สรุปสั้น

บริษัท Genians Security Center ของเกาหลีใต้เผยแพร่บทวิเคราะห์ที่รวบรวมหลักฐานจากหลายสำนักเข้าเป็นภาพเดียว ชี้ว่ากลุ่ม Kimsuky ซึ่งได้รับการสนับสนุนจากรัฐเกาหลีเหนือ กำลังส่งอีเมลฟิชชิงแบบเจาะจงเป้าหมายไปยังหน่วยงานรัฐ แวดวงนโยบาย และนักวิชาการในยูเครน เพื่อล้วงข่าวกรองเกี่ยวกับสงครามรัสเซีย-ยูเครนที่เกาหลีเหนือเข้าไปมีส่วนร่วมเอง ข้อมูลที่ผู้โจมตีต้องการได้แก่ สถานการณ์การรบ ขนาดความสูญเสียของทหารเกาหลีเหนือ แนวทางการสอบสวนและจัดการเชลยศึก และโดยเฉพาะชะตากรรมของเชลยศึกเกาหลีเหนือ 2 นายที่ยูเครนส่งตัวไปเกาหลีใต้ เกาหลีเหนือเข้าร่วมสงครามฝั่งรัสเซียตั้งแต่เดือนตุลาคม 2567 โดยส่งทหารราว 14,000–15,000 นายไปแนวหน้า

แม้เป้าหมายจะฟังดูใหญ่ แต่วิธีโจมตีกลับเรียบง่าย จุดเด่นคือเทคนิคล่อให้ตอบกลับ (reply-baiting) ที่ส่งอีเมลทักทายธรรมดาก่อนเพื่อสร้างความคุ้นเคยและเล็ดลอดระบบกรองอีเมล เมื่อเหยื่อตอบกลับจึงส่งไฟล์ลิงก์ลัด (LNK) ที่พรางเป็น PDF ตามมา นาย Greg Lesnewich จากบริษัท Proofpoint มองว่ากลุ่มนี้เป็น “ผู้โจมตีระดับกลาง ๆ” ที่ล่าได้ไม่ยาก แต่ความถี่และปริมาณการโจมตีทำให้ฝ่ายป้องกันต้องรับภาระหนัก และเตือนว่าการจัดกลุ่มผู้โจมตีเกาหลีเหนือในวงการยังหยาบเกินไป

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 13 ตุลาคม 2569 ว่าบทวิเคราะห์ของ Genians ซึ่งเผยแพร่เมื่อวันอาทิตย์ได้ร้อยเรียงงานวิจัยหลายชิ้นในช่วงสองปีที่ผ่านมาเข้าด้วยกัน ชิ้นแรกคือรายงานของ Proofpoint ที่พบว่าแฮ็กเกอร์ที่เชื่อมโยงกับรัฐบาลเกาหลีเหนือส่งฟิชชิงเจาะจงเป้าหมายไปยังหน่วยงานรัฐยูเครนมาตั้งแต่อย่างน้อยเดือนกุมภาพันธ์ 2568 ไม่กี่เดือนหลังเกาหลีเหนือเริ่มส่งกำลังไปช่วยรัสเซีย Proofpoint ติดตามผู้โจมตีรายนี้ในชื่อ TA406 ซึ่งทับซ้อนกับกลุ่มที่รู้จักกันในชื่อ Konni หรือ Opal Sleet

ต่อมาในเดือนสิงหาคม 2569 องค์กรไม่แสวงหากำไร Digital Security Lab Ukraine (DSLU) สอบสวนการโจมตีฟิชชิงที่เล็งข้าราชการพลเรือนยูเครนรายหนึ่ง แม้ไม่ระบุว่าเป็นผลงานของกลุ่มใด แต่ย้ำว่า “นี่ไม่ใช่เหตุการณ์เดี่ยว” และเมื่อเดือนที่แล้ว นักวิจัยจากบริษัท Enki White Hat นำเสนอเทคนิคของกลุ่ม Kimsuky ในงาน Korea Cyber Security Conference (KSCON) 2026 ที่กรุงโซล ซึ่ง Genians นำทั้งหมดมาประกอบเป็นแคมเปญเดียวของ Kimsuky ที่มุ่งเก็บข่าวกรองสงครามจากยูเครน

