สรุปสั้น
บริษัท SOCRadar เปิดเผยปฏิบัติการของ CyberXero ผู้ก่อภัยที่พูดภาษารัสเซียและทำหน้าที่นายหน้าขายสิทธิ์เข้าถึงเครือข่าย (initial access broker หรือ IAB) เพื่อหวังผลทางการเงิน CyberXero ผสมเครื่องมือแฮ็กที่คุ้นเคยเข้ากับ AI เพื่อเจาะระบบในวงกว้าง แคมเปญถูกเปิดโปงเพราะผู้ก่อภัยเปิด open directory ทิ้งไว้ ภายในมีไฟล์กว่า 90,000 ไฟล์และไดเรกทอรีย่อยกว่า 3,000 โฟลเดอร์ ทั้งสคริปต์ บันทึกเซสชัน AI และข้อมูลที่ขโมยมา นักวิจัยจึงเชื่อมกิจกรรมบนเครื่องทำงาน บันทึกการตั้งเครื่อง และการเตรียมโจมตีเข้าด้วยกันได้ และแยกได้ว่าเป้าหมายใดถูกขโมยข้อมูลจริง และเป้าหมายใดเป็นเพียงการสำรวจ
ปฏิบัติการแบ่งเป็นสองสาย สายแรกเป็นการโจมตีอัตโนมัติแบบหว่านแหต่อเว็บ WordPress และอีคอมเมิร์ซทั่วโลก การรันครั้งหนึ่งสแกน 4,708 เป้าหมาย พบหน้าผู้ดูแล WordPress ที่เข้าได้ 429 แห่ง และฝังเชลล์ได้ 32 เว็บภายใน 61 วินาที สายที่สองเป็นการเจาะจงเป้าหมาย สำรวจองค์กรพลังงานและสาธารณูปโภคในยูเครน 7 แห่ง ซึ่งรวมถึงผู้ดูแลระบบส่งไฟฟ้าแห่งชาติ มีองค์กรยูเครน 4 แห่งที่ยืนยันจากไฟล์ได้ว่าข้อมูลถูกขโมย และผู้ก่อภัยถือข้อมูลชาวยูเครนที่ยืนยันแล้วกว่า 628,000 ราย แคมเปญกระทบองค์กรกว่า 40 แห่งทั่วโลก และยังทำงานอยู่ระหว่างการสอบสวน
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 7 ตุลาคม พ.ศ. 2569 ว่า SOCRadar แบ่งปันรายงานที่ระบุว่าผู้ก่อภัยซึ่งใช้ชื่อแฝง CyberXero รันทั้งแคมเปญอัตโนมัติและแคมเปญที่เลือกเป้าหมายอย่างระมัดระวัง นักวิจัยพบโครงสร้างพื้นฐานครั้งแรกเมื่อเดือนกรกฎาคม 2569 และแมปโหนดที่เชื่อมกันได้ 8 จุด กระจายอยู่บนผู้ให้บริการโฮสติ้งในยุโรปและ Tencent Cloud นอกจากยูเครนแล้วยังพบกิจกรรมในโปแลนด์ จีน และปากีสถาน
ข้อจำกัดของหลักฐานที่ต้องเก็บไว้คือ แม้ CyberXero จะมีลักษณะเป็น IAB แต่ SOCRadar ไม่พบหลักฐานตรงว่ามีการขายสิทธิ์เข้าถึงที่ได้มา การประเมินว่ามีความเสี่ยงสูงมาจากการที่ผู้ก่อภัยผสมการเก็บสิทธิ์เข้าถึงวงกว้างเข้ากับการสำรวจภาคพลังงานอย่างละเอียด นอกจากนี้ตัวเลขผู้ได้รับผลกระทบเป็นข้อมูลที่พบในไดเรกทอรีที่เปิดอยู่เท่านั้น อาจมีเหยื่อที่ไม่ได้ทิ้งร่องรอยไว้ตรงนั้น
วิธีการโจมตี
AI สองชั้น CyberXero ไม่ได้ใช้ AI แค่ช่วยเขียนโค้ด บนเครื่องทำงานหลัก ผู้ก่อภัยตั้งเอเจนต์ Claude Code ได้สูงสุด 51 ตัว แบ่งหน้าที่ค้นหาเว็บ ทดสอบรหัสผ่าน เจาะช่องโหว่ และขโมยข้อมูล อีกชุดหนึ่งเชื่อม PentAGI ซึ่งเป็นเฟรมเวิร์กทดสอบเจาะระบบที่ใช้ AI ช่วย เข้ากับ Cobalt Strike Team Server ผ่าน API ของผู้ให้บริการ AI การตั้งค่าที่กู้ได้ยังแบ่งโมเดลและงบโทเคนตามความยากของงาน งานสร้าง payload ได้โมเดลที่ใช้ความพยายามสูง ส่วนงานค้นหาและติดตั้งใช้โมเดลที่ถูกกว่า
