สรุปสั้น
นักวิจัยจากบริษัท Cofense พบแคมเปญฟิชชิงที่เล็งพนักงานโรงแรม โดยส่งอีเมลร้องเรียนและรีวิวเชิงลบปลอมถึงฝ่ายต้อนรับ ฝ่ายสำรองห้องพัก และฝ่ายลูกค้าสัมพันธ์ เนื้อหาบรรยายถึงห้องพักสกปรก ข้อพิพาทกับพนักงาน หรือขู่ดำเนินคดี แล้วแนบลิงก์ไปยังรูป วิดีโอ หรือเอกสารที่อ้างว่าเป็นหลักฐาน แรงกดดันที่ต้องรีบจัดการเรื่องร้องเรียนเพื่อปกป้องชื่อเสียงของโรงแรมจึงถูกใช้เป็นเหตุผลให้พนักงานเปิดไฟล์อันตราย ซึ่งแท้จริงคือไฟล์ทางลัด Windows (LNK) ที่ปลอมเป็นรูป JPG
เมื่อเปิดไฟล์ ระบบจะดาวน์โหลด Node.js แล้วติดตั้งมัลแวร์ EtherRAT หรือ TONResolver มัลแวร์ทั้งสองไม่ได้ฝังที่อยู่เซิร์ฟเวอร์สั่งการ (C2) ไว้ในตัว แต่อ่านจากสมาร์ตคอนแทรกต์บนบล็อกเชน Ethereum และ TON ตามลำดับ ผู้โจมตีจึงเปลี่ยน C2 ใหม่ได้ด้วยธุรกรรมเดียวโดยไม่ต้องส่งมัลแวร์ใหม่ไปยังเครื่องที่ติดแล้ว และการปิดโดเมนหรือโฮสติงเพียงอย่างเดียวไม่พอจะหยุดแคมเปญ Cofense ประเมินด้วยความมั่นใจระดับกลางว่ากิจกรรมนี้ต่อยอดจากแคมเปญฟิชชิงธีม Booking.com ที่เคยโจมตีโรงแรมก่อนหน้านี้
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 8 ตุลาคม 2569 อ้างรายงานของ Cofense ที่เขียนโดยนาย Kahng An นักวิเคราะห์ข่าวกรองภัยคุกคาม ซึ่งเผยแพร่เมื่อวันที่ 7 ตุลาคม 2569 ว่าพบ EtherRAT และ TONResolver ในแคมเปญที่ใช้อีเมลร้องเรียนปลอมโจมตีธุรกิจโรงแรม อีเมลถูกส่งไปยังกล่องจดหมายของทีมที่ต้องรับมือกับข้อร้องเรียนของลูกค้าเป็นงานประจำ ทำให้ข้อความลักษณะนี้ไม่ดูผิดปกติในสายตาผู้รับ
Cofense ประเมินด้วยความมั่นใจระดับกลางว่าแคมเปญนี้เป็นความต่อเนื่องของแคมเปญฟิชชิงธีม Booking.com ก่อนหน้า ซึ่งใช้ข้อความจองห้องพักปลอมและหน้า ClickFix หลอกให้พนักงานวางคำสั่งลงหน้าต่าง Run ของ Windows และมักลงเอยด้วยการติดตั้ง PureRAT หรือ NetSupport Manager อย่างไรก็ตาม Cofense ยอมรับว่าความคล้ายคลึงอาจเกิดจากการที่หลายกลุ่มใช้เครื่องมือมัลแวร์ชุดเดียวกันก็ได้ และแม้รายงานเก่าจะชี้ว่าเครื่องในโรงแรมที่ติดมัลแวร์อาจถูกใช้ต่อยอดไปสู่การฉ้อโกงผ่านบัญชีจองห้องพัก แต่ Cofense ไม่ได้ยืนยันผลลัพธ์นั้นในแคมเปญนี้ เหตุผลที่ Cofense โยงสองแคมเปญเข้าด้วยกันคือธีมอีเมลที่เล็งธุรกิจที่พักเหมือนกัน และจังหวะเวลาที่แคมเปญ ClickFix ธีม Booking.com ซาลงก่อนที่ Cofense จะพบตัวอย่าง TONResolver ตัวแรก
อีเมลชุดใหม่ต่างจากชุดเดิมตรงที่ส่งตรงถึงอีเมลของโรงแรมแต่ละแห่ง ใช้น้ำเสียงเผชิญหน้ามากขึ้น และบางครั้งถูกส่งเป็นการตอบกลับในเธรดอีเมลหลังผู้โจมตีเปิดบทสนทนาแบบปกติไปก่อน ทำให้พนักงานเห็นว่าเป็นการคุยต่อกับแขกที่เคยติดต่อมาแล้ว
Cofense ยังประเมินด้วยความมั่นใจระดับกลางว่าผู้โจมตีใช้ generative AI สลับถ้อยคำในอีเมลให้ต่างกันไปเรื่อย ๆ ทำให้การกรองด้วยคำหรือประโยคตายตัวได้ผลน้อยลง EtherRAT เคยถูกพบมาก่อนในแคมเปญอื่น เช่น ClickFix ที่ติดตั้ง Potemkin Loader (โพสต์ 2026/06/125 ) และการปลอมเป็นทีมไอทีโทรผ่าน Microsoft Teams (โพสต์ 2026/07/082 ) แต่การใช้มัลแวร์ตัวเดียวกันไม่ได้แปลว่าเป็นผู้โจมตีกลุ่มเดียวกัน
