เซิร์ฟเวอร์มัลแวร์สาย Midnight Blizzard ยังปล่อย payload ได้ 8 สัปดาห์หลังถูกเปิดโปง — ReversingLabs ไล่จาก 2 แฮชของ Anthropic เจอ stager เพิ่ม 5 build และไฟล์ shortcut ที่แอนติไวรัสไม่จับ

สรุปสั้น

บริษัท ReversingLabs (RL) รายงานว่าเซิร์ฟเวอร์ staging ที่เชื่อมโยงกับแคมเปญมัลแวร์ของคลัสเตอร์สาย Midnight Blizzard หรือ APT29 ยังคงส่งไฟล์อันตรายได้ ณ วันที่ 5 ตุลาคม 2569 ราว 8 สัปดาห์หลังกิจกรรมนี้ถูกเปิดเผยต่อสาธารณะ ซึ่งบริษัทไมโครซอฟท์และบริษัท Anthropic ต่างรายงานไว้ เซิร์ฟเวอร์ตอบ HTTP 200 กับพาธ payload หลายพาธ รวมถึงพาธที่ไฟล์ Windows Internet Shortcut ธรรมดาใช้เรียก stager ภาษา PowerShell ข้อค้นพบนี้ชี้ว่าการเปิดเผยต่อสาธารณะและคะแนนชื่อเสียงที่ต่ำไม่ได้แปลว่าโครงสร้างพื้นฐานของปฏิบัติการถูกปิดลงแล้ว

RL เริ่มจากแฮชมัลแวร์ 2 ตัวที่ Anthropic เผยแพร่ในรายงานเรื่องกลุ่ม GTG-20006 แล้วไล่ค้นในข้อมูลย้อนหลังของตัวเอง จนเชื่อมไปถึงเซิร์ฟเวอร์ staging และพบ stager เพิ่มอีก 5 build ไฟล์ shortcut ที่ไม่มีโค้ดปฏิบัติการจนแอนติไวรัสไม่ตรวจจับ ไฟล์ที่ปลอมเป็น JavaScript bundle และโดเมนฟิชชิงที่ยังเข้าถึงได้ ไฟล์และเซิร์ฟเวอร์ส่วนใหญ่ที่ตรวจสอบมีผลตรวจจับจากผู้ขายภายนอกน้อยมาก ขณะที่ไมโครซอฟท์อัปเดตเมื่อวันที่ 5 ตุลาคมว่าพบกิจกรรมรอบใหม่ช่วงปลายเดือนกันยายน รวมถึง CornFlake รุ่นที่เขียนด้วยภาษา Rust

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 17 ตุลาคม 2569 ว่าไมโครซอฟท์ติดตามกิจกรรมนี้ในชื่อแคมเปญ CaptiveCrunch และระบุว่าเป็นฝีมือของ Storm-2945 ซึ่งประเมินว่าเป็นคลัสเตอร์ย่อยเชิงปฏิบัติการของ Midnight Blizzard (โพสต์ 2026/08/005) ส่วน Anthropic รายงานเมื่อเดือนกันยายนว่าผู้ปฏิบัติการจารกรรมชื่อ GTG-20006 ใช้ Claude แก้ไขและปล่อย implant ใหม่หลังถูกผลิตภัณฑ์ความปลอดภัยตรวจจับ (โพสต์ 2026/09/090) RL ระบุว่าการวิเคราะห์ไฟล์ของตนไม่ได้ยืนยันหรือโต้แย้งการระบุตัวผู้อยู่เบื้องหลังเหล่านี้ จึงเรียกกิจกรรมนี้ว่า “เชื่อมโยงกับ Midnight Blizzard”

