Hunt.io แกะใบรับรอง TLS พบโครงสร้าง C2 ของ BraZetsu ย้ายเซิร์ฟเวอร์ไปก่อนรายงานสาธารณะเกือบ 5 เดือน — ชี้ตรวจจับจาก "รูปแบบ" ดีกว่าไล่ IP รายเดือน

สรุปสั้น

บริษัท Hunt.io เผยแพร่ผลวิเคราะห์โครงสร้างพื้นฐานของ BraZetsu เฟรมเวิร์กมัลแวร์ภาษา Python บนวินโดวส์ที่ใช้เจาะเครื่องแล้วคัดเกรดส่งขึ้นร้านขายสิทธิ์เข้าถึง Infected Marketplace โดยไม่ได้แกะไบนารีซ้ำ แต่นำชื่อโฮสต์และ IP ที่บริษัท Group-IB เคยเผยแพร่ไว้เมื่อ 31 สิงหาคม 2569 (ดูโพสต์ 2026/09/026 ) มาเทียบกับคลังใบรับรอง TLS ของตนเอง ผลคือโฮสต์ C2 c2.installscenter[.]com ย้ายไปให้บริการ TLS บนเซิร์ฟเวอร์ใหม่ของผู้ให้บริการ Njalla ตั้งแต่ 4 เมษายน 2569 หรือเกือบ 5 เดือนก่อนที่รายงานสาธารณะจะออกมา ตัวบ่งชี้ที่ทีมป้องกันนำไปบล็อกหลังรายงานจึงตามหลังผู้โจมตีไปไกลแล้ว

สิ่งที่ Hunt.io ชี้ว่าคงที่กว่าคือนิสัยการตั้งค่าของผู้ควบคุม ทั้งการใช้ Hestia Control Panel และการตั้งชื่อโฮสต์ขึ้นต้นด้วย painel. หรือ c2. บนพอร์ตที่ไม่ใช่ 443 รูปแบบนี้คงอยู่ตั้งแต่กุมภาพันธ์ถึงมิถุนายน 2569 ข้ามผู้ให้บริการ 2 ราย ขณะที่แฮชของมัลแวร์เปลี่ยนไปถึง 5 เวอร์ชันในเวลา 4 เดือน บริการ TLS บนเซิร์ฟเวอร์ใหม่เงียบไปหลัง 20 มิถุนายน แต่ยังพบใบรับรอง wildcard ของ *.installscenter.com ออกใหม่ล่าสุดเมื่อ 2 ตุลาคม Hunt.io แจ้ง CERT ระดับประเทศที่เกี่ยวข้องก่อนเผยแพร่ และยืนยันว่าไม่ได้กู้คืนข้อมูลเหยื่อใด ๆ ระหว่างการสืบสวน

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 8 ตุลาคม 2569 อ้างรายงานของ Hunt.io ที่เผยแพร่เมื่อวันที่ 6 ตุลาคม 2569 ว่า BraZetsu เป็นเครื่องมือของนายหน้าขายสิทธิ์เข้าถึงเริ่มต้น (initial access broker) ที่เจาะเครื่องวินโดวส์ผ่านฟิชชิง แล้วตรวจหาซอฟต์แวร์ ERP ร่องรอยระบบ SCADA ผลิตภัณฑ์ EDR และไฟล์ใบรับรองดิจิทัล ก่อนจัดแพ็กข้อมูลขึ้นขายบน Infected Marketplace (หรือ Banco de Infects) ซึ่งเก็บค่ามัดจำราว 5.80 ดอลลาร์สหรัฐ (ประมาณ 30 เรียลบราซิล) ผ่าน NowPayments ก่อนให้ผู้ซื้อเข้าดูรายการ ผู้ซื้อที่นำเครื่องไปปล่อยแรนซัมแวร์หรือขโมยเงินจากบัญชีธนาคารไม่จำเป็นต้องรู้ว่า BraZetsu ทำงานอย่างไร เพียงซื้อเครื่องที่ถูกเจาะไว้แล้ว Group-IB ระบุว่าเฟรมเวิร์กนี้คอมไพล์ด้วย Nuitka และโยงกับผู้โจมตีชาวบราซิลชื่อ Exilware ด้วยความมั่นใจสูง

Hunt.io อธิบายแนวทางว่า “เราไม่ได้ reverse ไบนารีอีกรอบ เราเอาตัวบ่งชี้ที่เผยแพร่แล้วมาเช็กว่าคลังใบรับรองของเรายังเห็นอะไรอยู่” โดยให้เหตุผลว่าผู้ควบคุมที่วางแผงควบคุมและช่องทางสั่งการไว้ใต้โดเมนหลักเดียวกัน ใช้ Let’s Encrypt บนพอร์ตที่ไม่ใช่ 443 จะทิ้งร่องรอยในคลังใบรับรองที่คงทนกว่า “ที่อยู่ IP ประจำเดือน” ไบนารีเปลี่ยนได้ตลอดเวลา แต่ชื่อโฮสต์ที่ผูกกับใบรับรอง TLS ที่ใช้งานได้จริงเปลี่ยนยากกว่ามาก ผลการค้นพบว่า c2.installscenter[.]com อยู่บน IP เดียวกับโฮสต์แผงควบคุม painel.installscenter[.]com บนเซิร์ฟเวอร์ 80.78.27[.]252 ของ Njalla ในสวีเดน

