สรุปสั้น

ทีม Cisco Talos เปิดเผยรายละเอียดแคมเปญ spear-phishing ของกลุ่มภัยคุกคามขั้นสูง (APT) ที่ติดตามในชื่อ UAT-11985 ซึ่งเล็งเป้าบุคคลที่เกี่ยวข้องกับองค์กรวิจัยในไต้หวัน ผู้โจมตีส่งคำเชิญเข้าร่วมงานสัมมนาที่อิงหัวข้อกิจกรรมสาธารณะจริงและสวมรอยสถาบันด้านวิชาการและนโยบายที่มีชื่อเสียง เพื่อหลอกเหยื่อเข้าสู่เฟรมเวิร์กฟิชชิงแบบ adversary-in-the-middle (AitM) ที่ขโมยทั้งรหัสผ่านบัญชี Google และรหัสยืนยันตัวตนหลายปัจจัย (MFA) แคมเปญนี้พบครั้งแรกช่วงกลางปี 2569

นอกจากอีเมล ผู้โจมตียังใช้เทคนิค QR code phishing (quishing) โดยนำโปสเตอร์งานจริงจากเว็บไซต์ถูกกฎหมายมาแก้ QR code เป็นของตัวเอง ทำให้ขยายวงไปถึงผู้ที่เห็นสื่อสิ่งพิมพ์ด้วย Talos ประเมินว่ากลุ่มนี้น่าจะใช้ AI ช่วยสร้างเนื้อหา เพราะอีเมลมีโครงสร้างประโยคแทบเหมือนกันแม้หัวข้อทางภูมิรัฐศาสตร์จะต่างกัน แสดงว่าผลิตจากเทมเพลต prompt เดียวกันแทนการเขียนทีละฉบับ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 16 ตุลาคม 2569 ว่า นาย Joey Chen นักวิจัยของ Talos ระบุว่า “ปฏิบัติการนี้ใช้หัวข้องานสาธารณะที่มีอยู่จริงและสวมรอยสถาบันวิชาการและนโยบายที่น่าเชื่อถือเพื่อสร้างความน่าเชื่อถือ” สถาบันที่ถูกสวมรอยได้แก่ Taiwan European Union Centre, NCCU Institute of International Relations และ Taiwan Research Institute โดยปลอมตัวตนผู้ส่งให้ดูเหมือนมาจากสถาบันเหล่านี้

UAT-11985 fake event invites target Taiwan researchers with Google AitM phishing

อีเมลเชิญทุกฉบับมีโครงสร้าง 3 ส่วนเหมือนกัน คือ ส่วนแรกบรรยายบริบทภูมิรัฐศาสตร์หรือนโยบายอย่าง “ขัดเกลาแต่ยืดยาวเกินไป” ส่วนที่สองปรับให้เข้ากับผู้รับและยกย่องผู้รับเพื่อกระตุ้นให้ตอบรับ และส่วนสุดท้ายให้รายละเอียดงาน ได้แก่ หัวข้อ วันที่ สถานที่ และวิธีลงทะเบียน ลิงก์ในอีเมลชี้ไปยังโครงสร้างของผู้โจมตี แต่เมื่อวางเมาส์จะแสดงเป็น URL ของ Google Forms ที่ดูถูกต้อง Talos สรุปว่ารูปแบบเหล่านี้ “บ่งชี้อย่างชัดเจนถึงแคมเปญ spear-phishing ที่ประสานงานและเล็งเป้าอย่างรอบคอบ ไม่ใช่คำเชิญอิสระสามฉบับ”

