สรุปสั้น
บริษัท TrendAI เปิดเผยมัลแวร์ตัวใหม่ชื่อ ASHVEIN ซึ่งเป็นทั้ง infostealer และ remote access trojan (RAT) เขียนด้วย .NET และถูกระบุว่าเป็นเครื่องมือของ UAC-0099 กลุ่มจารกรรมไซเบอร์ที่ฝักใฝ่รัสเซีย มัลแวร์นี้ถูกใช้โจมตีเจ้าหน้าที่รัฐบาลยูเครน TrendAI ติดตามกลุ่มนี้ภายใต้ชื่อ Earth Sirrush (เดิมคือ SHADOW-EARTH-065) ASHVEIN ซึ่งผู้พัฒนาเรียกภายในว่า “TelemetryBrowser” รวมความสามารถขโมยรหัสผ่าน สอดแนม และควบคุมเครื่องจากระยะไกลไว้ในตัวเดียว และมีจุดเด่นคือซ่อนคำสั่งไว้ในองค์ประกอบ HTML ที่มองไม่เห็น
การส่งมัลแวร์มีหลายช่องทาง ทั้ง DLL sideloading ไฟล์ดิสก์เสมือน VHD และ dropper .NET ที่สร้างขึ้นเฉพาะ เช่น AnswerFromPolice ที่แสดงเอกสาร Word ปลอมเป็นหนังสือตอบกลับจากตำรวจแห่งชาติยูเครนขณะติดตั้งมัลแวร์อยู่เบื้องหลัง TrendAI ประเมินว่าเป้าหมายของกลุ่มขยายจากหน่วยงานรัฐและทหารไปยังผู้ประกอบการขนส่งและโครงสร้างพื้นฐานพลเรือนที่ส่งกำลังบำรุงให้ยูเครน สอดคล้องกับรายงานของ ESET ก่อนหน้านี้ที่พบ MatchBoil รุ่นใหม่เล็งภาคขนส่ง การผลิต และพลังงาน (โพสต์ 2026/10/050 )
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 8 ตุลาคม 2569 อ้างรายงานของ TrendAI ว่า UAC-0099 ถูกโยงกับ ASHVEIN มัลแวร์ .NET ที่ไม่เคยมีการบันทึกมาก่อน TrendAI ระบุว่า “ASHVEIN ซ่อนคำสั่งงานไว้ในองค์ประกอบ HTML ที่มองไม่เห็น บางร่างใช้ dead drop resolver บน GitHub เป็นกลไกสำรอง ส่วนวิธีส่งมัลแวร์มีทั้ง DLL sideloading, คอนเทนเนอร์ VHD และ dropper .NET เฉพาะ”
UAC-0099 ถูกบันทึกครั้งแรกโดย CERT-UA (ทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของยูเครน) ในเดือนมิถุนายน 2566 และโจมตีหน่วยงานรัฐ กลาโหม หน่วยรักษาชายแดน และโลจิสติกส์ของยูเครนมาตั้งแต่อย่างน้อยกลางปี 2565 หลังรัสเซียบุกยูเครนเต็มรูปแบบ รายงานกิจกรรม APT ของ ESET เมื่อพฤศจิกายน 2568 ระบุว่ากลุ่มนี้อาจทำหน้าที่เป็นนายหน้าสิทธิ์เข้าถึงเริ่มต้น (initial access broker) ให้ Sandworm กลุ่ม APT รัสเซียที่ขึ้นชื่อเรื่องการโจมตีเชิงทำลายในยูเครน
ตลอดหลายปีที่ผ่านมา กลุ่มขยายคลังมัลแวร์อย่างต่อเนื่อง และเปลี่ยนจากเครื่องมือ PowerShell และ Go มาเป็นไบนารี C# ที่คอมไพล์แล้วและป้องกันด้วย .NET Reactor ซ่อนในไฟล์รูปภาพด้วยเทคนิค steganography ไทม์ไลน์ตามรายงานมีดังนี้
