สรุปสั้น

สำนักงานสอบสวนกลางสหรัฐ (FBI) และหน่วยงานจากอีก 6 ประเทศออกคำเตือนร่วมเมื่อวันที่ 8 ตุลาคม 2569 ว่าแฮ็กเกอร์ที่ผูกกับบริษัท Integrity Technology Group บริษัทความปลอดภัยไซเบอร์ของจีน ขโมยอีเมลจากหน่วยงานรัฐ หน่วยงานบังคับใช้กฎหมาย ระบบสาธารณสุข และองค์กรศาสนาในเอเชียตะวันออกเฉียงใต้ กลุ่มนี้เจาะเครือข่ายมาตั้งแต่อย่างน้อยกลางเดือนมกราคม 2564 โดยสแกนเว็บไซต์ด้วยเครื่องมือที่มีสคริปต์กว่า 1,300 ตัว เดารหัสผ่านบัญชี Microsoft 365 และ Exchange แล้วคัดลอกกล่องจดหมายด้วยเครื่องมือดูดอีเมลโดยเฉพาะ เป้าหมายยังรวมถึงหน่วยงานรัฐ การผลิต สาธารณสุข ไอที การศึกษา และองค์กรศาสนาในสหรัฐ รวมถึงองค์กรในแอฟริกาและอเมริกาเหนือ

จุดที่น่ากังวลคือกลุ่มนี้เปิดเว็บแอปพลิเคชันที่ “ให้บุคคลที่สามเข้าถึงเนื้อหาอีเมลที่ขโมยมา” โดยคำเตือนไม่ได้ระบุว่าบุคคลที่สามคือใคร คำเตือนใช้ภาษาปัจจุบันบรรยายการแฮ็ก แต่ไม่ได้ระบุวันที่ขโมยข้อมูลหรือจำนวนองค์กรที่ถูกเจาะ Integrity Technology Group ถูกกระทรวงการคลังสหรัฐคว่ำบาตรเมื่อมกราคม 2568 และสหราชอาณาจักรคว่ำบาตรเมื่อธันวาคม 2568 และเป็นบริษัทเดียวกับที่ควบคุมบอตเน็ต Raptor Train ซึ่ง FBI รื้อถอนไปเมื่อกันยายน 2567 ส่วนบริษัทปฏิเสธข้อกล่าวหาของสหรัฐมาตั้งแต่ต้นปี 2568

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 ตุลาคม 2569 อ้างคำเตือนร่วมที่จัดทำจากหลักฐานที่ FBI เก็บได้และสังเกตการณ์ระหว่างการสืบสวนหลายคดีที่เกี่ยวกับบริษัทนี้ คำเตือนบรรยาย Integrity Technology Group ว่าเป็น “บริษัทแสวงหากำไรในจีนที่มีความเชื่อมโยงกับรัฐบาลจีน” ซึ่งพนักงานสร้างหรือจัดหาเครื่องมือไซเบอร์ “เพื่อใช้และขาย” โฮสต์โครงสร้างพื้นฐาน และเจาะเครือข่าย คำเตือนใช้คำว่า “ผู้ก่อภัยคุกคาม” เรียกรวมทั้งบริษัทและแฮ็กเกอร์ที่บริษัทสนับสนุน โดยไม่แยกว่าใครลงมือเจาะแต่ละครั้ง

เมื่อปี 2567 นาย Christopher Wray ผู้อำนวยการ FBI ในขณะนั้นกล่าวว่า “ประธานบริษัทยอมรับต่อสาธารณะว่าบริษัทเก็บข่าวกรองและลาดตระเวนให้หน่วยงานความมั่นคงของรัฐบาลจีนมาหลายปี” คำเตือนระบุว่าวิธีการของกลุ่ม “สอดคล้องกับ” กิจกรรมที่บริษัทความปลอดภัยติดตามในชื่อ Flax Typhoon, Ethereal Panda และ RedJuliett แต่ชื่อเหล่านี้อาจไม่ตรงกับการติดตามของรัฐบาลสหรัฐแบบหนึ่งต่อหนึ่ง และแฮ็กเกอร์กลุ่มเดียวกันอาจทำงานอื่นที่ไม่เกี่ยวกับบริษัทนี้ด้วย ระบบนิเวศแฮ็กเกอร์รับจ้างของจีนที่บริษัทนี้เป็นส่วนหนึ่งเคยถูกรายงานไว้ในโพสต์ 2026/06/153

