สรุปสั้น
สำนักงานสอบสวนกลางสหรัฐฯ (FBI) และกระทรวงยุติธรรมสหรัฐฯ (DoJ) ประกาศยึดโดเมน 7 รายการ และตัดการเข้าถึงแพลตฟอร์มที่บริษัท Integrity Technology Group (Integrity Tech) ในกรุงปักกิ่งใช้สแกนหาช่องโหว่ และในบางกรณีใช้เจาะเข้าโครงสร้างพื้นฐานสำคัญของสหรัฐฯ Integrity Tech เป็นบริษัทรับจ้างของรัฐบาลจีนที่โยงกับกลุ่ม APT ชื่อ Flax Typhoon (หรือ Ethereal Panda และ RedJuliett) เครื่องมือหลักที่ถูกปิดคือ MicroScan เครื่องมือสแกนช่องโหว่บนเว็บที่มีสคริปต์ทดสอบเจาะกว่า 1,300 ตัว และ FishHub แพลตฟอร์มฟิชชิงแบบเจาะจงเป้าหมายที่ส่งมัลแวร์เข้าเครือข่ายเหยื่อ
เป้าหมายที่ระบุในเอกสารศาลมีทั้งบริษัทไฟฟ้าในรัฐเซาท์แคโรไลนา องค์กรนอกภาครัฐข้ามชาติ สนามบินในญี่ปุ่นและโปแลนด์ บริษัทโครงสร้างพื้นฐานด้านก๊าซธรรมชาติและไฟฟ้าของไต้หวัน และมหาวิทยาลัยไต้หวัน 2 แห่ง ส่วนเหยื่อที่ยืนยันแล้วของ FishHub คือมหาวิทยาลัยในไต้หวัน 20 แห่ง การยึดครั้งนี้เกิดคู่กับคำเตือนร่วมของหน่วยงานจาก 7 ประเทศที่ประจานบทบาทของ Integrity Tech ในฐานะผู้สร้างและขายเครื่องมือโจมตี ซึ่งเว็บไซต์นี้รายงานไว้ในโพสต์ 2026/10/061 ข่าวนี้เป็นภาคปฏิบัติการของเรื่องเดียวกัน คือการทลายโครงสร้างพื้นฐาน ไม่ใช่แค่การเตือน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 ตุลาคม 2569 ว่าโดเมนที่ถูกยึดได้แก่ c0cc[.]cc, 98aiblog[.]com, 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com และ linkedinns[.]net สังเกตได้ว่าหลายโดเมนตั้งชื่อเลียนแบบบริการที่คนคุ้นเคยอย่าง Outlook/Office 365, YouTube และ LinkedIn ซึ่งสอดคล้องกับการใช้ทำฟิชชิง นาย Troy Rivetti อัยการสหรัฐฯ ประจำเขตตะวันตกของรัฐเพนซิลเวเนียระบุว่าแฮ็กเกอร์ที่รัฐหนุนหลังกลุ่มนี้ยังคงเล็งเครือข่ายทั่วโลกอย่างก้าวร้าว เพื่อระบุและขโมยไฟล์ รวมถึงฉวยประโยชน์จากช่องโหว่ของเหยื่อ
Flax Typhoon เคยถูกโยงกับบอตเน็ต Raptor Train ที่ประกอบด้วยอุปกรณ์ SOHO และ IoT ที่ถูกยึดนับพันเครื่อง ซึ่งถูกทลายด้วยปฏิบัติการที่ศาลสหรัฐฯ อนุมัติเมื่อกันยายน 2567 เอกสารศาลรอบนี้กล่าวหาว่า Integrity Tech สร้างและควบคุมบอตเน็ต IoT ที่ใช้มัลแวร์สายพันธุ์ย่อยของ Mirai สั่งการผ่านโดเมนหลายรายการ รวมถึงซับโดเมนของ w8510[.]com และบริหารผ่านแอปพลิเคชันชื่อ Sparrow ฐานข้อมูลบนเซิร์ฟเวอร์ 202.182.109[.]151 มีบันทึกอุปกรณ์ที่ติดเชื้อกว่า 1.2 ล้านเครื่อง ณ วันที่ 5 มิถุนายน 2567 ในจำนวนนี้เป็นอุปกรณ์ในสหรัฐฯ ไม่ซ้ำกันกว่า 385,000 เครื่อง และมีอุปกรณ์ที่ยังติดเชื้ออยู่จริงกว่า 260,000 เครื่อง (ในสหรัฐฯ ราว 126,000 เครื่อง) ณ วันเดียวกัน
