APT28 เจาะอู่ต่อเรือรบในประเทศสมาชิก NATO — Symantec พบ HOOKEDGE รุ่นใหม่ อุโมงค์ SSH และ reflective loader ที่ไม่เคยพบมาก่อน

สรุปสั้น

ทีม Threat Hunter ของ Symantec (หน่วยข่าวกรองภัยคุกคามในเครือบริษัท Broadcom) รายงานว่ากลุ่ม APT28 หรือที่รู้จักในชื่อ BlueDelta, Fancy Bear และ Forest Blizzard ซึ่งรัฐบาลรัสเซียหนุนหลัง เจาะองค์กรในประเทศสมาชิก NATO สองประเทศภายใต้กลุ่มกิจกรรมที่ Symantec ตั้งชื่อว่า Swallowtail เป้าหมายประกอบด้วยหน่วยงานบังคับใช้กฎหมาย อู่ต่อเรือรบ และผู้ผลิตเครื่องยนต์อากาศยานทหาร ซึ่งล้วนถือข้อมูลที่มีค่าต่อหน่วยข่าวกรองต่างชาติ เครื่องมือหลักคือแบ็กดอร์ HOOKEDGE ที่เคยมีรายงานเมื่อสิงหาคม (ดูโพสต์ 2026/08/167) และ reflective loader ตัวใหม่ที่ถอดรหัสและรันเพย์โหลดในหน่วยความจำ โดยใช้กุญแจที่ส่งมาตอนรันเท่านั้น

ในการโจมตีอู่ต่อเรือรบช่วงปลายกรกฎาคม 2569 ผู้โจมตีกลับมาที่เครื่องเดิมซ้ำตลอดหนึ่งสัปดาห์ในลักษณะที่มีคนควบคุมเอง (hands-on-keyboard) ขโมยข้อมูลรับรองด้วยสองเทคนิคแยกกัน เปิดอุโมงค์ SSH ถาวรเข้าเครือข่ายภายใน และวาง loader ตัวใหม่ กิจกรรมล่าสุดพบเมื่อ 24 กันยายน 2569 แต่ยังไม่ชัดว่ามีข้อมูลถูกขโมยไปหรือไม่ Symantec ชี้ว่าพฤติกรรมหลังเจาะระบบเหล่านี้ลึกกว่าที่เคยรายงานเกี่ยวกับแคมเปญนี้มาก ในรายงานเดียวกัน The Hacker News ยังสรุปรายงานของ CERT-UA ที่พบว่ารัสเซียหันมาเล็งสมาร์ตโฟนของทหารและเจ้าหน้าที่รัฐยูเครนมากขึ้น และพบ APT28 ใช้ช่องโหว่ CVE-2026-21509 ใน Microsoft Office กับ CVE-2026-8496 ใน SOGo

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 20 ตุลาคม 2569 ว่า Symantec ระบุในรายงานที่ส่งให้ล่วงหน้าว่า “ระหว่างการโจมตีอู่ต่อเรือรบครั้งหนึ่ง ผู้ปฏิบัติการกลับมาที่เครื่องที่ถูกเจาะซ้ำตลอดหนึ่งสัปดาห์ ขโมยข้อมูลรับรองด้วยสองเทคนิคแยกกัน เปิดอุโมงค์ SSH ถาวรเข้าเครือข่ายภายในขององค์กร และวาง reflective loader ที่ไม่เคยมีการบันทึกมาก่อน”

