เซิร์ฟเวอร์เปิดโล่งของพันธมิตรแรนซัมแวร์ INC และ The Gentlemen เผยการใช้ AI เชิงพาณิชย์ตลอดสายการโจมตี — 8,257 ข้อความ 46 ตัวเข้ารหัส และเหยื่อ 62 องค์กร

สรุปสั้น

ทีม Threat Research Unit (STRU) ของบริษัท SOCRadar เปิดเผยระบบนิเวศการบุกรุกของกลุ่มผู้ร่วมปฏิบัติการ (affiliate) แรนซัมแวร์ INC และ The Gentlemen หลังผู้โจมตีปล่อยเซิร์ฟเวอร์ปฏิบัติการให้เข้าถึงได้สาธารณะ การสืบสวนเริ่มจากไดเรกทอรีเปิดบน 45.227.254[.]43 ปลายเดือนกันยายน 2569 แล้วไฟล์คอนฟิกกับข้อมูลรับรองในนั้นพานักวิจัยไปเจออีก 6 เซิร์ฟเวอร์ ทั้งระบบพัฒนา ระบบสั่งการ และระบบเตรียมแรนซัมแวร์ สิ่งที่พบมีบทสนทนากับ AI 8,257 ข้อความใน 133 เซสชัน ซอร์สโค้ด ข้อมูลรับรองที่ขโมยมา พื้นที่ทำงานแยกตามเหยื่อ และตัวเข้ารหัส INC ที่ปรับแต่งเฉพาะเหยื่อ 46 ตัว

ผู้โจมตีใช้ OpenCode กับโมเดลที่ให้บริการผ่าน OpenRouter รวมถึง Claude Opus 4.6 และ Kimi K3 ร่วมกับเฟรมเวิร์กชื่อ Phantom ที่ตั้งชื่อตัวเองว่า “Autonomous Red Team Kill Chain Framework” บัญชี OpenRouter บัญชีเดียวมียอดใช้จ่ายถึง 23,920 ดอลลาร์สหรัฐ แต่แม้จะตั้งชื่อว่าอัตโนมัติ มนุษย์ยังเป็นผู้อนุมัติทุกขั้น โมเดลช่วยวางแผนสอดแนม สร้างคำสั่ง ดีบักเครื่องมือ ประเมินทางเลือกเพื่อหลบการตรวจจับ จัดระเบียบข้อมูลที่ขโมย และร่างข้อความขู่กรรโชก บันทึกของผู้โจมตีระบุการเจาะ FortiClient EMS, SimpleHelp และ cPanel และ STRU ระบุองค์กรที่เกี่ยวข้อง 62 แห่ง เป็นองค์กรในสหรัฐฯ 36 แห่ง โดยระดับความเสียหายมีตั้งแต่ถูกสอดแนมไปจนถึงถูกขู่กรรโชก

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 21 ตุลาคม 2569 ตามรายงานของ SOCRadar ว่าสิ่งที่พบคือสภาพแวดล้อมปฏิบัติการที่ใช้งานอยู่จริง ไม่ใช่การทดลองมัลแวร์แบบโดดเดี่ยว คำสั่ง (prompt) ที่เขียนเฉพาะเหยื่อแต่ละรายสั่งให้ AI ประสานทุกการกระทำกับผู้ควบคุมก่อน และคำว่า “WormGPT” ในระบบนี้หมายถึงชุด persona prompt กับการเชื่อมต่อผ่าน MCP ไม่ใช่โมเดลไร้การกรองแยกต่างหาก เมื่อโมเดลเชิงพาณิชย์ปฏิเสธคำขอ ผู้โจมตีจะเปลี่ยนกรอบคำขอเป็นการทดสอบความปลอดภัยที่ได้รับอนุญาต บทสนทนาที่เก็บไว้จึงกลายเป็นหลักฐานการทำงานที่ละเอียดเป็นพิเศษ

บันทึกของผู้ควบคุมอ้างผลการเจาะ FortiClient EMS ผ่าน CVE-2026-35616 ว่าได้บัญชีผู้ดูแล 108 บัญชีจากเป้าหมาย 2,236 ราย SimpleHelp ผ่าน CVE-2024-57727 ที่กระทบ 242 IP และ cPanel ผ่าน CVE-2026-41940 มากกว่า 49 ราย ตัวเลขทั้งหมดนี้ยังไม่ได้รับการตรวจสอบอย่างอิสระ ข้อมูลรับรองของช่างเทคนิคที่ขโมยได้ยังถูกใช้ขยายการเข้าถึงไปยังลูกค้าของผู้ให้บริการไอทีแบบ managed (MSP) ด้วย

ตัวเข้ารหัส 46 ตัวรองรับทั้ง Windows และ Linux สำหรับเป้าหมาย 6 ราย มี 3 แพ็กเกจที่เตรียมไว้เมื่อ 30 กันยายนเพื่อใช้งานวันที่ 1 ตุลาคม 2569 ยังไม่ยืนยันว่ารันกับเป้าหมายเหล่านั้นจริงหรือไม่ แต่ภาพหน้าจอ SimpleHelp วันที่ 30 กันยายนแสดงการเข้ารหัสที่กำลังทำงานบนเครื่องของเหยื่อรายหนึ่ง แพ็กเกจที่ติดแบรนด์หนึ่งชุดโยงเคสหนึ่งเข้ากับ The Gentlemen แต่ SOCRadar ระบุว่าโครงสร้างพื้นฐานที่ใช้ร่วมกันบ่งชี้เพียงสภาพแวดล้อมของ affiliate ที่ทับซ้อนกัน ไม่ใช่หลักฐานว่าสองแบรนด์เป็นพันธมิตรอย่างเป็นทางการ

