แฮ็กเกอร์ใช้ช่องโหว่ Samsung MagicINFO คอมไพล์ตัวขุดคริปโตในเครื่องเหยื่อ

สรุปสั้น

ผู้โจมตีเจาะเข้าระบบ Windows ผ่านช่องโหว่ที่รู้จักกันแล้วในซอฟต์แวร์ Samsung MagicINFO จากนั้นสร้างตัวขุดสกุลเงินคริปโตขึ้นบนเครื่องที่ถูกยึด จุดที่ต่างจากการโจมตีทั่วไปคือตัวขุดไม่ได้ถูกส่งมาในรูปโปรแกรมสำเร็จรูป แต่ถูกประกอบขึ้นในเครื่องนั้นเอง จึงทิ้งร่องรอยกิจกรรมที่ผิดปกติเอาไว้ เคสนี้เริ่มต้นช่วงต้นเดือนกันยายน 2569 จากการแจ้งเตือนที่ผูกกับ MagicINFO Premium ซึ่งเป็นซอฟต์แวร์ที่ใช้บริหารจัดการป้ายดิจิทัล ผู้โจมตีเดินหน้าติดตั้งเครื่องมือ remote access สร้างบัญชีผู้ดูแลระบบ และปิด Microsoft Defender ก่อนใช้กำลังประมวลผลของเครื่องไปขุดเหรียญ Monero

นักวิเคราะห์จาก Huntress ตรวจพบกิจกรรมนี้ระหว่างสอบสวน endpoint ที่อยู่ในการดูแล โดยระบุว่าผู้บุกรุกใช้ระบบของเหยื่อเองในการคอมไพล์ตัวขุด ซึ่งเป็นขั้นตอนที่ก่อให้เกิดการแจ้งเตือนที่สังเกตเห็นได้ชัด รายงานอธิบายว่าเป็น endpoint ที่ได้รับผลกระทบเพียงเครื่องเดียว ไม่ใช่แคมเปญที่วัดขนาดครอบคลุมหลายองค์กร แต่เคสนี้แสดงให้เห็นว่าช่องโหว่ที่เปิดทิ้งไว้นำไปสู่การเข้าถึงระยะยาวและการขโมยทรัพยากรประมวลผลได้อย่างไร ตัวการขุดกินกำลัง CPU ขณะที่การเพิ่ม remote access และการลดทอนการป้องกันสร้างความกังวลด้านความมั่นคงในวงกว้างกว่านั้น

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 25 กันยายน 2569 ว่า บริษัท Huntress ได้เผยแพร่รายงานที่แชร์ให้ Cyber Security News (CSN) เกี่ยวกับการโจมตีที่ใช้ช่องโหว่ใน Samsung MagicINFO เป็นทางเข้า ผู้สอบสวนเชื่อมโยงจุดเริ่มต้นเข้ากับ CVE-2025-4632 ซึ่งเป็นช่องโหว่ใน MagicINFO ที่เปิดให้ผู้โจมตีเขียนไฟล์ด้วยสิทธิ์ระดับ system ได้ ทาง Samsung แก้ช่องโหว่นี้เมื่อเดือนพฤษภาคม 2568 หลังจากที่ปัญหา MagicINFO ก่อนหน้าอย่าง CVE-2024-7399 ได้รับการแก้ไขที่ไม่สมบูรณ์ การแจ้งเตือนครั้งแรกนำไปสู่คำแนะนำเรื่องการแก้ไขให้ลูกค้า แต่แปดวันต่อมาผู้สอบสวนก็เห็นกิจกรรมใหม่ที่ผูกกับเส้นทางการเข้าถึงเดิมอีกครั้ง

ลำดับเหตุการณ์นี้สำคัญ เพราะแสดงว่าผู้โจมตียังใช้บริการที่มีช่องโหว่ได้อยู่ รายงานไม่ได้ระบุว่ามีระบบอื่นได้รับผลกระทบอีกกี่เครื่อง (หากมี) ผู้บุกรุกพยายามดาวน์โหลด AnyDesk ซึ่งเป็นโปรแกรม remote access ที่ถูกกฎหมายแต่ตั้งใจนำมาใช้โดยไม่ได้รับอนุญาต ถึงสามครั้ง ครั้งแรกใช้ยูทิลิตีดาวน์โหลดของ Windows และครั้งที่สองใช้ PowerShell ซึ่ง Microsoft Defender บล็อกทั้งสองครั้ง ครั้งที่สามสำเร็จ และผู้โจมตีตั้งรหัสผ่านไว้เพื่อให้กลับเข้ามาเชื่อมต่อได้อีก บันทึกกระบวนการช่วยให้ผู้สอบสวนย้อนรอยกิจกรรมกลับไปยังบริการที่รัน MagicINFO ทำให้เชื่อมโยงการติดตั้ง remote access เข้ากับช่องโหว่ต้นทางได้ ไม่ใช่การเปลี่ยนแปลงที่ไม่เกี่ยวข้อง