HOOKEDGE ถูกเปิดเผยครั้งแรกโดย Recorded Future Insikt Group ปลายสิงหาคม 2569 ในแคมเปญจารกรรมที่เล็งหน่วยงานรัฐและการทูตในโรมาเนีย สเปน และตุรกี ระหว่างกันยายน 2568 ถึงต้นเมษายน 2569 แบ็กดอร์นี้มีโค้ดและเทคนิคทับซ้อนกับ HEADLACE ซึ่ง APT28 ใช้โจมตีนักการทูตมาตั้งแต่เมษายน 2566 ตัวมันเป็นสคริปต์ batch ของ Windows แบบเรียบง่าย ส่งผ่านเอกสาร Word ที่มีมาโคร รับคำสั่งและส่งผลลัพธ์กลับผ่าน URL ของบริการ webhook.site และดึงคำสั่งด้วย Microsoft Edge ที่ซ่อนหน้าต่างไว้นอกจอแทนตัวดาวน์โหลดแบบดั้งเดิม

ด้านยูเครน CERT-UA รายงานเหตุไซเบอร์ 3,137 ครั้งในครึ่งแรกของปี 2569 เพิ่มขึ้นราว 8% จากครึ่งหลังปี 2568 และ Team Cymru เปิดเผยเซิร์ฟเวอร์ C2 เพิ่มอีก 5 แห่งของ LegionRelay ซึ่งเป็น RAT ที่เขียนด้วย PowerShell ของกลุ่ม GREYVIBE ที่โจมตียูเครนต่อเนื่องตั้งแต่อย่างน้อยสิงหาคม 2568

วิธีการโจมตี

แคมเปญ Swallowtail ต่ออู่ต่อเรือรบ (ปลายกรกฎาคม-กันยายน 2569)

• HOOKEDGE รุ่นใหม่ — เลิกใช้ webhook.site แล้วหันไปใช้ IP เฉพาะ 185.82.218[.]119:443 ทั้งรับคำสั่งและส่งข้อมูลออก
• ขโมยข้อมูลรับรองวิธีที่ 1: อุโมงค์ SSH — ผู้โจมตีวาง SSH private key บนเครื่องเหยื่อ แล้วใช้มันเปิดการเชื่อมต่อ SSH กลับไปยังเซิร์ฟเวอร์ของตนทันที พร้อมขออุโมงค์แบบถาวรที่รันเบื้องหลัง ทำให้มีเส้นทางจากโครงสร้างพื้นฐานของผู้โจมตีเข้าสู่เครือข่ายภายในของเป้าหมาย
• ขโมยข้อมูลรับรองวิธีที่ 2: บังคับยืนยันตัวตน NTLM — รันสคริปต์ PowerShell สั้น ๆ ที่เปิด listener บน loopback ของเครื่องเอง แล้วบังคับให้เครื่องยืนยันตัวตนเข้าหา listener นั้น เพื่อดักเก็บ NTLM handshake
• Reflective loader ตัวใหม่ — ดาวน์โหลด ld.exe ผ่านคำสั่ง curl ภายในเซสชัน SSH loader นี้ถอดรหัสและรันส่วนประกอบขั้นถัดไปในหน่วยความจำด้วยกุญแจที่ส่งมาตอนรัน ทำให้วิเคราะห์เพย์โหลดได้ยากหากไม่มีกุญแจ จนถึงตอนนี้ยังไม่รู้ว่าเพย์โหลดจริงคืออะไร
• คงอยู่ในเครือข่าย — 24 กันยายน 2569 ยังพบตัวเรียกใช้ Visual Basic Script ของ HOOKEDGE ในเครือข่ายอู่ต่อเรือ

การโจมตียูเครนครึ่งแรกปี 2569 (CERT-UA)

