สรุปสั้น
แคมเปญที่เพิ่งถูกบันทึกใหม่ซึ่งเล่นงานคนและองค์กรที่ทำงานเกี่ยวกับยูเครน ใช้ไฟล์ทางลัดของวินโดวส์ที่ทำธีมให้ดูเหมือนเอกสาร เพื่อติดตั้งตัวดาวน์โหลดมัลแวร์ชื่อ VelvetCake เป้าหมายดูเหมือนจะเป็นการรวบรวมข่าวกรองด้านการเมืองและการทหารเกี่ยวกับสงคราม โดยผู้โจมตีน่าจะส่งอีเมลเจาะจงพร้อมไฟล์แนบ ZIP ที่ภายในมีไฟล์ทางลัดซึ่งดูเหมือน PDF เรื่องข้อเสนอสันติภาพ ราคาอาหาร และประวัติย่อของนักวิจัย เมื่อเปิดไฟล์ มันจะรันโค้ดพร้อมกับแสดงเอกสารลวงตา อีกช่องทางหนึ่งใช้ตัวติดตั้งโปรแกรมประชุมทางวิดีโอที่ถูกดัดแปลง
บริษัท SOCRadar ระบุในรายงานที่แบ่งปันกับ Cyber Security News ว่านักวิเคราะห์ระบุกิจกรรมนี้เป็น Operation Conflict Compass และเชื่อมโยงกับ Konni กลุ่มจารกรรมที่โยงเกาหลีเหนือ ด้วยความมั่นใจระดับปานกลาง โครงสร้างพื้นฐานที่ผูกกับปฏิบัติการปรากฏตั้งแต่ต้นเดือนสิงหาคม 2569 แต่รายงานไม่ได้ให้จำนวนเหยื่อที่ยืนยันได้ ประเด็นนี้สำคัญเพราะมัลแวร์ที่พบสามารถเก็บรายละเอียดระบบ จับภาพหน้าจอ และส่งไฟล์ออกจากเครื่องที่ติดมัลแวร์ได้
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 24 กันยายน พ.ศ. 2569 ว่า บริษัท SOCRadar เปิดโปงแคมเปญ Operation Conflict Compass ที่ใช้ไฟล์ทางลัดปลอมเป็น PDF เพื่อแพร่มัลแวร์ VelvetCake ของกลุ่ม Konni
ไฟล์เหล่านี้ไม่ใช่ PDF จริง แต่เป็นไฟล์ทางลัดของวินโดวส์ (LNK) ที่ถูกบรรจุอยู่ในไฟล์บีบอัด ZIP โดยตั้งชื่อให้ดูเหมือนเอกสาร หัวข้อของไฟล์ลวงมีทั้งกรอบข้อเสนอสันติภาพรัสเซีย-ยูเครน ราคาอาหารที่พุ่งสูงซึ่งเชื่อมโยงกับช่องแคบฮอร์มุซ และประวัติย่อของนักวิจัยสังคม ตัวเลือกหัวข้อเหล่านี้ชี้ไปยังกลุ่มคนที่ทำงานด้านการทูต การวิจัยนโยบาย และองค์กรพัฒนาเอกชน (NGO) แม้จะไม่มีการเผยแพร่รายชื่อเหยื่อก็ตาม
ผู้โจมตีวางไฟล์ลวงไว้บนบริการโฮสติงของเกาหลีใต้และเว็บไซต์เสื้อผ้าของยูเครน เมื่อเป้าหมายเปิดไฟล์ทางลัด มันจะเรียก PowerShell ขึ้นมาดึงองค์ประกอบเพิ่มเติมและเอกสารลวง วิธีการนี้สะท้อนแคมเปญ Konni ที่เคยใช้ไฟล์ทางลัดอำพรางที่พบในเกาหลีใต้ โดยที่นี่ทางลัดจะเริ่มสคริปต์ที่สร้าง scheduled task เพื่อให้ตัวดาวน์โหลดทำงานซ้ำได้ นักวิจัยยังพบตัวติดตั้งโปรแกรมประชุมที่ถูกดัดแปลงซึ่งพ่วงตัวติดตั้งของแท้ไปพร้อมกับองค์ประกอบอันตราย แม้จะยืนยันไม่ได้ว่ามันเข้าถึงเป้าหมายอย่างไร แต่ประเมินว่าคำเชิญเข้าประชุมอาจเป็นตัวกระตุ้นให้เกิดการดาวน์โหลด ส่วนอีกตัวแปรที่เป็นไฟล์ปฏิบัติการแยกต่างหากจะโหลดโค้ดจากเซิร์ฟเวอร์ระยะไกลโดยตรง แทนที่จะทิ้งตัวดาวน์โหลดหลักไว้บนดิสก์
วิธีการโจมตี