จากนั้นผู้โจมตีสร้างบัญชีผู้ดูแลระบบภายในเครื่องโดยใช้รหัสผ่านเดียวกับเครื่องมือ remote access และปิด Microsoft Defender ผ่านคอมโพเนนต์ตั้งค่าของ Windows ขั้นตอนเหล่านี้ทำให้การเข้าถึงคงอยู่และทำให้กิจกรรมในภายหลังถูกบล็อกได้ยากขึ้น

วิธีการโจมตี

เมื่อการป้องกันถูกลดทอนลงแล้ว ผู้โจมตีเปิดตัว builder ของตัวขุด Monero จากโฟลเดอร์ Documents ของบัญชีผู้ใช้ที่เพิ่งสร้าง มันเรียกใช้ยูทิลิตีสำหรับนักพัฒนาของ Windows และ C compiler หลายตัวเป็นกระบวนการลูก การสร้างตัวขุดในเครื่องนั้นอาจทำให้ผู้โจมตีปรับแต่งให้เข้ากับเครื่องเป้าหมายได้ แต่ทางเลือกนี้ก็มีต้นทุนสำหรับผู้บุกรุกเอง เพราะ builder ไม่ได้ลงลายเซ็นดิจิทัล และการที่มี compiler ทำงานพรวดพราดขึ้นมาก็โดดเด่นในระบบเฝ้าระวัง endpoint รายงานอธิบายว่านี่คือโอกาสให้ฝ่ายป้องกันจับการโจมตีได้ก่อนที่ตัวขุดฉบับสมบูรณ์จะเริ่มทำงาน โดยไม่ต้องมี signature ของไฟล์สุดท้าย

ต่อมาผู้สอบสวนเห็นตัวขุดเชื่อมต่อไปยัง mining pool สาธารณะ โดยดูเหมือนใช้ CPU ของโฮสต์และอาจรวมถึง GPU ด้วย ตัวเลือกการขุดของมันปรากฏอยู่ภายใต้ Windows Explorer ซึ่งเป็นตำแหน่งที่ไม่ควรอยู่ บ่งชี้ว่ามีการนำโค้ดอันตราย inject เข้าไปในกระบวนการนั้น กรณีนี้ตอกย้ำว่าฝ่ายป้องกันควรพิจารณาที่พฤติกรรม ไม่ใช่แค่ค้นหาไฟล์ปฏิบัติการที่รู้จัก

ผลกระทบ

องค์กรที่เปิด MagicINFO ออกสู่อินเทอร์เน็ตและยังไม่ได้อัปเดตแพตช์คือกลุ่มเสี่ยงโดยตรง เพราะ CVE-2025-4632 เปิดทางเขียนไฟล์ด้วยสิทธิ์ system ซึ่งเป็นจุดตั้งต้นให้ผู้โจมตียกระดับไปถึงการยึดเครื่องเต็มรูปแบบ ผลกระทบไม่ได้จำกัดแค่การถูกขโมยกำลังประมวลผลไปขุด Monero แต่รวมถึงการมี remote access ที่ไม่ได้รับอนุญาตค้างอยู่ในระบบ การมีบัญชีผู้ดูแลระบบที่ผู้โจมตีสร้างขึ้น และการที่ Microsoft Defender ถูกปิด ซึ่งทั้งหมดเปิดทางให้เกิดการโจมตีต่อเนื่องได้อีก จุดที่ควรสังเกตคือแม้จะลบตัวขุดออกไปได้ ก็ยังเหลือคำถามใหญ่ว่าผู้โจมตีเข้ามาได้อย่างไร และเส้นทางนั้นยังเปิดอยู่หรือไม่

คำแนะนำ

Huntress แนะนำให้อัปเดตแพตช์ MagicINFO ที่เปิดออกสู่อินเทอร์เน็ตโดยเร็ว และให้ถือว่าการพยายามดาวน์โหลดเครื่องมือ remote access ซ้ำ ๆ เป็นสัญญาณที่อาจบ่งชี้การบุกรุก ทีมความมั่นคงควรเฝ้าระวังกิจกรรม compiler ที่ไม่คาดคิดและการเปลี่ยนแปลงการตั้งค่าโปรแกรมป้องกันไวรัส ที่สำคัญ การค้นหาและลบเฉพาะตัวขุดออกอย่างเดียวจะทิ้งคำถามหลักไว้โดยไม่ได้คำตอบ องค์กรจึงควรสอบสวนย้อนกลับไปถึงเส้นทางการเข้าถึงต้นทางและปิดช่องโหว่ MagicINFO ให้เรียบร้อย

Indicators of Compromise (IoCs)

หมายเหตุ: IP และโดเมนถูก defang (เช่น [.]) โดยเจตนาเพื่อป้องกันการ resolve หรือกดลิงก์โดยไม่ตั้งใจ ให้ re-fang เฉพาะภายในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM ขององค์กรเท่านั้น

แหล่งอ้างอิง

• Hackers Used a Samsung Flaw to Build a Cryptominer Inside Victim Systems — Cyber Security News
• Threat Actor Compiles Cryptominer on Victim System — Huntress