Star Blizzard กลุ่มรัฐรัสเซียใช้คำเชิญร่วมงานปลอมปล่อยแบ็กดอร์ CosmicPulse โจมตีองค์กรกว่า 100 แห่ง

สรุปสั้น

บริษัท Microsoft เปิดเผยว่ากลุ่มแฮ็กเกอร์รัฐรัสเซียที่รู้จักในชื่อ Star Blizzard ใช้คำเชิญร่วมงานประชุมปลอมหลอกให้เป้าหมายติดตั้งแบ็กดอร์ลงบนเครื่อง Windows ด้วยตัวเอง แคมเปญเหล่านี้พุ่งเป้าไปที่บุคคลและองค์กรที่เกี่ยวข้องกับยูเครน กระทบองค์กรมากกว่า 100 แห่งนับตั้งแต่เดือนมกราคม ส่วนใหญ่อยู่ในสหรัฐอเมริกาและสหราชอาณาจักร โดยยืนยันว่ามีเครื่องอย่างน้อยหนึ่งเครื่องติดมัลแวร์ แต่ยังไม่เปิดเผยจำนวนองค์กรที่ถูกเจาะจริง หน่วยงานความมั่นคงของสหรัฐฯ อังกฤษ ออสเตรเลีย แคนาดา และนิวซีแลนด์เคยระบุไว้ตั้งแต่ธันวาคม 2566 ว่า Star Blizzard เกือบจะแน่นอนว่าทำงานภายใต้ Center 18 ของหน่วยข่าวกรอง FSB รัสเซีย และมีประวัติขโมยรหัสผ่านอีเมลด้วยการปลอมตัวเป็นคนรู้จักของเป้าหมายมานาน

จุดเปลี่ยนสำคัญของปีนี้คือกลุ่มเลิกใช้เทคนิค ClickFix ที่หลอกให้เหยื่อรันคำสั่งผ่านหน้า CAPTCHA ปลอม แล้วหันมาใช้เทคนิคใหม่ที่ Microsoft เรียกว่า RedFlick ซึ่งอาศัย scheduled task ของ Windows ติดตั้งแบ็กดอร์ชื่อ CosmicPulse ที่เขียนด้วยภาษา Python คำเชิญปลอมมักอ้างชื่อ think tank หรือ NGO ที่มีชื่อเสียงอย่าง Chatham House และ Atlantic Council เป็นเจ้าภาพ และหลายฉบับถูกเขียนให้ดูเหมือนส่งมาจากภายในองค์กรของเป้าหมายเอง Microsoft นับได้ว่ามีแคมเปญขนาดใหญ่อย่างน้อย 13 ครั้งในปีนี้ และยังเผยแพร่ชุด IoC พร้อม hunting query ให้หน่วยงานที่เสี่ยงนำไปตรวจย้อนหลัง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 29 กันยายน 2569 ว่า บริษัท Microsoft ได้ติดตามห่วงโซ่การโจมตีของ Star Blizzard หลายเวอร์ชัน โดยทุกเวอร์ชันเริ่มจากไฟล์ทางลัด (LNK) ที่ปลอมตัวเป็นเอกสาร PDF และใช้ชุดติดตั้ง Windows Installer (MSI) เป็นตัวตั้งค่า scheduled task อีเมลฉบับแรกมักไม่มีไฟล์แนบ หากเป้าหมายตอบกลับ กลุ่มจึงส่งไฟล์บีบอัด RAR หรือ ZIP ที่ใส่รหัสผ่าน โดยแสดงรหัสผ่านไว้ในรูปภาพเพื่อเลี่ยงการสแกน