Integrity Technology Group ปฏิเสธข้อกล่าวหาของสหรัฐเมื่อมกราคม 2568 โดยแจ้งตลาดหลักทรัพย์เซี่ยงไฮ้ว่าการดำเนินการของสหรัฐไม่มีมูลความจริง ส่วนโฆษกกระทรวงการต่างประเทศจีนกล่าวว่าจีนคัดค้านการคว่ำบาตรอย่างหนักแน่น ตามรายงานของ Associated Press ขณะที่ NCSC ของสหราชอาณาจักร หนึ่งในหน่วยงานร่วมออกคำเตือน ระบุในข่าวประชาสัมพันธ์ว่ากลุ่มนี้ “ใช้เครื่องมือ AI อย่างการสแกนอัตโนมัติ” แม้ตัวคำเตือนเองไม่ได้กล่าวถึง AI

ในวันเดียวกัน CISA เพิ่มช่องโหว่ 5 รายการจากคำเตือนเข้าบัญชี KEV โดยนาย Chris Butera รักษาการผู้ช่วยผู้อำนวยการบริหารฝ่ายไซเบอร์ของ CISA ระบุว่า “ผู้ก่อภัยที่เชื่อมโยงกับรัฐบาลจีนยังคงวางตัวอยู่ในเครือข่ายโครงสร้างพื้นฐานสำคัญ รวมถึงระบบ OT โดยมุ่งหมายจะขัดขวางการทำงานที่สำคัญในเวลาที่ตนเลือก” นอกจากนี้ SecurityWeek ระบุว่าสหภาพยุโรปคว่ำบาตรบริษัทนี้แล้วเมื่อมีนาคม 2569 ส่วนภาคปฏิบัติการที่ FBI ยึดโดเมนและปิด MicroScan กับ FishHub รายงานไว้ในโพสต์ 2026/10/064

วิธีการโจมตี

สแกนและเจาะช่องโหว่ที่รู้จัก

กลุ่มใช้สแกนเนอร์โอเพนซอร์ส เช่น Nmap, masscan และ WPScan เน้นพอร์ต 21, 22, 53, 80, 443 และ 1080 หน่วยงานร่วมระบุว่า “การใช้เครื่องมือโอเพนซอร์สจาก GitHub บ่งชี้ว่ากลุ่มมักมองหาเป้าหมายที่เปราะบางกว่า” นอกจากนี้ยังใช้ MicroScan มาตั้งแต่ปี 2560 ซึ่งเป็นเว็บแอป Python ที่มีสคริปต์ทดสอบเจาะระบบกว่า 1,300 ตัว ใช้กับบริการอย่าง OpenSSL, Oracle WebLogic Server, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins และ Apache Struts การเจาะส่วนใหญ่ทำผ่านเครื่องมือ command-line ที่สร้างจากโค้ด exploit ภาษา Python และ Go คำเตือนระบุช่องโหว่ 8 รายการที่ถูกเจาะสำเร็จ

ช่องโหว่ผลิตภัณฑ์เวอร์ชันที่ได้รับผลกระทบ (ตามคำเตือน)แก้ไขใน
CVE-2014-6278GNU Bashถึง 4.3 bash43-026ยังยืนยันไม่ได้
CVE-2015-3306*ProFTPD1.3.51.3.5a
CVE-2015-5477*ISC BIND9.x ก่อน 9.9.7-P2 และ 9.10.x ก่อน 9.10.2-P39.9.7-P2 หรือ 9.10.2-P3
CVE-2016-3081*Apache Struts2.3.19–2.3.20.2, 2.3.21–2.3.24.1, 2.3.25–2.3.282.3.20.3, 2.3.24.3 หรือ 2.3.28.1
CVE-2019-11510Pulse Connect Secure8.2 ก่อน 8.2R12.1, 8.3 ก่อน 8.3R7.1, 9.0 ก่อน 9.0R3.48.2R12.1, 8.3R7.1 หรือ 9.0R3.4
CVE-2021-22205GitLabทุกเวอร์ชันตั้งแต่ 11.913.8.8, 13.9.6 หรือ 13.10.3
CVE-2021-3199*ONLYOFFICE Document Server5.1.5–5.6.25.6.3
CVE-2023-22894*Strapiถึง 4.5.5 (Strapi เองระบุ 3.2.1–4.7.9)4.8.0