แฮช 2 ตัวที่เป็นจุดเริ่มคือ stager PowerShell ที่ไมโครซอฟท์เรียกว่า ChocoShell และ backdoor ภาษา Go ชื่อ CornFlake RL พบ backdoor ครั้งแรกในข้อมูลของตัวเองเมื่อวันที่ 6 กรกฎาคม และ stager เมื่อวันที่ 10 กรกฎาคม ก่อนมีรายงานสาธารณะหลายสัปดาห์ และจัดทั้งคู่เป็นไฟล์อันตรายเมื่อวันที่ 1 สิงหาคม หนึ่งวันหลังไมโครซอฟท์เผยแพร่ผลการวิเคราะห์ จากนั้น RL เชื่อมตัวอย่างทั้งสองเข้ากับเซิร์ฟเวอร์ staging ที่ 213[.]145[.]86[.]112

การล่าเชิงพฤติกรรมโดยอาศัยพาธ beacon และป้ายกำกับเฉพาะ พบ stager อีก 5 build ที่แฮชต่างกัน ทุกตัวมีชุดความสามารถร่วมกัน 35 รายการ เช่น การรัน PowerShell แบบซ่อนหน้าต่าง การรันโค้ดที่ถอด Base64 การเก็บประวัติเบราว์เซอร์ และการส่ง beacon ไปเซิร์ฟเวอร์เดียวกัน build ทั้งห้าเข้ามาในข้อมูลของ RL ระหว่างวันที่ 9 กรกฎาคมถึง 3 สิงหาคม ซึ่งสอดคล้องกับการสร้างใหม่ซ้ำ ๆ แต่ RL ระบุว่าข้อมูลของตนไม่สามารถยืนยันได้ว่า AI เป็นผู้สร้าง build เหล่านี้

วิธีการโจมตี

การไล่ต่อของ RL พบไฟล์ Windows Internet Shortcut (.url) ขนาดสั้น 2 ไฟล์ที่ชี้ไปยังพาธดาวน์โหลด stager ไฟล์เหล่านี้ไม่มีโค้ดปฏิบัติการอยู่เลย เครื่องมือแอนติไวรัสจึงไม่แจ้งเตือน ความอันตรายของไฟล์อยู่ที่ URL ที่มันเปิดเท่านั้น เมื่อผู้ใช้เปิดไฟล์ shortcut ระบบจะเรียกพาธ /s บนเซิร์ฟเวอร์เพื่อดึง stager PowerShell มารัน นอกจากนี้ยังพบ stager อีก 2 ตัวที่ดึงจากเซิร์ฟเวอร์ ความเชื่อมโยงระหว่างโดเมนฟิชชิงกับที่อยู่โฮสติ้ง ไฟล์ที่ปลอมเป็น JavaScript bundle และไลบรารี polyfill ของจริงที่ใช้ในทราฟฟิกของแคมเปญ

ระหว่างการวิเคราะห์ URL เมื่อวันที่ 5 ตุลาคม เซิร์ฟเวอร์ staging ตอบ HTTP 200 สำหรับพาธ /s พาธ /s สำหรับ shortcut โดยเฉพาะ และพาธ JavaScript bundle ปลอม ทุกคำขอส่งไฟล์ที่ RL จัดว่าเป็นอันตราย โดเมนฟิชชิงที่เกี่ยวข้องหลายแห่งยังเข้าถึงได้ มีเพียงโดเมนที่เลียนแบบ Outlook Web Access หนึ่งแห่งที่ตอบ HTTP 403 RL ย้ำว่าผลนี้เป็นภาพ ณ วันที่ตรวจเท่านั้น ไม่ได้ยืนยันว่ายังทำงานอยู่ในปัจจุบัน

มัลแวร์ในปฏิบัติการนี้ผสานการขโมยข้อมูลรับรองเข้ากับการคงอยู่ในเครื่อง ไมโครซอฟท์ระบุว่า ChocoShell ขโมยข้อมูลเบราว์เซอร์และโทเค็น Microsoft 365 ส่วน CornFlake ให้ผู้โจมตีควบคุมเครื่องระยะไกลแบบถาวรและเก็บข้อมูลจากเครื่องที่ติดเชื้อ RL สังเกตอย่างอิสระว่า backdoor ภาษา Go เข้าถึงโปรไฟล์เบราว์เซอร์และข้อมูล Microsoft Teams และพบเซิร์ฟเวอร์ที่อาจเกี่ยวข้องเพิ่มที่ 192[.]142[.]52[.]31 ซึ่งเป็นเพียงเบาะแสสำหรับการล่า ยังไม่ใช่ indicator ที่ยืนยันแล้ว ภาพรวมของ CaptiveCrunch ตามรายงานไมโครซอฟท์ยังรวมถึงการบิดเบือนทราฟฟิกในเครือข่ายโรงแรมและ captive portal การฟิชชิง และ device-code phishing ที่เล็งบัญชี Microsoft 365