วิธีการโจมตี

ไทม์ไลน์โครงสร้างพื้นฐาน

IP ตั้งต้น 38.242.246[.]176 เป็น VPS ของ Contabo ช่วงมกราคมถึงต้นกุมภาพันธ์ 2569 แสดงเพียงชื่อโฮสต์ค่าเริ่มต้นของผู้ให้บริการ จนถึงวันที่ 11 กุมภาพันธ์ ซึ่งตรงกับช่วงที่ Group-IB ระบุว่า BraZetsu เวอร์ชันแรกเริ่มใช้งาน ใบรับรองบนพอร์ต 8083 เปลี่ยนเป็น painel.seu-dominio.com ซึ่งเป็นชื่อตัวอย่างภาษาโปรตุเกสแปลว่า “โดเมนของคุณ” ที่ลอกมาจากบทสอนตั้งค่าโฮสติ้ง ชื่อนี้ปรากฏ 17 ครั้งตลอด 5 สัปดาห์ ทุก 2-4 วัน ซึ่ง Hunt.io มองว่าเป็นสัญญาณของแผงควบคุมที่เปิดใช้งานต่อเนื่องจริง ไม่ใช่หน้าเว็บที่ตั้งขึ้นชั่วคราว ร่องรอยสุดท้ายบนเครื่องนี้อยู่ที่ 17 มีนาคม และเครื่องเงียบบนพอร์ต 443 ตั้งแต่ 20 มีนาคม

วันที่ 21 มีนาคม 2569 โดเมน installscenter.com ถูกจดทะเบียนผ่าน Tucows และในวันเดียวกันโฮสต์ใหม่ที่ Njalla (AS39287) ก็เริ่มทำงานด้วยการตั้งค่า Hestia Control Panel แบบเดิมและคำนำหน้า painel. เหมือนเดิม ใบรับรอง Let’s Encrypt ของ painel. และ c2.installscenter.com ออกระหว่าง 21-22 มีนาคม ข้อมูล passive DNS แสดงว่า c2.installscenter[.]com ชี้ไปที่ 80.78.27[.]252 ระหว่าง 22-26 มีนาคม ก่อนย้ายไปอยู่หลัง Cloudflare (104.21.78.246, 172.67.138.224) ตั้งแต่ 26 มีนาคม แต่บริการ TLS บน IP เดิมยังทำงานต่อ โดย C2 อยู่บนพอร์ต 2083 ตั้งแต่ 4 เมษายน และแผงควบคุมอยู่บนพอร์ต 8443 ตั้งแต่ 6 เมษายน และ 8083 ตั้งแต่ 16 พฤษภาคม ใบรับรองของ C2 ออกใหม่เมื่อ 21 พฤษภาคม ก่อนที่พอร์ต TLS ทั้งหมดจะเงียบระหว่าง 16-20 มิถุนายน ส่วนวันที่ 24 กรกฎาคม พบชุดคีย์ SSH ชุดใหม่บนเครื่องเดิม

ลายนิ้วมือที่คงที่

ทั้งสองโฮสต์มีค่า JARM ตรงกันบนพอร์ต 8083 และ 8443 ซึ่ง Hunt.io ระบุอย่างระมัดระวังว่าแสดงว่าตั้งค่าแผงควบคุมแบบเดียวกัน แต่ไม่ได้พิสูจน์ว่าเป็นผู้ควบคุมคนเดียวกัน พอร์ต 8083 คือพอร์ตผู้ดูแลค่าเริ่มต้นของ Hestia ส่วนพอร์ต 2083 ใช้เป็นช่อง C2 และ 8443 ใช้ทั้งแผงควบคุมและ WebSocket ฝั่งปลายทาง Hunt.io แนะนำให้มองหาไฟล์ปฏิบัติการที่คอมไพล์ด้วย Nuitka และไม่มีลายเซ็น การคัดลอกไฟล์ History ของเบราว์เซอร์ Chromium ไปไว้ใน %TEMP% การไล่หาไฟล์ .pfx และ Run key ชื่อ MonitorSystem ที่เวอร์ชันแรกใช้คงสิทธิ์