* อัปเดต: CISA เพิ่ม 5 รายการที่มีดอกจันเข้า KEV แล้วเมื่อวันที่ 8 ตุลาคม 2569 โดยอ้างการโจมตีจริงของ Flax Typhoon และกำหนดให้หน่วยงานรัฐบาลกลางสหรัฐแพตช์หรือหยุดใช้ภายใน 11 ตุลาคม 2569 (ก่อนหน้านี้ The Hacker News ตรวจข้อมูล KEV บน GitHub เวอร์ชัน 2026.10.04 แล้วยังไม่พบ) ส่วนอีก 3 รายการ (Bash, Pulse Connect Secure, GitLab) อยู่ใน KEV มาก่อนแล้ว · ช่องโหว่ Struts ใช้ได้เฉพาะเมื่อเปิด Dynamic Method Invocation · ช่องโหว่ ONLYOFFICE เกี่ยวข้องเมื่อใช้ JWT · ช่องโหว่ BIND เป็น DoS ที่ทำให้ DNS server หยุดทำงาน

หน้าล็อกอินปลอมและ password spraying

FBI กู้ payload แบบ XSS ที่เปลี่ยนหน้าเว็บที่มีช่องโหว่ให้แสดงช่องกรอกชื่อผู้ใช้และรหัสผ่าน เมื่อผู้เข้าชมกรอกอะไรก็ตาม หน้าเว็บจะเสนอไฟล์ ZIP ที่ตั้งรหัสผ่านไว้ ภายในมีโปรแกรม live700_v1.exe ซึ่งเปิดโปรเซสชื่อ DiagTrack.exe (ชื่อเดียวกับโปรแกรม Windows จริง) ที่ส่งทราฟฟิกเข้ารหัสไปยัง dns.studiocloud[.]xyz FBI ระบุว่าโดเมนนี้เป็นของ Integrity Technology Group และประเมินว่ามัลแวร์น่าจะเล็งอีเมล นอกจากนี้กลุ่มยังทำ password spraying ด้วย EBurst เครื่องมือ Python โอเพนซอร์สที่ลองล็อกอิน Microsoft 365 และ Exchange ผ่านหลายอินเทอร์เฟซ ได้แก่ ECP, EWS, OAB, OWA, RPC, API, MAPI, PowerShell, Autodiscover และ Microsoft-Server-ActiveSync

คงสิทธิ์และดูดข้อมูล

กลุ่มติดตั้ง SoftEther ซึ่งเป็นโปรแกรม VPN ถูกกฎหมายที่ซอฟต์แวร์ความปลอดภัยไม่ค่อยแจ้งเตือน มักเปลี่ยนชื่อตัวติดตั้งเป็น conhost.exe หรือ dllhost.exe และตั้งให้เชื่อมต่อใหม่ทุกครั้งที่เปิดเครื่อง เพื่อขโมย credential กลุ่มรันเครื่องมือ DC.exe ที่ใช้เทคนิค DCSync คัดลอกข้อมูลบัญชี สมาชิกกลุ่ม และความสัมพันธ์ trust จาก domain controller ผ่านบริการ replication ของ Active Directory

สำหรับอีเมล กลุ่มสร้างบอตจากสคริปต์ PHP ชื่อ Curlc4.txt ที่ดึงอีเมลผ่าน Exchange Web Services (EWS) บีบอัด บางครั้งเข้ารหัส แล้วอัปโหลดไปยังเซิร์ฟเวอร์ภายนอก โดยมีโดเมน C2 หลักคือ natcloudservice[.]com อีกเครื่องมือคือ office-cli ที่วนกลับไปดึงอีเมลจากบัญชี Microsoft 365 ในช่วงเวลาต่าง ๆ โดยใช้ไฟล์คอนฟิกที่มี client ID, tenant ID และ secret ซึ่งหลบการตรวจจับได้เพราะใช้วิธีเข้าถึงที่ถูกต้อง บางกรณีกลุ่มจำกัดการเข้าถึงข้อมูลที่ขโมยมาให้เฉพาะ IP ในเมืองเซี่ยเหมิน และผู้ใช้เว็บแอปฝั่งบุคคลที่สามสามารถดูอีเมลของบัญชีใดบัญชีหนึ่งได้ด้วยการเติมพารามิเตอร์ใน URL