วิธีการโจมตี
ห่วงโซ่การส่งมัลแวร์
ลิงก์ในอีเมลพาไปดาวน์โหลดไฟล์บีบอัดที่มีไฟล์ LNK ซึ่งตั้งชื่อและไอคอนให้ดูเหมือนรูป JPG การเปิดไฟล์จึงเป็นการรันโค้ดแทนการแสดงรูปถ่าย ในไฟล์บีบอัดยังมีไฟล์ MP4 หลอกที่ขนาดเปลี่ยนไปทุกครั้งที่ดาวน์โหลด ซึ่งน่าจะทำให้แฮชของไฟล์บีบอัดไม่ซ้ำกัน และลดประสิทธิภาพของการตรวจจับด้วยลายเซ็นไฟล์ตายตัว
ไฟล์ LNK จะดาวน์โหลด Node.js ซึ่งเป็นสภาพแวดล้อมรัน JavaScript ที่ถูกกฎหมาย แล้วติดตั้งมัลแวร์ตัวใดตัวหนึ่ง เนื่องจากมัลแวร์ทั้งสองตระกูลรันบน Node.js เหมือนกัน Cofense จึงมองว่าอาจมี loader ร่วมกัน แต่ไม่ถือเป็นหลักฐานว่าเป็นผู้ปฏิบัติการรายเดียว
ซ่อน C2 บนบล็อกเชน (blockchain dead drop resolving)
EtherRAT อ่านสมาร์ตคอนแทรกต์บน Ethereum ผ่านบริการ JSON-RPC สาธารณะด้วยคำขออย่าง eth_call แล้วถอดรหัสข้อมูลเลขฐานสิบหกที่ได้กลับมา และแกะการปิดบังแบบง่ายออกเพื่อได้โดเมนหรือ IP ของ C2 ปัจจุบัน ส่วน TONResolver ใช้กระบวนการเดียวกันผ่าน API สาธารณะของบล็อกเชน TON โดยอ่านข้อมูลที่ผูกกับกระเป๋าหรือสมาร์ตคอนแทรกต์ ความต่างของสองตัวจึงอยู่ที่บล็อกเชนที่ใช้เก็บที่อยู่ ไม่ได้อยู่ที่ว่ายังต้องพึ่งเซิร์ฟเวอร์สั่งการภายนอกหรือไม่
เทคนิคนี้เรียกว่า blockchain dead drop resolving ซึ่งเป็นรูปแบบหนึ่งของ Dead Drop Resolver ใน MITRE ATT&CK (T1102.001 ติดตามมาตั้งแต่มีนาคม 2563) ต่างจากการซ่อน C2 ในคอมเมนต์โซเชียลมีเดีย เว็บ pastebin หรือคำอธิบายช่อง Telegram ตรงที่ข้อมูลบนบล็อกเชนลบไม่ได้และไม่มีเจ้าของรายเดียวให้ส่งคำขอปิด บล็อกเชนทำหน้าที่เก็บ “ป้ายบอกทาง” ไปยัง C2 ไม่ได้เป็นเซิร์ฟเวอร์ที่ส่งคำสั่งเอง ผู้โจมตีประกาศปลายทางใหม่ได้ด้วยการทำธุรกรรม เครื่องที่ติดแล้วจะหาเซิร์ฟเวอร์ทดแทนได้เองโดยไม่ต้องรับไฟล์มัลแวร์ใหม่ การถอดเซิร์ฟเวอร์จึงไม่ลบบันทึกบนบล็อกเชนที่ชี้ไปยังเซิร์ฟเวอร์ตัวใหม่ คำขอไปยัง API บล็อกเชนสาธารณะยังดูคล้ายทราฟฟิกของกระเป๋าคริปโตปกติ และ Cofense เตือนว่าการบล็อกเฉพาะการเข้าถึง Ethereum อาจยังปล่อยให้ TON ใช้งานได้ในแคมเปญที่ใช้มัลแวร์อีกตระกูล
ผลกระทบ
ธุรกิจโรงแรมเป็นเป้าหมายที่เหมาะกับกลยุทธ์นี้ เพราะพนักงานหน้าบ้านต้องเปิดอีเมลและไฟล์แนบจากคนนอกที่ไม่รู้จักทุกวัน และข้อร้องเรียนที่ขู่เรื่องรีวิวหรือการฟ้องร้องสร้างแรงกดดันให้ตัดสินใจเร็ว เครื่องที่ติด RAT ในฝ่ายต้อนรับมักเข้าถึงระบบจัดการห้องพัก (PMS) บัญชีบนแพลตฟอร์มจองห้องพัก และข้อมูลแขก ซึ่งเคยถูกใช้หลอกโอนเงินจากแขกในแคมเปญธีม Booking.com มาแล้ว แม้ Cofense จะยังไม่ยืนยันว่าแคมเปญนี้ไปถึงขั้นนั้น
ในเชิงการป้องกัน การใช้บล็อกเชนเป็นตัวชี้ C2 ทำให้การ takedown โดเมนได้ผลเพียงชั่วคราว ส่วนไฟล์ MP4 ที่เปลี่ยนขนาดและอีเมลที่ AI สลับถ้อยคำทำให้การตรวจจับด้วยแฮชหรือคำตายตัวอ่อนลง Cofense ยังเตือนว่ากล่องอีเมลสาธารณะของฝ่ายบริการลูกค้า ฝ่ายขาย และฝ่ายพัฒนาธุรกิจในอุตสาหกรรมอื่นเสี่ยงต่อกลยุทธ์แบบเดียวกัน