เลี่ยงการปฏิเสธด้วยการเปิดเซสชันใหม่ บันทึกเซสชันแสดงว่าผู้ก่อภัยพยายามหลบการปฏิเสธของโมเดลด้วยการอ้างว่าเป้าหมายเป็นระบบของตนเองที่กำลังทดสอบแบบได้รับอนุญาต เมื่อคำขอถูกปฏิเสธ ผู้ก่อภัยจะเปิดเซสชันใหม่พร้อมเรื่องเล่าเดิมที่โหลดไว้ล่วงหน้า วิธีนี้ทำให้มาตรการป้องกันที่ทำงานภายในเซสชันเดียวได้ผลน้อยลงในทางปฏิบัติ อย่างไรก็ตาม บันทึกยังมีคำปฏิเสธที่ได้ผลจริง ได้แก่ คำขอติดตั้งแบ็กดอร์ ปิดไฟร์วอลล์ เคลื่อนที่ภายในเครือข่าย และวางเว็บเชลล์
wp2shell และช่องโหว่เว็บอื่น ชุดเครื่องมือ wp2shell ของผู้ก่อภัยใช้ batch endpoint ของ WordPress REST API ฉีด SQL สร้างบัญชีผู้ดูแลปลอม แล้วติดตั้งเว็บเชลล์ตระกูล WSO ผ่านปลั๊กอิน ซึ่งเป็นห่วงโซ่ช่องโหว่ wp2shell ที่ถูกโจมตีเป็นวงกว้างตั้งแต่กรกฎาคม (โพสต์ 07/197 และ 07/231) ผู้ก่อภัยยังเล็ง Magento และใช้ช่องโหว่ CVE-2026-4815 ใน Support Board ภายใน 30 วันหลังเปิดเผย นอกจากนี้ยังมีโหนดเฉพาะสำหรับเจาะ Redis ที่เปิดสู่อินเทอร์เน็ต และสร้างบริการ UpdSvc ผ่านสคริปต์ svc.cna ของ Cobalt Strike เพื่อคงการทำงาน
สายเจาะจงยูเครน ผู้ก่อภัยแมปองค์กรพลังงานและสาธารณูปโภคยูเครน 7 แห่ง รวมถึงผู้ดูแลระบบส่งไฟฟ้าแห่งชาติและบริษัทพลังงานเอกชนที่ใหญ่ที่สุดของประเทศ ไล่สำรวจซับโดเมน 95 รายการขององค์กร 2 แห่ง และระบุบริการตั้งแต่อีเมลและ VPN ไปจนถึงแพลตฟอร์มสั่งการเครือข่าย (network dispatch) ผู้ให้บริการระบบทำความร้อนระดับเขตในคาร์คิฟเสียข้อมูลผู้ใช้บริการ 564,073 รายการ และบันทึกการเข้าถึง 213,340 รายการ โดยผู้ก่อภัยใช้ credential ของเป้าหมายที่ฝังไว้ตายตัวในสคริปต์ของตัวเอง (ต้นฉบับไม่ได้ระบุว่าได้ credential นี้มาจากไหน)
ผลกระทบ
กรณีนี้เป็นหลักฐานชัดว่า AI ช่วยให้ผู้ก่อภัยรายเดียวทำงานในขนาดที่เคยต้องใช้ทีม ทั้งการแบ่งเอเจนต์หลายสิบตัวทำงานคู่ขนาน และการจัดสรรโมเดลตามความคุ้มค่าเหมือนการบริหารต้นทุนของบริษัท การฝังเชลล์ 32 เว็บใน 61 วินาทีหมายความว่าเว็บที่ยังไม่แพตช์ wp2shell มีเวลาแทบเป็นศูนย์ระหว่างถูกสแกนเจอกับถูกยึด
ประเด็นการเปิดเซสชันใหม่เพื่อเลี่ยงการปฏิเสธชี้ว่ามาตรการป้องกันของโมเดลที่ประเมินทีละเซสชันมีขีดจำกัด แต่คำปฏิเสธที่ยังได้ผลในงานอันตรายที่สุดก็แสดงว่ามาตรการเหล่านี้ไม่ได้ไร้ผล สำหรับองค์กร บันทึกเซสชันของเอเจนต์ AI กลายเป็นข้อมูลที่ต้องปกป้อง เพราะบันทึกของผู้ก่อภัยในกรณีนี้เผยทั้งเป้าหมายและวิธีการ บันทึกของเอเจนต์ AI ภายในองค์กรเองก็มีความลับในระดับใกล้เคียงกัน
ในด้านโครงสร้างพื้นฐานสำคัญ การสำรวจถึงระดับแพลตฟอร์มสั่งการเครือข่ายไฟฟ้า แม้ยังไม่พบว่าเจาะสำเร็จ ก็เป็นสัญญาณว่าสิทธิ์เข้าถึงที่เก็บไว้อาจถูกส่งต่อให้ผู้ที่ต้องการก่อความเสียหายทางกายภาพ ไม่ใช่แค่ขโมยข้อมูล
คำแนะนำ
- อัปเดต WordPress ให้เป็นเวอร์ชันที่แก้ wp2shell แล้ว และตรวจหาบัญชีผู้ดูแลที่ตรงรูปแบบ
