สรุปสั้น

นักวิจัยของบริษัท Dream เปิดเผยแคมเปญจารกรรมไซเบอร์ของกลุ่ม DarkBlinders ที่สังเกตได้ระหว่างสิงหาคมถึงตุลาคม 2569 เป้าหมายคืออิสราเอลและเขตปกครองเคอร์ดิสถานของอิรัก การสืบสวนยืนยันว่ามีเหยื่ออย่างน้อย 2 ราย ได้แก่สภาพแวดล้อมคลาวด์ของรัฐบาลในเคอร์ดิสถาน และบุคคลชาวอิสราเอลที่มีชื่อเสียงซึ่งเกี่ยวข้องกับภาคความมั่นคง คำสั่งงานของผู้ควบคุมที่กู้คืนมาได้แสดงการขโมย credential และการดูดข้อมูลคลาวด์ของรัฐบาลออกไปอย่างน้อย 1 GB

ปฏิบัติการผสมทั้งการปลอมเป็นเว็บเมลของรัฐบาล หน้าแชร์ไฟล์บนคลาวด์ปลอม และแอปประชุมปลอมชื่อ StarkMeet ซึ่งติดตั้งแบ็กดอร์ที่ลงทะเบียนเครื่องเหยื่อและรับคำสั่งผ่าน repository บน GitHub ผู้ควบคุมเลือกเปิดใช้มัลแวร์ขั้นที่สองเฉพาะเป้าที่ต้องการเท่านั้น และแบ็กดอร์ยังกู้ credential ของ GitHub ชุดใหม่ได้จากคอมเมนต์ใน issue สาธารณะของโครงการ Microsoft/vscode ทำให้กลับมาสื่อสารได้แม้โทเคนเดิมถูกเพิกถอน Dream เชื่อมโยงกลุ่มนี้กับ UNC5795 และ Dust Specter ในระดับปานกลางถึงสูง และอาจอยู่ในเครือ APT34 ของอิหร่านในระดับปานกลาง

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 10 ตุลาคม 2569 อ้างรายงานของ Dream ว่าโครงสร้างพื้นฐานฟิชชิงของกลุ่มเลียนแบบกระทรวงการต่างประเทศคูเวตและสำนักเลขาธิการคณะมนตรีความร่วมมือรัฐอ่าวอาหรับ (GCC) ซึ่งบ่งชี้ว่ากลุ่มสนใจเป้าหมายด้านการทูตกว้างกว่าเหยื่อ 2 รายที่ยืนยันแล้ว อย่างไรก็ดี นักวิจัยไม่พบข้อความต้นทางที่ใช้ส่งตัวติดตั้งให้เหยื่อ ช่องทางแพร่กระจายเริ่มต้นจึงยังไม่ได้รับการยืนยัน

ตัวติดตั้ง StarkMeet สร้างด้วย Inno Setup และไม่ได้ลงลายมือชื่อดิจิทัล แสดงตัวเป็นเวอร์ชัน 3.2 ของแอปที่ดูเหมือนจริง พรีวิวกล้อง ไมโครโฟน และหน้าจอทำงานได้ในเครื่อง แต่เมื่อกดเข้าร่วมประชุมจะขึ้นข้อผิดพลาดการเชื่อมต่อแบบเดิมทุกครั้ง ขณะที่ส่วนประกอบอันตรายถูกวางแยกไว้คนละที่กับแอปที่มองเห็น ทำให้มัลแวร์ยังอยู่แม้เหยื่อถอนการติดตั้ง StarkMeet ไปแล้ว

Dream พบการลงทะเบียนเครื่องขั้นแรกราว 10 เครื่อง แต่มีเพียง 2 เหยื่อที่ปรากฏใน repository สั่งงานขั้นที่สอง ช่องว่างนี้สนับสนุนว่าผู้ควบคุมคัดเลือกเป้าเองก่อนเปิดใช้ ไม่ได้ปล่อยอัตโนมัติ Dream ยังเชื่อมโยงปฏิบัติการนี้กับแคมเปญก่อนหน้าอีก 4 ระลอก ทั้งนี้ข้อมูลเมตาของแป้นพิมพ์ภาษาเปอร์เซียและการใช้โฮสต์ที่เกี่ยวข้องกับอิหร่านเป็นเพียงบริบทประกอบ ไม่ได้พิสูจน์ผู้อยู่เบื้องหลังหรือระบุตัวผู้ควบคุมได้ด้วยตัวเอง

A fake StarkMeet meeting app installs a GitHub-controlled backdoor in an espionage campaign against Israel and Kurdistan
A fake StarkMeet meeting app installs a GitHub-controlled backdoor in an espionage campaign against Israel and Kurdistan