นาย Lesnewich ให้ข้อสังเกตที่น่าสนใจว่าก่อนหันมาเล็งยูเครน กลุ่มนี้เคยสนใจผู้เชี่ยวชาญด้านรัสเซียในโลกตะวันตก เพื่อทำความเข้าใจว่ารัสเซียคิดอะไรอยู่ เขาสันนิษฐานว่าการเปลี่ยนเป้าอาจสะท้อนว่าทางการเกาหลีเหนือไม่ได้รับข้อมูลตรงไปตรงมาจากรัสเซีย เช่น รัสเซียอาจไม่บอกว่าทหารเกาหลีเหนือจะต้องอยู่ในยูเครนนานแค่ไหน เพราะรัสเซียเองก็ไม่มีกำหนดการ เกาหลีเหนือจึงหันไปล้วงข้อมูลจากฝั่งยูเครนเพื่อประเมินว่ายูเครนจะยืนหยัดได้อีกนานเท่าใด ทั้งนี้เป็นการคาดการณ์ของนักวิจัย ไม่ใช่ข้อสรุปที่มีหลักฐานยืนยัน

วิธีการโจมตี

ตัวอย่างที่ Genians ระบุคืออีเมลที่ส่งถึงผู้เชี่ยวชาญด้านการต่างประเทศและความมั่นคงของยูเครน โดยผู้โจมตีปลอมเป็นคณะกรรมการจัดงาน KSCON 2026 ใส่รายละเอียดงานจริงและอ้างถึงสาขาความเชี่ยวชาญของผู้รับ พร้อมเสนอค่าเดินทาง ที่พัก และค่าตอบแทนการบรรยาย หากผู้รับตอบตกลง ผู้โจมตีจะส่ง “หนังสือเชิญอย่างเป็นทางการ” ซึ่งแท้จริงเป็นไฟล์ลิงก์ลัด LNK ที่ใช้ไอคอน PDF และนามสกุลซ้อน .pdf.lnk เพื่อหลอกให้เปิด

เมื่อเปิดไฟล์ ห่วงโซ่การโจมตีใช้การพรางคำสั่งแบบพื้นฐาน ตั้ง scheduled task เพื่อคงอยู่ในเครื่อง และดึงสคริปต์ เอกสาร และคำสั่งจากบริการคลังโค้ดสาธารณะอย่าง GitHub และ GitLab ซึ่งช่วยให้ทราฟฟิกกลมกลืนกับการใช้งานปกติ นักวิจัยยังพบว่ากลุ่มนี้ทดลองใช้โมเดลภาษาขนาดใหญ่ (LLM) ด้วย แต่ก็ยังมีความผิดพลาดชัดเจน เช่น อีเมลที่เชิญเข้าประชุม Google Meet แต่แนบลิงก์ Zoom

นาย Lesnewich อธิบายว่ากลุ่มนี้ “ไม่ใช่ผู้คิดค้น” แต่มักสังเกตห่วงโซ่การติดเชื้อของผู้โจมตีรายอื่นจากบทความที่เผยแพร่สาธารณะ แล้วหยิบมาใช้กับเป้าหมายของตัวเอง