wp2_[0-9a-f]{8}และโฟลเดอร์ปลั๊กอินwp2shell_[0-9a-f]{8} - แพตช์ Support Board (CVE-2026-4815) และ Magento ให้เป็นปัจจุบัน และตรวจหาปลั๊กอินหรือไฟล์ PHP ที่ไม่รู้จัก
- ปิด Redis ไม่ให้เข้าถึงจากอินเทอร์เน็ต บังคับยืนยันตัวตน และตรวจไฟล์
authorized_keysบนเซิร์ฟเวอร์หาคีย์ SSH ที่ถูกเพิ่มโดยไม่ได้รับอนุญาต - ตรวจหาบริการ Windows ชื่อ UpdSvc และการรัน PowerShell แบบ IEX ที่ดึงสคริปต์จากเซิร์ฟเวอร์ภายนอก รวมถึงบล็อก IoC ด้านล่างที่ไฟร์วอลล์และ EDR
- หมุนเวียนรหัสผ่านของบัญชีบริการและบัญชีผู้ดูแลที่ใช้กับระบบลูกค้าและฐานข้อมูลผู้ใช้บริการ และตรวจว่าไม่มี credential หลุดอยู่ในล็อกของอินโฟสตีลเลอร์หรือที่เก็บโค้ดสาธารณะ
- องค์กรที่ใช้เอเจนต์ AI ควรเข้ารหัสบันทึกเซสชัน จำกัดสิทธิ์เข้าถึง และเก็บ audit trail โดยปฏิบัติต่อบันทึกเหล่านี้เหมือน credential
Indicators of Compromise (IoCs)
หมายเหตุ: ที่อยู่ IP และ URL ถูก defang ไว้ (เช่น
[.]) เพื่อป้องกันการเชื่อมต่อโดยไม่ตั้งใจ ให้ re-fang เฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM เท่านั้น
| ประเภท | ตัวบ่งชี้ | คำอธิบาย |
|---|---|---|
| IP | 46[.]21[.]250[.]135 | เครื่องทำงานหลักและโหนดต้นทางของ open directory |
| IP | 45[.]88[.]106[.]2 | เซิร์ฟเวอร์ตั้งเครื่อง (provisioning) พอร์ต 1500 |
| IP | 212[.]193[.]31[.]189 | เกตเวย์รับชำระคริปโตหลายเชน (CryptoPay) |
| IP | 42[.]193[.]227[.]214 | Cobalt Strike Team Server และ PentAGI พอร์ต 9995 |
| IP | 91[.]208[.]184[.]148 | เครื่องทำงานสำรอง |
| IP | 45[.]88[.]106[.]78 | เซิร์ฟเวอร์สแกนวงกว้าง |
| IP | 49[.]234[.]12[.]182 | โหนด staging และส่ง payload ในคลัสเตอร์จีน |
| IP | 42[.]193[.]100[.]94 | โหนดเจาะ Redis และเอเจนต์ PentAGI |
| Endpoint | 42[.]193[.]227[.]214:1002 | Cobalt Strike beacon ผ่าน HTTPS |
| Endpoint | 42[.]193[.]227[.]214:8044 | Cobalt Strike HTTP staging |
| Endpoint | 42[.]193[.]227[.]214:8033 | ส่ง PowerShell IEX stager ของ Cobalt Strike |
| URL pattern | hxxp://42[.]193[.]227[.]214:8033/[a-z0-9]{13} | รูปแบบ URL ดาวน์โหลด PowerShell stager |
| SHA-256 | 92a789444708fa1cb4cc5a89e0aa6cc7a279b62a7b8a4d2857255a18197d0090 | stager3 |
| SHA-256 | a5ae0aab352871bc0b038b3aa43b03eb223425628c884af7b9fc592cd34eb86c | เว็บเชลล์ WSO-S |
| SHA-256 | 71e21094c1ac1cf0275c91ed377965e248bca1c12711f6dd20e2682681fc1192 | 1.bin |
| SHA-256 | 59c535f47ab4d35f6d9fc8b8aec4a72438ea0b89e5a4dcea74b05d2d32cfa483 | config.b |
| Username | wp2_[0-9a-f]{8} | รูปแบบบัญชีผู้ดูแล WordPress ปลอม |
| File path | /wp-content/plugins/wp2shell_[0-9a-f]{8}/ | ตำแหน่งปลั๊กอินเว็บเชลล์ wp2shell |
| Service | UpdSvc | บริการคงการทำงานที่สร้างผ่าน svc.cna |