หลังไฟล์ทางลัดทำงาน สคริปต์ที่ถูกดาวน์โหลดตัวหนึ่งจะตั้ง scheduled task ที่เรียก PowerShell ทุกนาที ส่วนอีกตัวจะส่งมอบ VelvetCake ซึ่งเป็นตัวดาวน์โหลดขนาดเล็กที่เชื่อมต่อไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม ดึงสคริปต์ที่มีอยู่มารัน แล้วส่งไฟล์ผลลัพธ์กลับไป จากนั้นจะลบวัสดุชั่วคราวออกเมื่อทำงานเสร็จ การออกแบบเช่นนี้เปิดให้ผู้ปฏิบัติการเปลี่ยนสิ่งที่เครื่องติดมัลแวร์ทำได้โดยไม่ต้องเปลี่ยนมัลแวร์ตัวแรก และงานที่ทำซ้ำก็เปลี่ยนกิจกรรมช่วงสั้น ๆ ให้กลายเป็นช่องทางรับคำสั่งจากระยะไกลอย่างต่อเนื่อง ห่วงโซ่นี้ยังคล้ายกับการโจมตีของ Kimsuky ที่ใช้ไฟล์ทางลัดอันตราย ซึ่งเอกสารที่ดูไม่มีพิษภัยกลายเป็นจุดเริ่มของการบุกรุกที่ยาวกว่า
สคริปต์ตัวต่อมาที่กู้คืนได้ตัวหนึ่งจะตรวจซอฟต์แวร์ความปลอดภัยที่ติดตั้งอยู่ ค่าตั้งระบบ การตั้งค่าเครือข่าย โปรเซสที่กำลังรัน ไฟล์ที่เพิ่งใช้ และไดรฟ์ที่มี พร้อมทั้งจับภาพหน้าจอและส่งข้อมูลที่รวบรวมได้ไปยังเซิร์ฟเวอร์ภายนอกก่อนลบสำเนาในเครื่อง สิ่งที่พบแสดงให้เห็นความสามารถในการเก็บข้อมูล แต่ไม่ได้พิสูจน์ว่าทุกองค์กรเป้าหมายถูกขโมยข้อมูลไปจริง
นักวิจัยเชื่อมโยงแคมเปญเข้ากับ Konni ผ่านธีมที่เน้นยูเครน การส่งมอบผ่านไฟล์ทางลัด โครงสร้างพื้นฐานที่ทับซ้อนกัน และกิจกรรมของผู้ปฏิบัติการ อย่างไรก็ตามการประเมินยังไม่เด็ดขาด เพราะการตั้งค่า time-zone ของ repository สนับสนุนการระบุตัวได้ก็จริง แต่ไม่สามารถยืนยันตำแหน่งของผู้ปฏิบัติการได้ด้วยตัวมันเอง รายงานอธิบายกิจกรรมที่สอดคล้องกับการเก็บข่าวกรอง และหยุดไว้ก่อนที่จะระบุองค์กรที่ได้รับผลกระทบ
ผลกระทบ
แคมเปญนี้สะท้อนว่าไฟล์ทางลัดที่ปลอมเป็นเอกสารยังเป็นวิธีที่ได้ผลในการหลอกกลุ่มเป้าหมายที่มีความรู้ อย่างนักการทูต นักวิจัยนโยบาย และเจ้าหน้าที่ NGO เพราะหัวข้อลวงถูกออกแบบให้ตรงกับความสนใจในงานประจำวัน เมื่อ VelvetCake ตั้งหลักในเครื่องได้ ผู้ปฏิบัติการก็สามารถสั่งงานเก็บข้อมูล จับภาพหน้าจอ และดึงไฟล์ออกได้อย่างต่อเนื่องผ่าน scheduled task ที่ทำงานซ้ำ องค์กรที่ทำงานเกี่ยวกับประเด็นยูเครนหรือมีข้อมูลอ่อนไหวด้านนโยบายและความมั่นคงจึงควรถือว่าไฟล์บีบอัดเอกสารและตัวติดตั้งโปรแกรมประชุมที่ไม่คาดคิดเป็นสิ่งที่ต้องระวังเป็นพิเศษ
คำแนะนำ
- ตรวจชนิดไฟล์จริงก่อนเปิดไฟล์แนบเสมอ โดยเฉพาะไฟล์ใน ZIP ที่อ้างเป็น PDF (ระวังนามสกุล .lnk)
- เฝ้าระวัง scheduled task ที่ผิดปกติ เช่น งานที่เรียก PowerShell เป็นระยะ (พบชื่อ OneDriveUpdateScheduler ในแคมเปญนี้)
- ตรวจสอบและจำกัดการรัน PowerShell พร้อมเปิดการบันทึก (logging) เพื่อให้เห็นกิจกรรมที่น่าสงสัย
- ระวังคำเชิญประชุมทางวิดีโอที่ให้ดาวน์โหลดตัวติดตั้งจากนอกช่องทางทางการ
- บล็อกตัวบ่งชี้ในตาราง IoC ด้านล่าง และตรวจการเชื่อมต่อออกไปยังโดเมน/IP ที่ระบุ
Indicators of Compromise (IoCs)
หมายเหตุ: ที่อยู่ IP และโดเมนถูก defang ไว้ (เช่น
[.]) เพื่อป้องกันการเชื่อมต่อโดยไม่ตั้งใจ ให้ re-fang เฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM เท่านั้น · บางตัวบ่งชี้ในรายงานต้นทางแสดงไม่ครบ (ถูกตัดท้าย) ระบุไว้ในคำอธิบาย