วิธีการโจมตี

  1. เหยื่อคลิกลิงก์หรือสแกน QR code เพื่อ “ลงทะเบียน” และพบหน้าที่ทำเลียนแบบ Google Form
  2. หน้าเว็บแสดงหน้าต่างให้ล็อกอินด้วยบัญชี Google เพื่อกรอกฟอร์มให้เสร็จ แล้วพาไปยังหน้าล็อกอิน Google ปลอมที่เหมือนจริงทุกพิกเซล
  3. ก่อนเปิดการเชื่อมต่อ WebSocket JavaScript ที่ถูกอำพรางจะเก็บ locale, user agent, ขนาดหน้าจอ และสถานะอุปกรณ์มือถือ แล้วรายงานไปยังเซิร์ฟเวอร์ C2 ผ่านคำขอ google_login_start
  4. เมื่อเหยื่อกรอกรหัสผ่าน หน้าเว็บส่งรหัสผ่าน รหัสบัญชี และ user agent ไปยัง C2 ผ่านคำขอ google_login_check จากนั้นเซิร์ฟเวอร์ของผู้โจมตีซึ่งอยู่ตรงกลางจะส่งต่อไปยังระบบยืนยันตัวตนจริงของ Google
  5. สถานะการยืนยันตัวตนรวมถึงขั้นตอน MFA ถูกสะท้อนกลับแบบเรียลไทม์ผ่าน WebSocket ทำให้ผู้โจมตียึดบัญชีได้เต็มรูปแบบโดยเหยื่อไม่สงสัย

หน้าล็อกอินปลอมรองรับเพียงภาษาจีนตัวย่อ (zh-CN) จีนตัวเต็ม (zh-TW) และอังกฤษ โดยตรวจภูมิภาคจาก navigator.languages ของเบราว์เซอร์ ซึ่ง Talos มองว่า “บ่งชี้อย่างชัดเจนว่าเล็งผู้ใช้ที่พูดภาษาจีน”

ผลกระทบ

นักวิจัยและบุคลากรในสถาบันด้านนโยบายและความสัมพันธ์ระหว่างประเทศมักมีอีเมล เอกสาร และเครือข่ายติดต่อที่มีคุณค่าด้านข่าวกรอง การยึดบัญชี Google ได้จึงเปิดทางเข้าถึง Gmail, Drive และบริการอื่นที่ผูกกับบัญชี และใช้ต่อยอดหลอกผู้ติดต่อรายอื่นได้ การใช้ AI ผลิตเนื้อหาจำนวนมากที่ปรับให้เข้ากับแต่ละคนยังทำให้แคมเปญขยายวงได้เร็วโดยคุณภาพไม่ลดลง

ประเด็นสำคัญคือ MFA แบบรหัส OTP หรือการยืนยันผ่านแอปไม่สามารถป้องกันการโจมตีแบบ AitM ได้ เพราะผู้โจมตีส่งต่อการยืนยันแบบเรียลไทม์ ส่วน QR code บนโปสเตอร์ยังหลบการตรวจลิงก์ในเกตเวย์อีเมลได้ และอาจถูกสแกนด้วยมือถือส่วนตัวที่องค์กรไม่ได้ป้องกัน

คำแนะนำ

  • ผู้ใช้กลุ่มเสี่ยงควรเปลี่ยนไปใช้ passkey หรือกุญแจความปลอดภัย FIDO2 และพิจารณาเข้าร่วม Google Advanced Protection Program ซึ่งต้านทานฟิชชิงแบบ AitM ได้
  • ตรวจสอบคำเชิญงานสัมมนากับผู้จัดผ่านช่องทางที่รู้จักอยู่แล้ว และระวังฟอร์มลงทะเบียนที่บังคับให้ล็อกอินบัญชี Google เพิ่มเติม
  • ก่อนสแกน QR code บนโปสเตอร์หรือสื่อสิ่งพิมพ์ ให้ตรวจโดเมนปลายทางทุกครั้ง
  • ผู้ดูแล Google Workspace ควรเฝ้าระวังการล็อกอินจากตำแหน่งหรืออุปกรณ์ผิดปกติ เซสชันใหม่ทันทีหลังล็อกอิน และการตั้งกฎส่งต่ออีเมลที่ไม่รู้จัก
  • สถาบันที่ถูกสวมรอยควรตั้ง SPF, DKIM และ DMARC แบบ reject และแจ้งเตือนเครือข่ายนักวิจัยเมื่อพบการปลอมชื่อ

แหล่งอ้างอิง