คำแนะนำ
- อบรมพนักงานฝ่ายต้อนรับ สำรองห้องพัก และลูกค้าสัมพันธ์ให้ระวังลิงก์ “หลักฐาน” ในอีเมลร้องเรียน แม้ผู้ส่งจะขู่ว่าต้องจัดการทันที และให้ส่งต่อทีมไอทีตรวจก่อนเปิด
- บล็อกหรือแจ้งเตือนการรันไฟล์
.lnkที่แตกออกจากไฟล์บีบอัดหรือมาจากโฟลเดอร์ดาวน์โหลด และตั้งค่าให้ Windows แสดงนามสกุลไฟล์ - ตรวจหาการดาวน์โหลดและรัน Node.js (
node.exe) บนเครื่องของพนักงานที่ไม่ได้ทำงานพัฒนาซอฟต์แวร์ เป็นสัญญาณที่ควรสืบสวนทันที - เฝ้าระวังคำขอไปยัง Ethereum JSON-RPC (
eth_call) และ API ของ TON จากเครื่องที่ไม่มีเหตุผลทางธุรกิจในการใช้งานบล็อกเชน และพิจารณาบล็อกทั้งสองเครือข่าย ไม่ใช่แค่ Ethereum - เชื่อมโยงข้อมูลจาก EDR กับหลักฐานในระบบอีเมล เพื่อหาผู้รับรายอื่นที่ได้อีเมลชุดเดียวกัน
- นำ IoC ด้านล่างเข้าระบบป้องกัน และอย่าพึ่งการตรวจจับด้วยแฮชไฟล์เป็นหลัก เพราะผู้โจมตีจงใจเปลี่ยนแฮชทุกครั้ง
Indicators of Compromise (IoCs)
โดเมนและ URL ทั้งหมด defang แล้ว (
[.],hxxps[://]) ก่อนใช้งานในแพลตฟอร์มข่าวกรองภัยคุกคามต้องแปลงกลับ
| มัลแวร์ | ประเภท | ค่า |
|---|---|---|
| EtherRAT | สมาร์ตคอนแทรกต์ Ethereum | 0x277852e1C349b03c79E348018a8391bD21C412E8 |
| EtherRAT | C2 URL | hxxps[://]gateway001kir[.]com |
| EtherRAT | C2 URL | hxxps[://]sslgateway001[.]com |
| EtherRAT | C2 URL | hxxps[://]waygatterol002[.]com |
| EtherRAT | C2 URL | hxxps[://]lotus-vista-additions-joshua[.]trycloudflare[.]com |
| EtherRAT | C2 URL | hxxps[://]perrine90-deltajohnsons[.]com |
| EtherRAT | C2 URL | hxxps[://]kadmecnp-643laolmd[.]com |
| EtherRAT | C2 URL | hxxps[://]lermontov-656idlop[.]com |
| EtherRAT | C2 URL | hxxps[://]dns1[.]southafricanorth[.]cloudapp[.]azure[.]com |
| EtherRAT | โดเมน C2 | fdffofofofo4[.]com |
| EtherRAT | C2 URL | hxxps[://]update[.]norwayeast[.]cloudapp[.]azure[.]com |
| EtherRAT | C2 URL | hxxps[://]allres[.]southafricanorth[.]cloudapp[.]azure[.]com |
| EtherRAT | C2 URL | hxxps[://]synctimes[.]australiaeast[.]cloudapp[.]azure[.]com |
| EtherRAT | C2 URL | hxxps[://]opencode-setup-al[.]com |
| EtherRAT | C2 URL | hxxps[://]luxmaxing[.]southafricanorth[.]cloudapp[.]azure[.]com |
| TONResolver | สมาร์ตคอนแทรกต์ TON | 0:c66119f0e5635c4380441d7a79baf0c02a0ab7ea6cd78de06507fc5dc2c1a5d9 |
| TONResolver | โดเมน C2 | amanohuguta[.]cfd |
| TONResolver | โดเมน C2 | hsaertyuoang34[.]sbs |
| TONResolver | โดเมน C2 | zloapobikahy23[.]bond |
| TONResolver | โดเมน C2 | tonajukbhuakpo2[.]shop |
| TONResolver | โดเมน C2 | njzlopghznkamkl[.]cfd |
| TONResolver | โดเมน C2 | nuypoiaklber[.]lol |