นาย Brett Leatherman ผู้ช่วยผู้อำนวยการฝ่ายไซเบอร์ของ FBI ระบุว่า Integrity Tech มอบขีดความสามารถให้ผู้โจมตีที่โยงกับจีนใช้สแกนช่องโหว่วงกว้าง และในบางกรณีเจาะเข้าโครงสร้างพื้นฐานสำคัญของสหรัฐฯ และต่างประเทศ จีนพึ่งพาบริษัทรับจ้างเพื่อขยายขอบเขตและขนาดของปฏิบัติการไซเบอร์ การเปิดโปงและทลายผู้สนับสนุนเหล่านี้จึงทำให้จีนเล็งเครือข่ายสหรัฐฯ ได้ยากขึ้น ข่าวนี้มาพร้อมกับการที่กระทรวงการต่างประเทศสหรัฐฯ ประกาศรางวัลนำจับนาย Zhang Yu สูงสุด 10 ล้านดอลลาร์ ในคดีโจมตี Microsoft Exchange ปี 2564 ของกลุ่ม Silk Typhoon (ชื่อเดิม Hafnium)
วิธีการโจมตี
MicroScan เป็นเครื่องมือเว็บที่เขียนด้วย Python เดิมโฮสต์อยู่ที่ 198.13.53[.]226 และยังเข้าถึงได้ผ่านโดเมน c0cc[.]cc จนถึงวันที่ 9 กันยายน 2569 ตามคำให้การของ FBI เชื่อว่าเริ่มใช้งานตั้งแต่ปี 2560 มีสคริปต์ทดสอบเจาะกว่า 1,300 ตัวสำหรับสแกนหาช่องโหว่เฉพาะในผลิตภัณฑ์อย่าง OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins และ Apache Struts และใช้ร่วมกับเครื่องมือโอเพนซอร์สอย่าง BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe และ wpscan เพื่อค้นหาช่องโหว่ในเครือข่ายและเว็บแอปพลิเคชัน ระบบนี้ทำงานคู่กับบอตเน็ตเพื่อลาดตระเวนและเลือกเป้าหมายที่น่าสนใจ
FishHub เป็นเครื่องมือตัวที่สองที่ใช้เจาะเครือข่ายผ่านฟิชชิงแบบเจาะจงเป้าหมายแล้วติดตั้ง payload ขั้นต่อไป DoJ ระบุว่ามัลแวร์นี้ให้ลูกค้าของ Integrity Tech เข้าถึงเครือข่ายเหยื่อจากระยะไกลโดยไม่ได้รับอนุญาต หรือค้นหาไฟล์เฉพาะแล้วส่งกลับไปยังเซิร์ฟเวอร์ที่ Integrity Tech ควบคุม คำว่า “ลูกค้า” สะท้อนโมเดลธุรกิจที่บริษัทสร้างเครื่องมือแล้วให้หน่วยงานอื่นใช้
คำเตือนร่วมของสหรัฐฯ สหราชอาณาจักร ออสเตรเลีย แคนาดา ญี่ปุ่น นิวซีแลนด์ และสเปน ระบุว่าตั้งแต่อย่างน้อยกลางเดือนมกราคม 2564 ผู้โจมตีเจาะเครือข่ายและบริการคลาวด์ด้วยเครื่องมือ command line ที่เขียนด้วย Python และ Go ใช้ XSS เก็บ credential ของผู้ใช้ ติดตั้ง SoftEther VPN บนเครื่องเหยื่อเพื่อคงการเข้าถึง ใช้ EBurst เครื่องมือโอเพนซอร์สแบบ brute-force เล็งบัญชี Microsoft 365 และใช้ office-cli ดึงข้อมูลจากกล่องจดหมาย ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) ระบุว่าผู้โจมตีกลุ่มนี้ใช้เครื่องมือ AI อย่างการสแกนอัตโนมัติร่วมกับบอตเน็ตขนาดใหญ่และการเจาะด้วยมือ
ผลกระทบ