ตั้งแต่เดือนมีนาคม แคมเปญเหล่านี้เริ่มใช้บัญชีอีเมลบนเว็บไซต์ที่ใช้ WordPress และ cPanel ซึ่ง Microsoft มั่นใจสูงว่ากลุ่มเจาะเข้าไปยึดมาเพื่อการนี้โดยเฉพาะ ต่างจากเดิมที่พึ่งบริการอีเมลฟรีอย่าง Proton และบัญชีผู้บริโภคของ Microsoft แคมเปญช่วงมกราคมถึงกุมภาพันธ์ปลอมเป็นหน่วยงานยูเครน ส่งหนังสือแจ้งตรวจสอบภาษีและค่าปรับปลอมไปยังผู้ใช้บริการอีเมล Ukr.net ของยูเครน ส่วนเหยื่อล่อรุ่นหลังมีทั้งประกาศตัดน้ำสำหรับโรงแรมในเคียฟและหนังสือแจ้งการจ่ายเงินสำหรับพนักงานองค์กรการเงินระหว่างประเทศ

มีแคมเปญหนึ่งในเดือนมีนาคมที่ทำงานต่างออกไป ผู้ที่ตอบกลับคำเชิญธีม Atlantic Council จะได้รับลิงก์ไปยังชุดเจาะ iPhone ชื่อ DarkSword แทนที่จะเป็นแบ็กดอร์บน Windows บริษัท Proofpoint รายงานอีเมลธีม Atlantic Council จากกลุ่มในเดือนมีนาคมพร้อมปริมาณอีเมลที่พุ่งสูงขึ้น ส่วนบริษัท Trellix พบอีเมลลักษณะนี้ 4 ฉบับที่ส่งเมื่อวันที่ 26 มีนาคม แต่มีความมั่นใจระดับกลางว่าอีเมลนำไปสู่ DarkSword จริง เพราะหน้าเจาะช่องโหว่ออฟไลน์ไปแล้วและกู้โค้ดเจาะไม่ได้

วิธีการโจมตี

เมื่อเปิดไฟล์ทางลัด ระบบจะรันคำสั่งเงียบ ๆ เพื่อดึงชุดติดตั้งจากเซิร์ฟเวอร์ระยะไกล เวอร์ชันเดือนมกราคมใช้โปรแกรม SSH ดาวน์โหลดผ่านสคริปต์ซ่อน ส่วนเวอร์ชันเดือนกรกฎาคมให้ไฟล์ทางลัดดาวน์โหลดไฟล์ PDF ที่แฝงคำสั่งซ่อนไว้สำหรับดึงชุดติดตั้ง ในเวอร์ชันที่พบเดือนเมษายน ชุดติดตั้งจะสร้าง scheduled task 3 ตัวที่ตั้งชื่อให้ดูเหมือนส่วนประกอบเครือข่ายปกติ ได้แก่ Internet Quality Test Connection, Network Configuration Manager และ System Health Monitor

ตัวแรกส่งชื่อเครื่องและชื่อผู้ใช้ไปยังเซิร์ฟเวอร์ควบคุม (C2) ของกลุ่ม และสามารถรันโค้ดเพิ่มเติมจากระยะไกลได้ ตัวที่สองตั้งค่า WebDAV ซึ่งเป็นฟังก์ชันของ Windows ที่เปิดที่อยู่เว็บเสมือนเป็นโฟลเดอร์ ตัวที่สามใช้ control.exe ซึ่งเป็นโปรแกรม Control Panel ของ Windows รันขั้นต่อไปจากเซิร์ฟเวอร์ C2 ขั้นถัดมาคือตัวดาวน์โหลดที่ปลอมเป็นรายการใน Control Panel แล้วติดตั้ง CosmicPulse ซึ่งเป็นแบ็กดอร์ที่เขียนด้วย Python โดยตัวดาวน์โหลดนี้คือสิ่งที่รายงานก่อนหน้าเรียกว่า NOROBOT หรือ BAITSWITCH