| ช่วงเวลา | มัลแวร์ |
|---|---|
| 2565–2567 | LONEPAGE (loader PowerShell), THUMBCHOP (ตัวขโมยข้อมูลเบราว์เซอร์ C#), CLOGFLAG (keylogger), SEAGLOW และ OVERJAM (แบ็กดอร์ Go สำหรับควบคุมแบบโต้ตอบและ reverse proxy) |
| 2567–2568 | MATCHBOIL (loader C#), MATCHWOK (แบ็กดอร์ C#), DRAGSTARE หรือ NordDragonScan (infostealer C#) |
| ตุลาคม 2568 | ASHVEIN หรือ TelemetryBrowser |
| กุมภาพันธ์–เมษายน 2569 | BadPaw หรือ CINDERBLOT (loader .NET) และ MeowMeow (แบ็กดอร์) |
| เมษายน–กรกฎาคม 2569 | LUNCHPOKE (DLL .NET ปลอมเป็นปลั๊กอิน Notepad++), BURNYBEAR (loader .NET), MATCHBOIL.V2 |
วิธีการโจมตี
ความสามารถของ ASHVEIN
ASHVEIN ขโมย credential จาก Chrome และ Firefox จับภาพหน้าจอด้วย GDI ไล่สำรวจและดึงไฟล์ รัน remote shell ผ่าน PowerShell เก็บลายนิ้วมือระบบ และสื่อสารกับเซิร์ฟเวอร์สั่งการ (C2) แบบเข้ารหัส คำสั่งจากผู้โจมตีถูกซ่อนไว้ในองค์ประกอบ HTML ที่ไม่แสดงผลบนหน้าเว็บ ทำให้ทราฟฟิกดูเหมือนการโหลดหน้าเว็บธรรมดา และบางร่างใช้ dead drop resolver บน GitHub เป็นช่องทางสำรองเพื่อหาที่อยู่ C2 ใหม่
TrendAI พบ ASHVEIN 5 บิลด์ที่คอมไพล์ระหว่างวันที่ 8 ถึง 23 ตุลาคม 2568 ใน 3 รูปแบบการแพ็ก ความสามารถของ ASHVEIN ทับซ้อนกับ DRAGSTARE ทั้งการขโมย credential ภาพหน้าจอ การเก็บไฟล์ และการเก็บข้อมูลระบบผ่าน WMI แต่ DRAGSTARE คอมไพล์โดยบัญชีนักพัฒนา “NordDragon” มีการตรวจ VM และสแกนซับเน็ต ขณะที่ ASHVEIN คอมไพล์โดยบัญชี “dev” และแพ็กต่างกัน TrendAI จึงสรุปว่าเป็น “การพัฒนาเครื่องมือคู่ขนานภายใต้บัญชีนักพัฒนาต่างกันเพื่อตอบความต้องการปฏิบัติการเดียวกัน”
ช่องทางส่งมัลแวร์
UAC-0099 ใช้ DLL sideloading (TrendAI เรียกว่า FORGECLAMP) ไฟล์ VHD และ dropper .NET ตัวอย่างเด่นคือ AnswerFromPolice ซึ่งฝังเอกสาร Microsoft Word ที่อ้างว่าเป็นหนังสือตอบกลับจากตำรวจแห่งชาติยูเครน เมื่อเหยื่อเปิดไฟล์จะเห็นเอกสารหลอกขณะที่มัลแวร์ถูกติดตั้งเบื้องหลัง TrendAI ระบุว่า “การแอบอ้างหน่วยงานรัฐร่วมกับเนื้อหาหลอกที่น่าเชื่อถือ ถูกออกแบบมาเพิ่มโอกาสที่ผู้รับจะเปิดและเชื่อไฟล์”
MATCHBOIL และ GuardBreaker
