สรุปสั้น

ทีม Cisco Talos ของบริษัท Cisco และ Insikt Group ของบริษัท Recorded Future รายงานแคมเปญใหม่ของกลุ่ม Silent Lynx กลุ่มจารกรรมที่เชื่อมโยงกับคาซัคสถาน ซึ่งโจมตีหน่วยงานรัฐในเครือรัฐเอกราช (CIS) ต่อเนื่องตั้งแต่มิถุนายน 2568 ถึงสิงหาคม 2569 ทั้งสองบริษัทติดตามกลุ่มนี้ภายใต้ชื่อ UAT-6275 และ TAG-193 ตามลำดับ เหยื่อและธีมเหยื่อล่อครอบคลุม 9 ประเทศ ได้แก่ คาซัคสถาน คีร์กีซสถาน ทาจิกิสถาน เติร์กเมนิสถาน อุซเบกิสถาน อาร์เมเนีย อาเซอร์ไบจาน รัสเซีย และเบลารุส โดยสนใจเป็นพิเศษที่หน่วยงานด้านสิ่งแวดล้อม กระทรวงเศรษฐกิจ และโครงสร้างพื้นฐานพลังงาน

แคมเปญนี้ใช้ 4 เส้นทางติดเชื้อที่พัฒนาต่อเนื่อง ตั้งแต่เอกสาร Word ที่มีมาโคร ตัวดาวน์โหลดที่สร้างด้วย PS2EXE สคริปต์ PowerShell ที่โฮสต์บน GitHub ไปจนถึงไฟล์ RAR ที่เจาะช่องโหว่ WinRAR CVE-2025-8088 เมื่อเมษายน 2569 ซึ่งเป็นครั้งแรกที่กลุ่มนี้ใช้ช่องโหว่ซอฟต์แวร์ส่งมัลแวร์ ปลายทางคือ reverse shell ที่พัฒนาเองอย่าง FoalShell, Chvost, Laplas และ PickleShell ที่ให้ผู้โจมตีสั่งงานเครื่องเหยื่อแบบโต้ตอบได้ นอกจากนี้นักวิจัยยังพบเครื่องมือสำหรับ Linux และ PoC ของช่องโหว่ FortiWeb ในเซิร์ฟเวอร์ staging ของกลุ่ม บ่งชี้ว่ากำลังขยายขีดความสามารถ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 15 ตุลาคม 2569 ว่า Silent Lynx ถูกบันทึกต่อสาธารณะครั้งแรกโดย Seqrite Labs เมื่อต้นปี 2568 ในการโจมตีสถานทูต ทนายความ ธนาคารที่รัฐหนุนหลัง และสถาบันวิจัยในคีร์กีซสถานและเติร์กเมนิสถาน กลุ่มนี้ถูกประเมินว่าเชื่อมโยงกับคาซัคสถานและทำงานมาตั้งแต่อย่างน้อยปี 2563 โดยมีส่วนทับซ้อนกับกลุ่มอื่น เช่น YoroTrooper (หรือ Comrade Saiga, ShadowSilk, SturgeonPhisher), Cavalry Werewolf และ Tomiris นางสาว Ashley Shen นักวิจัยของ Talos ระบุว่า “เป้าหมายของ UAT-6275 กระจุกตัวในเอเชียกลางและภูมิภาค CIS ที่กว้างขึ้น”

ทั้งนี้ Talos สงสัยว่า UAT-6275 และ YoroTrooper เป็นส่วนหนึ่งของกลุ่มกิจกรรมเดียวกันในภาพใหญ่ แต่ยังไม่พบตัวบ่งชี้หรือเครื่องมือที่ทับซ้อนกันโดยตรง ก่อนหน้านี้ในปีนี้บริษัท VMRay เปิดเผยว่ากลุ่มที่ติดตามในชื่อ Hydra Saiga (ชื่อเดียวกับ Comrade Saiga) เจาะองค์กรได้อย่างน้อย 34 แห่งใน 8 ประเทศตั้งแต่ธันวาคม 2567 และสอดแนมเป้าหมายอีกกว่า 200 แห่งทั่วโลก โดยเน้นโครงสร้างพื้นฐานด้านทรัพยากรน้ำในเอเชียกลาง ด้วยมัลแวร์ที่เขียนด้วย Rust, Go และ Python ผสมเทคนิค Living-off-the-Land

Recorded Future ระบุว่าพบแคมเปญอย่างน้อย 8 ครั้งในภูมิภาคระหว่างมกราคม 2568 ถึงพฤษภาคม 2569 อีเมลฟิชชิงถูกส่งจากบัญชีรัฐที่ถูกยึด พร้อมเอกสารเหยื่อล่อที่ดูเป็นทางการ เช่น “หนังสือทางการทูตถึงกระทรวงการต่างประเทศอาร์เมเนีย แบบฟอร์มขออนุญาตใช้น่านฟ้าเติร์กเมนิสถาน และข้อเสนอธุรกิจเกี่ยวกับโรงกลั่นน้ำมัน Orsk ของรัสเซีย” นักวิจัยยังพบไดเรกทอรี staging ที่เข้าถึงได้สาธารณะ 3 แห่ง ซึ่งเก็บเครื่องมือสำหรับ Linux และ PoC สาธารณะของ CVE-2025-25257 ช่องโหว่ SQL injection ใน Fortinet FortiWeb