Microsoft ระบุว่าเทคนิคเหล่านี้คาบเกี่ยวกับแคมเปญเดือนมิถุนายนที่ Digital Security Lab Ukraine รายงาน ซึ่งพุ่งเป้าองค์กรภาคประชาสังคมยูเครนด้วยคำเชิญปลอมธีมการประชุม Ukraine Recovery Conference โดยพบตัวบ่งชี้สองรายการร่วมกันทั้งในรายการของ Microsoft และรายงานเดือนมิถุนายน คือที่อยู่ไอพี 103.160.59[.]97 และโดเมน secure-dns-hub[.]com แต่การใช้ตัวบ่งชี้ร่วมกันยังไม่พอยืนยันว่าเป็นกลุ่มเดียวกันรันทั้งสองแคมเปญ

ผลกระทบ

การโจมตีนี้สะท้อนว่ากลุ่มจารกรรมของรัฐปรับวิธีส่งมอบมัลแวร์ได้เร็ว โดยหันจากการหลอกให้เหยื่อรันคำสั่งเองมาใช้ scheduled task ที่ตั้งชื่อเลียนแบบส่วนประกอบระบบเพื่อหลบการตรวจจับ เป้าหมายหลักยังเป็นหน่วยงานรัฐ NGO และ think tank ที่ทำงานด้านนโยบายยูเครน ซึ่งเป็นกลุ่มที่มีมูลค่าทางข่าวกรองสูงแต่มักมีทรัพยากรป้องกันจำกัด การที่กลุ่มใช้เว็บไซต์ WordPress และ cPanel ที่ถูกยึดเป็นฐานส่งอีเมล ทำให้อีเมลผ่านการกรองพื้นฐานได้ง่ายขึ้น และการมีทั้งสายโจมตี Windows และชุดเจาะ iPhone แสดงว่ากลุ่มพร้อมปรับเครื่องมือตามอุปกรณ์ของเป้าหมาย

คำแนะนำ

ผู้ดูแลระบบขององค์กรที่อาจตกเป็นเป้าควรตรวจที่อยู่ผู้ส่งอีเมลให้ดี เพราะในแคมเปญนี้ชื่อองค์กรจริงจะปรากฏหน้าเครื่องหมาย @ แทนที่จะอยู่ในส่วนโดเมน หากไม่แน่ใจให้ติดต่อผู้ส่งผ่านช่องทางที่รู้จักอยู่แล้ว ควรค้นหา scheduled task สามชื่อข้างต้นและการตรวจจับของ Microsoft Defender ชื่อ Trojan:Script/RedFlick และ Backdoor:Python/CosmicPulse พร้อมขยายกรอบเวลาของ hunting query ย้อนไปถึงเดือนมกราคม ซึ่งต้องอาศัยการเก็บล็อกระยะยาวเช่นใน Microsoft Sentinel เพราะข้อมูลดิบของ Defender เก็บไว้เพียง 30 วัน

นอกจากนี้ควรบล็อกหรือจำกัดการเชื่อมต่อ SSH ขาออกที่ธุรกิจไม่จำเป็นต้องใช้ เปิดกฎ attack surface reduction ของ Defender ที่บล็อกไฟล์รันที่พบน้อย ใหม่ หรือไม่น่าเชื่อถือและสคริปต์ที่ถูกทำให้อ่านยาก ใช้วิธีลงชื่อเข้าใช้ที่ทนฟิชชิง เพราะกลุ่มยังรันการฟิชชิงรหัสผ่านด้วยเครื่องมือ Evilginx ที่ขโมย session cookie เพื่อข้ามการยืนยันตัวตนสองชั้นได้ และควรอัปเดต iPhone เป็น iOS 26.3 ขึ้นไปซึ่งแก้ช่องโหว่ทั้ง 6 รายการที่ DarkSword ใช้ หรือเปิด Lockdown Mode ในจุดที่ยังอัปเดตไม่ได้

Indicators of Compromise (IoCs)

ตัวบ่งชี้ด้านล่าง defang ไว้เพื่อความปลอดภัย

แหล่งอ้างอิง

• Star Blizzard refines phishing and malware delivery with the RedFlick technique — Microsoft
• Star Blizzard continues spear-phishing campaigns — NCSC UK
• SecondSight Threat Hunting Report September 2026 — Trellix