ESET ระบุว่า MATCHBOIL ดาวน์โหลดเดอร์ C# ถูกพัฒนาต่อเนื่องตั้งแต่อย่างน้อยเมษายน 2567 รุ่นล่าสุดอยู่ในรูป DLL ที่รันผ่าน loader C# และยกเลิกการทำงานหากวันที่ติดตั้งระบบปฏิบัติการเก่ากว่าวันที่รันมัลแวร์ตั้งแต่ 10 วันขึ้นไป (รายละเอียดเต็มในโพสต์ 2026/10/050 ) นาย Fernando Tavella นักวิจัยของ ESET ระบุว่าเทคนิค GuardBreaker ที่ฝังข้อความขอวิธีสร้างอาวุธนิวเคลียร์ใน VBScript เพื่อให้ LLM ปฏิเสธการวิเคราะห์โค้ด (โพสต์ 2026/09/006 ) น่าจะเป็นการทดลองช่วงสั้น เพราะกลุ่มเลิกใช้เทคนิคนี้แล้ว
ผลกระทบ
ASHVEIN ทำให้ UAC-0099 มีเครื่องมือที่ทั้งขโมยข้อมูลและควบคุมเครื่องได้ในตัวเดียว การซ่อนคำสั่งใน HTML และใช้ GitHub เป็นช่องทางสำรองทำให้ทราฟฟิก C2 กลมกลืนกับการท่องเว็บปกติ ส่วนการพัฒนาเครื่องมือคู่ขนานหลายตัวที่ทำหน้าที่ใกล้กันบ่งชี้ว่ากลุ่มมีทรัพยากรและทีมพัฒนามากกว่าหนึ่งชุด การตรวจจับที่ยึดมัลแวร์ตัวใดตัวหนึ่งจึงไม่พอ
ประเด็นสำคัญกว่าคือทิศทางของเป้าหมาย TrendAI ระบุว่า “เป้าหมายขยายเกินหน่วยงานรัฐและทหาร ไปถึงผู้ประกอบการโลจิสติกส์และโครงสร้างพื้นฐานพลเรือนที่ส่งกำลังบำรุงให้ยูเครน” และ “เมื่อสงครามยืดเยื้อ คุณค่าของการเข้าใจเครือข่ายโลจิสติกส์ของยูเครนก็สูงขึ้น ปฏิบัติการไซเบอร์จึงเดินตามตรรกะเดียวกับปฏิบัติการทางทหาร” เมื่อประกอบกับบทบาทนายหน้าสิทธิ์เข้าถึงให้ Sandworm สิทธิ์เข้าถึงที่ UAC-0099 ได้จากบริษัทพลเรือนอาจถูกส่งต่อไปใช้ในการโจมตีเชิงทำลาย
คำแนะนำ
- ระวังไฟล์แนบหรือลิงก์ที่อ้างเป็นหนังสือราชการ หนังสือตอบกลับจากตำรวจ หรือหมายศาล โดยเฉพาะไฟล์ VHD/ISO และไฟล์ปฏิบัติการที่แสดงเอกสารหลอก
- บล็อกหรือจำกัดการ mount ไฟล์ VHD/VHDX ที่มาจากอีเมลหรืออินเทอร์เน็ตผ่าน Group Policy
- ตรวจจับ DLL sideloading โดยเฝ้าดูโปรแกรมที่ถูกต้องซึ่งรันจากโฟลเดอร์ที่ผิดปกติ (เช่น
%TEMP%,%APPDATA%) และโหลด DLL ที่ไม่มีลายเซ็น - เฝ้าระวังโปรเซส .NET ที่เข้าถึงไฟล์ฐานข้อมูลรหัสผ่านของ Chrome/Firefox หรือเรียก PowerShell แบบซ่อนหน้าต่าง
- ตรวจทราฟฟิกที่ดึงหน้าเว็บหรือไฟล์จาก GitHub เป็นระยะจากเครื่องที่ไม่ได้ใช้ GitHub ในงานจริง ซึ่งอาจเป็น dead drop resolver
- องค์กรด้านขนส่งและโครงสร้างพื้นฐานที่ทำงานร่วมกับยูเครนควรนำ IoC จากรายงานของ TrendAI และ ESET เข้าระบบล่าภัยคุกคาม