| ประเภท | ตัวบ่งชี้ | คำอธิบาย |
|---|---|---|
| Domain | p1o2i3u4y5t6r7e8w9q0[.]medianewsonline[.]com | โดเมนของแคมเปญ |
| Domain | jaemoolding25863[.]elementfx[.]com | ตัวบ่งชี้เครือข่ายจากรายงานต้นทาง |
| Domain | zvwb1ep7i[.]onlinewebshop[.]net | ตัวบ่งชี้เครือข่ายจากรายงานต้นทาง |
| IP Address | 111[.]92[.]246[.]145 | เซิร์ฟเวอร์ VelvetCake (เชื่อมต่อพอร์ต 12345) |
| omski00[@]outlook[.]com | ตัวบ่งชี้เครือข่ายจากรายงานต้นทาง | |
| URL | hxxps[://]github[.]com/omskiwdcvoiuyfd0998/ | บัญชี GitHub ที่ใช้ stage สคริปต์ |
| URL | hxxps[://]raw[.]githubusercontent[.]com/omskiwdcvoiuyfd0998/…/okay[.]md | ที่อยู่ stage ของ VelvetCake |
| File Name | update1.vbs | สคริปต์คงอยู่ (persistence) ที่ถูกดาวน์โหลด |
| File Name | update1.ps1 | ไฟล์ PowerShell ที่ระบุใน scheduled task |
| File Name | update2.ps1 | สคริปต์ VelvetCake ที่ถูกดาวน์โหลด |
| Scheduled task | OneDriveUpdateScheduler | งานที่สร้างขึ้นเพื่อรันซ้ำ |
| SHA-256 | 297292d46d4f11fc801f5d6d01251735698a8419aa3196db7b3aa7bb8ea85cad | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |
| SHA-256 | d398f11c236a59e44a9dff6f99af3aacefcb4a4bdf77bb7cf790cd0b13b0439a | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |
| SHA-256 | 0db1e8a3075ffc2f5caa91abaeabb6ba4365ae0eda64d179374614a79e317733 | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |
| SHA-256 | ec47a2101de4f1fc25995e775ddb48e20977081c4d885e6ff8fdfe9109d05495 | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |
| SHA-256 | ac8df7baf7f1397a8c194840f6a5c1b0182088febde55f46d9f73ee8abc97c1d | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |
| SHA-256 | e162d64d3e69cea868f62f63906098de310fad9fa1ca693409a65de89760eaaa | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |
| SHA-256 | 9f2cc22a74499b0a5b39a8f4732ff74d7338addd972387302016ba5a026936ac | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |
| SHA-256 | d3e599af47b110ab526ee38edaae68df3d8ab257e689e6f6f84d6db7d3ba5937 | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |
| SHA-256 | 467660ef31b8ec248ae434fdee0a68de5098bcfd08776a4004ccbdcd7904bd37 | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |
| SHA-256 | e41fdf41e6f5d089d1b8d7ea6f6a5c76760fe2a553c8ebc47601ebeca01311e1 | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |
| SHA-256 | 76e9bdf193b3127623b674efdf3f0e3585932af33c9c85a3d6375d369de0e12a | ตัวบ่งชี้โฮสต์จากรายงานต้นทาง |