Silent Lynx exploits WinRAR flaw to deploy reverse shell in CIS government attacks

วิธีการโจมตี

ทุกเส้นทางเริ่มจากอีเมล spear-phishing ที่มีธีมความสัมพันธ์ทางการทูต การค้าระหว่างประเทศ พลังงาน และการบิน แล้วแยกเป็น 4 รูปแบบตามช่วงเวลา:

  • มิถุนายน 2568 — เอกสาร Word ที่มีมาโคร ดาวน์โหลดและรันไบนารีขั้นที่สอง
  • กรกฎาคม 2568 — ตัวดาวน์โหลดที่สร้างด้วย PS2EXE (เครื่องมือแพ็กสคริปต์ PowerShell เป็นไฟล์ .exe) ดึง reverse shell มารัน และสร้าง scheduled task เพื่อคงอยู่ในระบบ
  • ตุลาคม 2568 — ไฟล์ shortcut (LNK) ในไฟล์ RAR เรียก PowerShell ไปดึงสคริปต์ที่โฮสต์บน GitHub มารันเพื่อเปิด remote shell รุ่นถัดมาดาวน์โหลด PickleShell ไปวางในโฟลเดอร์ Startup ของ Windows ให้ทำงานทุกครั้งที่ผู้ใช้ล็อกอิน
  • เมษายน 2569 — ไฟล์ RAR ที่เจาะช่องโหว่ path traversal ของ WinRAR (CVE-2025-8088) เพื่อวาง PickleShell ลงโฟลเดอร์ Startup โดยตรง

CVE-2025-8088 เป็นช่องโหว่ที่ถูกใช้แพร่หลายในหมู่กลุ่มจารกรรมของรัสเซียและภูมิภาคใกล้เคียง โดยเว็บไซต์นี้เคยรายงานการใช้งานโดย Gamaredon, Turla และผู้อยู่เบื้องหลังมัลแวร์ GhostShell มาแล้ว การที่ Silent Lynx หันมาใช้ช่องโหว่นี้ตอกย้ำว่าเครื่องที่ยังใช้ WinRAR เวอร์ชันเก่ายังเป็นเป้าหมายที่คุ้มค่า

ผลกระทบ

แม้แคมเปญนี้จะจำกัดอยู่ในภูมิภาค CIS แต่รูปแบบการส่งฟิชชิงจากบัญชีรัฐที่ถูกยึดทำให้เหยื่อแทบไม่มีเหตุให้สงสัย เพราะอีเมลมาจากคู่ติดต่อจริง ความสนใจต่อกระทรวงเศรษฐกิจ หน่วยงานสิ่งแวดล้อม พลังงาน และทรัพยากรน้ำ สะท้อนเป้าหมายข่าวกรองด้านการทูตระดับภูมิภาคและการจัดการทรัพยากร ซึ่ง Talos คาดว่ากลุ่มนี้จะยังคงพยายามเข้าถึงหน่วยงานรัฐในเอเชียกลางและ CIS ต่อไป

การพบเครื่องมือ Linux และ PoC ของ FortiWeb บ่งชี้ว่ากลุ่มอาจเริ่มขยายจากการเจาะเครื่องผู้ใช้ไปสู่อุปกรณ์ขอบเครือข่ายและเซิร์ฟเวอร์ ซึ่งเป็นทิศทางเดียวกับกลุ่ม APT ระดับภูมิภาคอื่น ๆ ที่หันมาเจาะ edge device มากขึ้น

คำแนะนำ

  • อัปเดต WinRAR เป็นเวอร์ชัน 7.13 ขึ้นไป (WinRAR ไม่มีระบบอัปเดตอัตโนมัติ ต้องตรวจทุกเครื่อง) และพิจารณาใช้เครื่องมือแตกไฟล์ที่บริหารจัดการจากส่วนกลาง
  • เฝ้าระวังการสร้างไฟล์ใหม่ในโฟลเดอร์ Startup และ scheduled task ใหม่ที่ชี้ไปยังไฟล์ในโฟลเดอร์ผู้ใช้หรือ %TEMP%
  • ตรวจจับ PowerShell ที่ดึงสคริปต์จาก raw.githubusercontent.com หรือ GitHub โดยตรง และไฟล์ .exe ที่สร้างด้วย PS2EXE
  • บล็อกมาโครในเอกสาร Office ที่มาจากอินเทอร์เน็ต และตรวจไฟล์ LNK ในไฟล์บีบอัดที่แนบมากับอีเมล
  • อีเมลจากหน่วยงานพันธมิตรที่ส่งไฟล์บีบอัดหรือขอให้เปิดเอกสารเร่งด่วน ให้ยืนยันผ่านช่องทางอื่นก่อน เพราะบัญชีผู้ส่งอาจถูกยึด
  • แพตช์ Fortinet FortiWeb ตาม FG-IR-25-151 (CVE-2025-25257) หากยังไม่ได้ดำเนินการ

แหล่งอ้างอิง