ผลกระทบ

กรณีนี้แสดงช่องว่างระหว่าง “การเปิดเผย” กับ “การรื้อถอน” ของกลุ่มที่รัฐหนุนหลัง เซิร์ฟเวอร์ที่ถูกเผยแพร่ในรายงานของผู้ขายรายใหญ่สองรายยังคงทำงานต่อได้หลายสัปดาห์ ขณะที่ไฟล์และเซิร์ฟเวอร์ส่วนใหญ่ยังมีผลตรวจจับต่ำในบริการตรวจชื่อเสียง องค์กรที่ป้องกันด้วยการบล็อกแฮชที่ประกาศออกมาเพียงอย่างเดียวจึงพลาด build ใหม่ที่แฮชเปลี่ยนไปได้ง่าย

ไฟล์ Internet Shortcut ที่ไม่มีโค้ดเลยเป็นอีกจุดอ่อน เพราะเครื่องมือที่ดูเฉพาะเนื้อไฟล์จะไม่เห็นความผิดปกติ ขณะที่ผลลัพธ์คือการดึงมัลแวร์ที่ขโมยโทเค็น Microsoft 365 และข้อมูล Teams ซึ่งเป็นเป้าหมายสำคัญของการจารกรรมหน่วยงานรัฐ การทูต และกลาโหม โดยเฉพาะบุคลากรที่เดินทางและใช้ Wi-Fi โรงแรมหรือสถานที่จัดงานประชุม

คำแนะนำ

• ล่าภัยคุกคามจากพฤติกรรมและความเชื่อมโยงของโครงสร้างพื้นฐาน เช่น พาธ beacon รูทีนการเก็บข้อมูล และ URL ที่ไฟล์ชี้ไป แทนการพึ่งแฮชที่ประกาศออกมาเพียงอย่างเดียว
• ตรวจสอบหรือบล็อกไฟล์ .url และ .lnk ที่มาทางอีเมลหรือการดาวน์โหลด และเฝ้าระวัง PowerShell ที่รันแบบซ่อนหน้าต่างหรือถอดรหัส Base64 แล้วรันโค้ดทันที
• เฝ้าระวังการเข้าถึงโปรไฟล์เบราว์เซอร์ ข้อมูล Microsoft Teams และโทเค็น Microsoft 365 จากโปรเซสที่ไม่ใช่เบราว์เซอร์หรือแอปที่เกี่ยวข้อง
• เปิด Conditional Access และนโยบายจำกัด device code flow สำหรับบัญชีที่ไม่จำเป็นต้องใช้ เพื่อลดความเสี่ยงจาก device-code phishing
• เตือนบุคลากรที่เดินทางว่าห้ามติดตั้งอัปเดตหรือรันคำสั่งตามที่หน้า captive portal ของโรงแรมหรือสถานที่จัดงานแนะนำ และใช้ VPN ขององค์กรทุกครั้ง
• บล็อก IP 213[.]145[.]86[.]112 และค้นหาการเชื่อมต่อย้อนหลัง ส่วน 192[.]142[.]52[.]31 ใช้เป็นเบาะแสในการล่าเท่านั้น

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.]) ก่อนใช้ต้องแปลงกลับ

แหล่งอ้างอิง

• How RL mapped a Midnight Blizzard-linked campaign from two hashes — ReversingLabs
• Midnight Blizzard-Linked Malware Server Still Delivering Payloads 8 Weeks After Disclosure — GBHackers