การยึดโดเมนตัดเครื่องมือที่ใช้งานมาเกือบ 10 ปีออกจากมือผู้โจมตี แต่ไม่ได้ทำลายขีดความสามารถของบริษัท เพราะโครงสร้างพื้นฐานใหม่ตั้งได้ไม่ยาก และ MicroScan พึ่งเครื่องมือโอเพนซอร์สจำนวนมากที่หาได้ทั่วไป ความสำคัญจริงอยู่ที่การเปิดเผยรายละเอียดผ่านเอกสารศาล ซึ่งให้ทีมป้องกันเห็นวิธีทำงาน รายชื่อผลิตภัณฑ์ที่ถูกสแกน และโดเมนที่ใช้ทำฟิชชิง รวมถึงยืนยันว่าบริษัทเอกชนในจีนทำหน้าที่เป็นผู้ผลิตและจำหน่ายเครื่องมือให้ผู้โจมตีหลายกลุ่ม
กลุ่มเป้าหมายครอบคลุมพลังงาน การบิน และการศึกษาในหลายประเทศ โดยไต้หวันโดนหนักที่สุดทั้งโครงสร้างพื้นฐานก๊าซและไฟฟ้า และมหาวิทยาลัยกว่า 20 แห่ง รายชื่อผลิตภัณฑ์ที่ MicroScan สแกนส่วนใหญ่เป็นซอฟต์แวร์ที่ใช้กันแพร่หลายและมีช่องโหว่เก่าที่รู้จักกันดี องค์กรที่ยังมีระบบเหล่านี้เปิดสู่อินเทอร์เน็ตโดยไม่แพตช์จึงอยู่ในขอบเขตการสแกนแบบนี้โดยไม่ต้องเป็นเป้าหมายเฉพาะ
คำแนะนำ
- ค้นหาโดเมนที่ถูกยึดทั้ง 7 รายการ ซับโดเมนของ
w8510[.]comและ IP ที่ระบุในล็อก DNS, proxy และอีเมลย้อนหลัง หากพบการติดต่อให้ถือเป็นสัญญาณการบุกรุก - แพตช์และลดการเปิดสู่อินเทอร์เน็ตของผลิตภัณฑ์ที่อยู่ในรายชื่อสแกน ได้แก่ OpenSSL, Oracle WebLogic, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins และ Apache Struts
- เปลี่ยนหรือปลดระวางอุปกรณ์ SOHO และ IoT ที่หมดอายุการสนับสนุน ซึ่งเป็นแหล่งสร้างบอตเน็ตแนว Raptor Train
- บังคับ MFA แบบต้านฟิชชิงใน Microsoft 365 ปิด legacy authentication และเฝ้าระวังการเดารหัสผ่านจำนวนมากแบบที่ EBurst ทำ
- ตรวจหา SoftEther VPN ที่ไม่ได้รับอนุญาตบนเครื่องในองค์กร และฝึกอบรมบุคลากร โดยเฉพาะในมหาวิทยาลัยและหน่วยงานวิจัย ให้รู้เท่าทันอีเมลฟิชชิงที่ใช้โดเมนเลียนแบบบริการดัง
- อ่านคำแนะนำฉบับเต็มใน AA26-281A ของ CISA และโพสต์ 2026/10/061
Indicators of Compromise (IoCs)
ค่าทั้งหมด defang แล้ว
| ประเภท | ค่า | หมายเหตุ |
|---|---|---|
| โดเมน | c0cc[.]cc | เข้าถึง MicroScan (ถูกยึด) |
| โดเมน | 98aiblog[.]com | ถูกยึด |
| โดเมน | 98aicai[.]com | ถูกยึด |
| โดเมน | 98aicode[.]com | ถูกยึด |
| โดเมน | outlook3650[.]com | ถูกยึด (เลียนแบบ Outlook/Office 365) |
| โดเมน | youtubecard[.]com | ถูกยึด (เลียนแบบ YouTube) |
| โดเมน | linkedinns[.]net | ถูกยึด (เลียนแบบ LinkedIn) |
| โดเมน | w8510[.]com (ซับโดเมน) | C2 ของบอตเน็ต Mirai variant |
| IP | 202.182.109[.]151 | เซิร์ฟเวอร์ฐานข้อมูลบอตเน็ต |
| IP | 198.13.53[.]226 | โฮสต์เดิมของ MicroScan |