• ชุดช่องโหว่ iOS ชื่อ DarkSword กระจายผ่าน watering hole บนเว็บข่าวและเว็บรัฐบาลยูเครนที่ถูกเจาะ สอดคล้องกับรายงานของ Google Threat Intelligence Group ที่โยง UNC6353 กับชุด Coruna และ DarkSword
• กลุ่ม UAC-0244 ปล่อย CAMELSPY ที่ดูดข้อมูลอุปกรณ์ ตำแหน่ง ซิม รายชื่อ ประวัติการโทร และรูปภาพ ส่วน UAC-0263 ปล่อย BTMOB RAT ที่ควบคุมเครื่องและส่งข้อมูลออก ทั้งคู่ผ่านแอปแอนดรอยด์ปลอม
• APT28 ใช้ CVE-2026-21509 (ช่องโหว่ข้ามการป้องกันใน Microsoft Office) ปล่อยมัลแวร์ COVENANT และ CVE-2026-8496 (ช่องโหว่ zero-click ในเว็บเมล SOGo) ดูดข้อมูลรับรองและข้อมูลกล่องจดหมาย รวมถึงยังใช้ XSS ใน Roundcube และไฟล์ Excel ที่มีมาโคร

ผลกระทบ

เป้าหมายในอุตสาหกรรมป้องกันประเทศของ NATO อย่างอู่ต่อเรือรบและผู้ผลิตเครื่องยนต์อากาศยานทหาร ถือข้อมูลออกแบบ ห่วงโซ่อุปทาน และกำหนดส่งมอบอาวุธ ซึ่งมีคุณค่าเชิงยุทธศาสตร์โดยตรงต่อรัสเซียในช่วงสงครามยูเครน การที่ผู้โจมตีเปิดอุโมงค์ SSH ถาวรและกลับมาซ้ำหลายครั้ง แสดงเจตนาจะอยู่ในเครือข่ายระยะยาว ไม่ใช่เพียงเก็บข้อมูลครั้งเดียว

ในเชิงเทคนิค การที่ HOOKEDGE เปลี่ยนจาก webhook.site มาใช้ IP เฉพาะ และการใช้ loader ที่ต้องมีกุญแจตอนรัน แสดงว่า APT28 ปรับเครื่องมือหลังถูกเปิดโปงเมื่อสิงหาคม และทำให้การวิเคราะห์ย้อนหลังยากขึ้น ส่วนการใช้ช่องโหว่ในเว็บเมลทั้ง SOGo และ Roundcube ตอกย้ำว่าเว็บเมลโอเพนซอร์สยังเป็นช่องทางโปรดของกลุ่มนี้

คำแนะนำ

• ปิดมาโครในเอกสาร Office ที่มาจากอินเทอร์เน็ตด้วย Group Policy และอัปเดตแพตช์ CVE-2026-21509
• อัปเดต SOGo ปิด CVE-2026-8496 และอัปเดต Roundcube ให้เป็นเวอร์ชันล่าสุด
• ตรวจหาการเชื่อมต่อ SSH ขาออกจากเครื่อง Windows ทั่วไป โดยเฉพาะที่มีการทำ remote port forwarding (ssh -R) หรือรันเบื้องหลัง และไฟล์ private key ที่ปรากฏบนเครื่องโดยไม่มีที่มา
• เฝ้าระวังการยืนยันตัวตน NTLM ไปยัง loopback หรือปลายทางผิดปกติ และลดการใช้ NTLM โดยเปิด SMB signing และ Extended Protection for Authentication
• ตรวจหา Microsoft Edge ที่รันแบบซ่อนหน้าต่าง (headless หรือตำแหน่งหน้าต่างนอกจอ) ที่ถูกเรียกจากสคริปต์ batch หรือ VBS และการเชื่อมต่อไปยัง webhook.site
• บล็อกตัวบ่งชี้ในตาราง IoCs ด้านล่าง และส่ง hash ของ ld.exe ที่พบให้ทีม threat intelligence ตรวจสอบ

Indicators of Compromise (IoCs)

คง defang ตามต้นฉบับ

แหล่งอ้างอิง

• The Hacker News — Russian APT28 Breaches NATO Naval Shipbuilder in NATO Country, Deploys New Reflective Loader
• Symantec — Swallowtail: Russia Targets NATO Members
• Team Cymru — Threat Hunting LegionRelay C2 Servers Targeting Ukraine
• CIP.gov.ua — Analytical materials of the State Service of Special Communications