเป็นแบบ double extortion คือขู่ทั้งเปิดเผยข้อมูลที่ขโมยและทำให้ระบบใช้งานไม่ได้ (ก่อนหน้านี้กลุ่ม Panzer เคยอ้างดูดข้อมูลบริษัทในไทยอย่าง Minor Food กว่า 340 GB ตามที่รายงานในโพสต์ 091 ) อย่างไรก็ตาม เหยื่อของ Panzer ไม่สามารถถูกนับเป็นของ Galago โดยอัตโนมัติ และการโพสต์บนเว็บปล่อยข้อมูลก็ไม่ใช่หลักฐานอิสระว่าทุกคำอ้างเป็นความจริง ยังไม่มีหลักฐานว่า Galago เคยใช้ซอฟต์แวร์ของ Panzer หรือดำเนินขั้นตอนการบุกรุกแบบเดียวกัน

สถานะปัจจุบันและข้อจำกัดของหลักฐาน

เว็บปล่อยข้อมูลที่ยังไม่เคลื่อนไหวอาจสะท้อนว่ากลุ่มกำลังเตรียมการหรือเปลี่ยนโครงสร้างพื้นฐาน จนกว่านักสืบสวนจะเห็นเว็บปล่อยข้อมูลที่ทำงานจริง เหยื่อที่ยืนยันได้ หรือหลักฐานเชิงเทคนิคจากเครือข่ายที่ได้รับผลกระทบ ความเป็นพันธมิตรที่อ้างไว้ก็ควรถือเป็นเพียงคำอ้างที่มีเบาะแสจากการตั้งชื่อรองรับเท่านั้น คำอ้างเรื่อง Inter ehf เป็นคำอ้างเหยื่อเฉพาะรายเดียวของ Galago ที่ปรากฏในรายงานของ CyberXTron ซึ่งเกิดขึ้นก่อนที่นักวิจัยจะเริ่มเฝ้าติดตามเว็บของ Galago โดยตรง และยังไม่มีการโพสต์ใดบนเว็บนั้นมายืนยัน เนื่องจากกรอบเวลาการปล่อยข้อมูลยังมาไม่ถึง การไม่มีข้อมูลรั่วจึงยังไม่สามารถชี้ขาดว่าเกิดเหตุขึ้นจริงหรือไม่ การยืนยันอย่างอิสระจากองค์กรหรือหลักฐานเชิงนิติวิทยาศาสตร์ที่น่าเชื่อถือจะมีน้ำหนักมากกว่าคำแถลงของผู้โจมตี

ผลกระทบ

แม้ยังไม่มีเหยื่อที่ยืนยันได้ แต่ความเป็นไปได้ที่จะมีข้อมูลสาธารณสุขถูกขโมยทำให้การเตรียมพร้อมคุ้มค่าโดยไม่ต้องสรุปว่าคำอ้างเป็นจริง องค์กรสาธารณสุขโดยเฉพาะในภูมิภาคนอร์ดิกควรเฝ้าระวังการกลับมาเคลื่อนไหวของเว็บปล่อยข้อมูล Galago และหาการยืนยันอิสระของคำอ้างใหม่ก่อนจะนำไปปฏิบัติหรือรายงานเป็นข้อเท็จจริง กรณีนี้ยังเป็นตัวอย่างที่ดีว่าการรายงานภัยแรนซัมแวร์ที่กำลังก่อตัวต้องแยกระหว่าง “คำอ้างของผู้โจมตี” กับ “เหตุการณ์ที่ยืนยันได้” เพราะคำอ้างความเชื่อมโยงที่ฟังดูสมเหตุสมผล ก็ยังไม่ใช่หลักฐานของการโจมตีจริงหรือข้อมูลรั่วที่ยืนยันแล้ว

คำแนะนำ

องค์กรสามารถลดความเสี่ยงล่วงหน้าได้โดยไม่ต้องรอการยืนยัน ด้วยการแพตช์ระบบที่เปิดสู่ภายนอก ทบทวนบัญชีการเข้าถึงระยะไกล และบังคับใช้การยืนยันตัวตนหลายปัจจัยแบบต้านฟิชชิง (phishing-resistant MFA) กับผู้ดูแลระบบและผู้ใช้ VPN ควรเฝ้าระวังการถ่ายโอนข้อมูลออกนอกที่ผิดปกติจำนวนมาก และสัญญาณว่าการควบคุมความปลอดภัยถูกปิด CyberXTron ยังแนะนำให้แยกระบบสำรองข้อมูลและระบบผู้ดูแลออกจากเครือข่ายที่ใช้งานประจำ เก็บสำรองข้อมูลแบบออฟไลน์หรือแก้ไขไม่ได้ (immutable) และทดสอบการกู้คืน โดยแผนตอบสนองควรครอบคลุมทั้งการเปิดเผยข้อมูลและการกู้คืนระบบ

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว (แทน . ด้วย [.]) ต้องแปลงกลับก่อนใช้ในระบบข่าวกรองภัยที่ควบคุมได้เท่านั้น

แหล่งอ้างอิง

• Tracking the Early Activity of the Galago Ransomware Operation — CyberXTron
• New Galago Ransomware Operation Emerges With Links to Panzer Group — Cyber Security News