ประเด็นการระบุตัวผู้โจมตียังไม่ชัดเจนนัก Proofpoint ระบุว่า TA406 เคลื่อนไหวน้อยลงในปี 2569 โดยเฉพาะช่วงฤดูร้อน และมีกลุ่มย่อยที่ “เหมือนชิ้นส่วนของ TA406 ที่แตกออกไปคนละทิศ” Proofpoint เชื่อมห่วงโซ่การโจมตีผ่าน GitHub ที่ Genians รายงานเข้ากับผู้โจมตีอีกรายที่ยังไม่ตั้งชื่อ ส่วนกลุ่มย่อยที่ใช้ชื่อชั่วคราวว่า “Honeycrisp” เน้นภาคการศึกษาและปลอมเป็นหรือเล็งอดีตนักการทูตที่ย้ายไปอยู่มหาวิทยาลัยหรือสถาบันคลังสมอง นาย Lesnewich ไม่ได้แสดงความเห็นต่อการระบุของ Genians โดยตรง แต่ตั้งข้อสังเกตว่าวงการมักโยนผู้โจมตีเกาหลีเหนือลงถังกว้าง ๆ ว่า “เก่งคือ Lazarus ไม่เก่งคือ Kimsuky” และสันนิษฐานว่าการปรับโครงสร้างสำนักงานลาดตระเวนทั่วไป (RGB) ของเกาหลีเหนือเมื่อต้นปี 2569 กับการสับเปลี่ยนเจ้าหน้าที่เป็นประจำ ทำให้เส้นแบ่งระหว่างกลุ่มเดิมพร่ามัวลง

ผลกระทบ

กลุ่มเป้าหมายหลักคือผู้เชี่ยวชาญด้านการต่างประเทศ ความมั่นคง และนโยบายในยูเครน รวมถึงข้าราชการที่อาจเข้าถึงข้อมูลเชลยศึกหรือสถานการณ์แนวหน้า ข้อมูลที่รั่วไหลอาจช่วยให้เกาหลีเหนือวางแผนการส่งกำลังหรือการเจรจาเรื่องเชลยศึก และอาจส่งต่อถึงพันธมิตรอย่างรัสเซีย

อีกด้านหนึ่ง กรณีนี้แสดงว่าการปลอมเป็นผู้จัดงานประชุมวิชาการที่มีอยู่จริงยังเป็นเหยื่อล่อที่ได้ผลกับนักวิชาการและผู้เชี่ยวชาญนโยบาย ซึ่งมักได้รับคำเชิญทางอีเมลจากคนที่ไม่รู้จักเป็นเรื่องปกติ ส่วนความสับสนในการระบุกลุ่มทำให้ทีม threat intelligence ต้องระวังการผูกเหตุการณ์เข้ากับชื่อกลุ่มใดกลุ่มหนึ่งเร็วเกินไป

คำแนะนำ

  • ตรวจสอบคำเชิญเป็นวิทยากรหรือเข้าร่วมงานประชุมผ่านช่องทางทางการของผู้จัดงานโดยตรง โดยเฉพาะคำเชิญที่เสนอค่าเดินทางและค่าตอบแทน
  • บล็อกหรือกักไฟล์แนบประเภท .lnk ที่เกตเวย์อีเมล และตั้งค่าให้ Windows แสดงนามสกุลไฟล์เสมอ เพื่อให้เห็นนามสกุลซ้อนแบบ .pdf.lnk
  • เฝ้าระวังการสร้าง scheduled task ใหม่ร่วมกับการเรียก PowerShell หรือสคริปต์ที่ดึงเนื้อหาจาก raw.githubusercontent.com หรือ GitLab บนเครื่องผู้ใช้ทั่วไป
  • อบรมนักวิชาการและเจ้าหน้าที่ฝ่ายนโยบายให้ระวังรูปแบบล่อให้ตอบกลับ ที่อีเมลแรกไม่มีไฟล์แนบหรือลิงก์ แต่ไฟล์อันตรายจะตามมาหลังตอบกลับ
  • ทีม threat intelligence ควรติดตามรายงานจาก Genians, Proofpoint และ DSLU ประกอบกัน และระบุระดับความมั่นใจเมื่อผูกเหตุการณ์กับกลุ่ม Kimsuky หรือ TA406

แหล่งอ้างอิง