ผลกระทบ

คำเตือนนี้ยืนยันว่าหน่วยงานรัฐ บังคับใช้กฎหมาย สาธารณสุข และองค์กรศาสนาในเอเชียตะวันออกเฉียงใต้เป็นเหยื่อจริงของการขโมยอีเมล แม้ไม่ได้ระบุชื่อประเทศหรือจำนวนองค์กร อีเมลของหน่วยงานเหล่านี้มักมีข้อมูลคดี ข้อมูลผู้ป่วย และการติดต่อระหว่างรัฐบาลที่มีค่าทางข่าวกรอง และการที่ข้อมูลถูกเปิดให้บุคคลที่สามเข้าถึงผ่านพอร์ทัล บ่งชี้ว่าอีเมลที่ขโมยมาอาจถูกกระจายต่อไปยังลูกค้าหลายราย สอดคล้องกับโมเดลธุรกิจแฮ็กเกอร์รับจ้างของจีนที่เคยมีการเปิดโปง

ในเชิงเทคนิค สิ่งที่ทำให้กลุ่มนี้สำเร็จไม่ใช่ซีโรเดย์ แต่เป็นช่องโหว่อายุ 3–12 ปี บัญชีอีเมลที่ไม่มี MFA และเครื่องมือถูกกฎหมายอย่าง SoftEther และการเข้าถึง EWS/Graph ที่กลมกลืนกับการใช้งานปกติ องค์กรที่ยังใช้ซอฟต์แวร์เก่าบนระบบที่เปิดสู่อินเทอร์เน็ตจึงเป็นเป้าหมายที่ง่าย นอกจากนี้ The Hacker News พบว่า IP 10 รายการในรายการ IoC ซ้ำกับ C2 ของบอตเน็ต Raptor Train ในคำเตือนปี 2567 แต่วันที่ “last seen” ไม่ตรงกัน ผู้ใช้ IoC จึงไม่ควรเชื่อวันที่ในตารางเป็นข้อมูลล่าสุดเสมอ

คำแนะนำ

  • ล่าภัยคุกคามในเครือข่ายตามพฤติกรรมในคำเตือน และตรวจ IoC 39 หน้าในคำเตือนก่อนบล็อก เพราะบางรายการเก่าถึงปี 2559
  • อัปเดตหรือเปลี่ยนผลิตภัณฑ์ที่มีช่องโหว่ 8 รายการในตาราง และเปลี่ยนผลิตภัณฑ์ที่หมดอายุการสนับสนุน
  • บังคับ MFA โดยเฉพาะ webmail, VPN และบัญชีที่เข้าถึงระบบสำคัญ และครอบคลุมทุกอินเทอร์เฟซ Exchange ที่ EBurst ใช้ (ECP, EWS, OAB, OWA, RPC, MAPI, PowerShell, Autodiscover, ActiveSync)
  • เฝ้าระวัง Active Directory replication ที่ไม่คาดคิดซึ่งเป็นสัญญาณของ DCSync และตรวจหา SoftEther ที่ปลอมชื่อเป็น conhost.exe/dllhost.exe นอกโฟลเดอร์ System32
  • ตรวจแอปพลิเคชันที่เชื่อมกับบัญชีคลาวด์และมีสิทธิ์อ่านไฟล์หรืออีเมล ลบแอปที่ไม่รู้จัก และหมุน client secret ที่อาจรั่ว
  • กรองข้อมูลนำเข้าในเว็บแอปเพื่อป้องกัน XSS ตรวจล็อกเว็บแอปหาความพยายามโจมตี และปิดพอร์ตหรือบริการที่ไม่ใช้
  • หากสงสัยว่าถูกเจาะ ให้แยกเครื่อง ล่าภัยเพื่อดูขอบเขต และรายงานตามระเบียบของประเทศ โดยเก็บข้อมูลการล่าภัยให้พอก่อนกำจัดผู้บุกรุก แล้วจึงเสริมความแข็งแกร่งเครือข่าย

Indicators of Compromise (IoCs)

โดเมน defang แล้ว ([.]) · รายการเต็ม 39 หน้าอยู่ในคำเตือนร่วมของ FBI

ประเภทค่าคำอธิบาย
โดเมนdns.studiocloud[.]xyzปลายทางของ DiagTrack.exe จากหน้าล็อกอินปลอม (FBI ระบุว่าเป็นของ Integrity Technology Group)
โดเมนnatcloudservice[.]comC2 หลักของบอตดูดอีเมล Curlc4.txt
ชื่อไฟล์live700_v1.exeโปรแกรมใน ZIP ที่เสนอหลังกรอกหน้าล็อกอินปลอม
ชื่อไฟล์DiagTrack.exeโปรเซสที่ปลอมชื่อโปรแกรม Windows
ชื่อไฟล์DC.exeเครื่องมือ DCSync
ชื่อไฟล์Curlc4.txtสคริปต์ PHP ดูดอีเมลผ่าน EWS

แหล่งอ้างอิง