วิธีการโจมตี

ขั้นแรก — ตัวโหลดที่ลงทะเบียนเครื่อง ตัวติดตั้งวางส่วนประกอบอันตรายไว้ใต้ %LOCALAPPDATA%\Microsoft\RuntimeBroker โดยใช้ไฟล์ vshost.exe ของ Microsoft ที่มีลายเซ็นถูกต้องแต่เปลี่ยนชื่อเป็น RuntimeBroker.exe ให้โหลด RuntimeBroker.dll ผ่านกลไก AppDomainManager ของ .NET และสร้างความคงอยู่ด้วยค่า MicrosoftRuntime ในคีย์ Run ของรีจิสทรีผู้ใช้ปัจจุบัน ตัวโหลดใช้โทเคน GitHub ที่ฝังไว้ลงทะเบียนเครื่องเหยื่อใน repository PeakyBlindersTeam/myLic พร้อมรายงานชื่อผู้ใช้ ชื่อเครื่อง โดเมน รูปแบบแป้นพิมพ์ สถานะความคงอยู่ และผลการตรวจสภาพแวดล้อมวิเคราะห์ เพื่อให้ผู้ควบคุมประเมินเป้าก่อนเปิดขั้นต่อไป

ขั้นที่สอง — แบ็กดอร์ในหน่วยความจำ สำหรับเครื่องที่ถูกเลือก ผู้ควบคุมส่ง “license” ที่ค่า SHA-256 ของมันถูกใช้เป็นกุญแจ AES-256-CBC ถอดรหัส RuntimeBrokerApi.dll แล้วโหลดเข้าหน่วยความจำโดยตรง กุญแจจึงไม่อยู่ในเครื่องจนกว่าผู้ควบคุมจะตัดสินใจ แบ็กดอร์ polling repository แยกชื่อ myCode ราวทุก 63 วินาที ใช้ตัวช่วย PsProxy.dll รัน PowerShell ผ่าน runspace ภายในโดยไม่เรียก powershell.exe ซึ่งหลบการตรวจจับที่อาศัยโปรเซสลูก และรองรับการอัปโหลด ดาวน์โหลด และแตกไฟล์ ZIP

ช่องทางสำรอง ทั้งสองขั้นกู้ credential ของ GitHub ชุดใหม่ได้จากคอมเมนต์ที่จัดรูปแบบพิเศษใน issue สาธารณะของ Microsoft/vscode ทำให้การเพิกถอนโทเคนอย่างเดียวอาจไม่ตัดการสื่อสารได้ถาวร

ผลกระทบ

แคมเปญนี้มุ่งเป้าหน่วยงานรัฐ งานการทูต และบุคคลสายความมั่นคงในตะวันออกกลาง โดยข้อมูลคลาวด์ของรัฐบาลเคอร์ดิสถานรั่วไหลแล้วอย่างน้อย 1 GB การใช้ GitHub และ issue ของโครงการที่ได้รับความเชื่อถือสูงอย่าง vscode เป็นช่องทางสั่งการทำให้ทราฟฟิกกลมกลืนกับงานพัฒนาซอฟต์แวร์ปกติ และบล็อกด้วยโดเมนได้ยาก

เทคนิคแอปประชุมปลอมที่ใช้งานได้บางส่วนจริงเป็นเหยื่อล่อที่ได้ผลกับเป้าหมายที่ต้องประชุมออนไลน์กับคู่สัญญาภายนอกบ่อย ขณะที่การแยกที่อยู่มัลแวร์ออกจากแอป การโหลดผ่านไบนารีที่มีลายเซ็นของ Microsoft และการถอดรหัสขั้นที่สองด้วยกุญแจที่ผู้ควบคุมส่งให้ภายหลัง ทำให้การวิเคราะห์และตรวจจับยากขึ้นมาก

คำแนะนำ

  • ห้ามติดตั้งแอปประชุมที่ได้รับผ่านลิงก์หรือไฟล์แนบจากภายนอก ให้ใช้เฉพาะแพลตฟอร์มที่องค์กรอนุมัติ และบล็อกตัวติดตั้งที่ไม่มีลายเซ็นดิจิทัลด้วย application control
  • ล่าหา RuntimeBroker.exe ที่รันจาก %LOCALAPPDATA%\Microsoft\RuntimeBroker (ของจริงอยู่ใน System32) และค่า Run ชื่อ MicrosoftRuntime ในรีจิสทรีผู้ใช้
  • เฝ้าระวังไฟล์ .config ที่ใช้ AppDomainManager โหลด DLL แปลกปลอมข้างไบนารีของ Microsoft และการโหลด PowerShell runspace จากโปรเซสที่ไม่ใช่ powershell.exe
  • ตรวจทราฟฟิกจากเครื่องผู้ใช้ทั่วไปที่เรียก GitHub API แบบ polling ถี่เป็นจังหวะ โดยเฉพาะ repository PeakyBlindersTeam/myLic และ myCode
  • หน่วยงานรัฐและการทูตควรฝึกผู้ใช้ให้ระวังหน้าเว็บเมลและหน้าแชร์ไฟล์ที่อ้างเป็นหน่วยงานพันธมิตร และเปิดใช้ MFA แบบทนฟิชชิงกับบัญชีคลาวด์ของรัฐบาล

แหล่งอ้างอิง