รายงานมีจุดที่ขัดกันเองเล็กน้อย คือส่วนหนึ่งระบุว่าเห็นใบรับรองของ painel.installscenter.com วันที่ 9, 10 และ 12 มิถุนายน ขณะที่ตารางอีกส่วนให้วันแรกที่พบบนพอร์ต 8083 เป็น 16 พฤษภาคม และ Hunt.io เตือนว่าใบรับรองบางชุดไม่ปรากฏมากว่า 30 วันแล้วนับถึง 5 กันยายน การรันคิวรีซ้ำตอนนี้จึงอาจไม่พบอะไร

ผลกระทบ

ประเด็นหลักของรายงานไม่ได้อยู่ที่ BraZetsu เพียงตัวเดียว แต่อยู่ที่ว่าตัวบ่งชี้อะไร “รอด” หลังรายงานสาธารณะ แฮชที่หมุนไป 5 เวอร์ชันในเวลา 4 เดือนแทบไม่มีค่าเป็นสัญญาณตรวจจับระยะยาว และ IP ที่เผยแพร่อาจล้าสมัยไปหลายเดือนก่อนรายงานออก ทีมที่สร้างกฎจากรายงาน threat intelligence แล้วบล็อกเฉพาะ IP และแฮชจึงอาจได้แค่ความรู้สึกว่าป้องกันแล้ว ขณะที่โครงสร้างจริงของผู้โจมตีย้ายไปอยู่ที่อื่นแล้ว

ผลกระทบต่อเหยื่อของ BraZetsu ยังคงเป็นห่วงโซ่แบบนายหน้า เครื่องที่ถูกเจาะซึ่งมีซอฟต์แวร์ ERP ร่องรอย SCADA หรือไฟล์ใบรับรองจะถูกตีราคาสูงขึ้นและอาจถูกขายต่อให้กลุ่มแรนซัมแวร์หรือกลุ่มฉ้อโกงธนาคาร รายงานของ Hunt.io ไม่ได้ระบุจำนวนเหยื่อ และไม่ได้ระบุว่าแคมเปญเล็งประเทศใดเป็นพิเศษ นอกจากบริบทภาษาโปรตุเกสของผู้ควบคุมและร้านค้า

คำแนะนำ

• สร้างกฎตรวจจับจากรูปแบบ ไม่ใช่ IP รายเดือน: เฝ้าดูใบรับรองใหม่ที่ขึ้นต้นด้วย painel. หรือ c2. บนพอร์ต 2083, 8083 หรือ 8443 และรันคิวรีซ้ำทุกสัปดาห์
• ใช้ตรรกะ SIEM ตามที่ Hunt.io เสนอ (ปรับชื่อฟิลด์ให้ตรงระบบ): DNS ไปยังโดเมนในตาราง IoC หรือปลายทาง IP ที่ระบุ หรือการเชื่อมต่อพอร์ต 2083/8083/8443 ไปยัง AS51167 หรือ AS39287 ที่ SNI ขึ้นต้นด้วย painel. หรือ c2. · คาดว่าจะมี false positive จากเซิร์ฟเวอร์ภาษาโปรตุเกสที่ใช้ Hestia และเงื่อนไข ASN จะพลาดทราฟฟิกที่ผ่าน Cloudflare
• ใส่ IP ลง blocklist พร้อมวันที่พบครั้งแรกและวันที่ต้องทบทวน เพราะ IP ในตารางอาจถูกผู้อื่นใช้ต่อแล้ว
• ฝั่งเอ็นด์พอยต์ ค้นหาไฟล์ Nuitka ที่ไม่มีลายเซ็น ไฟล์ History ของ Chromium ใน %TEMP% การไล่หาไฟล์ .pfx และ Run key MonitorSystem
• หากพบสัญญาณ ให้แยกเครื่องทันที เก็บหลักฐานใน %TEMP% และ Run key และ ถือว่าสิทธิ์เข้าถึงเครื่องนั้นอาจถูกขายต่อไปแล้ว จึงต้องเปลี่ยนรหัสผ่าน เพิกถอนใบรับรองที่อยู่บนเครื่อง และไล่ตรวจการเข้าถึงต่อเนื่อง

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.], hxxp) ก่อนใช้งานต้องแปลงกลับ · Hunt.io เตือนว่า painel.seu-dominio[.]com เป็นแค่ชื่อในใบรับรอง ห้ามบล็อกเป็นโดเมน

เครือข่าย

ใบรับรอง TLS (SHA-256)

ปลายทางและไฟล์

รายงานต้นฉบับมีแฮชตัวอย่างทั้งหมด 16 ค่า ข้างต้นคัดมา 6 ค่า ดูรายการเต็มที่ Hunt.io

แหล่งอ้างอิง

• Hunt.io — BraZetsu access broker infrastructure
• Security Affairs — Hunt.io Finds New BraZetsu Infrastructure Months Before Disclosure
• The Hacker News — ThreatsDay: Ransomware Affiliate Betrayal, WhatsApp RAT, Exposed Hacker Tools and 12 More Stories