วิธีการโจมตี

ขั้นเข้าถึงเริ่มต้นใช้ช่องโหว่ของซอฟต์แวร์บริหารจัดการและเครื่องมือควบคุมระยะไกลที่เปิดออกอินเทอร์เน็ต ได้แก่ FortiClient EMS, SimpleHelp และ cPanel เมื่อเข้าเครือข่ายได้ ผู้โจมตีสำรวจโดเมน เล็งบัญชีที่มีสิทธิ์สูง เก็บข้อมูลรับรอง และจัดลำดับความสำคัญของเอกสารด้านการเงิน กฎหมาย ทรัพยากรบุคคล และผู้บริหาร ก่อนขโมยข้อมูลและเข้ารหัส ซึ่งตรงกับรูปแบบการบุกรุกของ INC Ransom ที่เคยมีการบันทึกไว้

เครื่องมือที่กู้ได้ประกอบด้วยโมดูลทักษะ (skill) ของ Phantom 18 ตัว เซิร์ฟเวอร์ MCP ที่ติดป้าย WormGPT 32 ตัว implant ของ Ghost C2 และอุโมงค์ย้อนกลับ RevSocks รวมถึงเครื่องมือปิดซอฟต์แวร์ความปลอดภัย Quick Heal/Seqrite ด้วยการใช้ไดรเวอร์ Zemana ที่มีช่องโหว่ (BYOVD) อย่างไรก็ตาม บันทึกของผู้โจมตีเองแสดงผลลัพธ์ที่ไม่แน่นอนเมื่อเจอระบบป้องกันปลายทางระดับองค์กร

ตัวเข้ารหัส Windows หยุดบริการแบ็กอัปและฐานข้อมูล ลบ shadow copy ผ่านการเรียกไดรเวอร์โดยตรง เติมนามสกุล .INC และวางโน้ตเรียกค่าไถ่ INC-README.txt ในขั้นขู่กรรโชก AI ถูกใช้ประเมินยอดเรียกค่าไถ่จากข้อมูลการเงินที่ขโมยมา และหาจุดกดดันด้านกฎระเบียบ ก่อนเพิ่มแรงกดดันผ่านอีเมลถึงผู้บริหาร โทรศัพท์ตามสคริปต์ การติดต่อลูกค้าของเหยื่อ และการขู่เผยแพร่ข้อมูล

อัปเดต 24 ต.ค. 2569: ช่องโหว่ที่เตรียมไว้เพิ่ม ภาพผู้โจมตี และรูปแบบการขู่กรรโชก

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 ตุลาคม 2569 โดยอ้างรายงานฉบับเดียวกันของ SOCRadar พร้อมรายละเอียดที่เพิ่มขึ้น SOCRadar ประเมินว่าผู้โจมตีใช้ภาษารัสเซีย และทำหน้าที่สองบทบาทพร้อมกัน คือเป็นผู้บุกรุกและขู่กรรโชกเอง และเป็นผู้ให้บริการโครงสร้างพื้นฐานแก่พันธมิตรรายอื่นในวงการแรนซัมแวร์ บันทึกของผู้ควบคุมยังแบ่งช่องโหว่ตามระดับความคืบหน้า นอกจาก 3 ตัวที่ใช้โจมตีจริงแล้ว ยังมีอีก 4 ตัวที่อยู่ระหว่างเตรียมการ

นอกจาก FortiClient EMS, SimpleHelp และ cPanel แล้ว รายงานยังระบุการไล่สแกนเกตเวย์ VPN ของ Ivanti, Citrix, SonicWall และ OpenVPN ด้วย SOCRadar ชี้ว่าการใช้รหัสผ่านซ้ำคือตัวขยายผลหลัก ในกรณีหนึ่งรหัสผ่านเดียวที่ใช้ซ้ำเปิดทางเข้า VPN เซิร์ฟเวอร์ ระบบ RMM ระบบแบ็กอัป และแพลตฟอร์มบริหารความปลอดภัยได้พร้อมกัน ส่วน Ghost C2 มี implant แบบ polymorphic 3 รุ่น ที่สื่อสารผ่าน Cloudflare, Telegram หรือ DNS และยังพบ agent ของ Mythic ที่ซ่อนหลัง Cloudflare ชื่อ QuickLine ไดรเวอร์ Zemana ที่ใช้ปิด EDR คือไฟล์ zam64.sys และเครื่องมือขนข้อมูลออกชื่อ rks3 กับ BackupAgent

ในขั้นขู่กรรโชก AI ถูกใช้วิเคราะห์ข้อมูลการเงินที่ขโมยมา เพื่อตั้งยอดที่เหยื่อจ่ายได้โดยไม่ต้องพึ่งธนาคารหรือบริษัทประกัน ก่อนส่งตัวอย่างข้อมูลที่ปิดบางส่วนเป็นหลักฐาน โทรข่มขู่ตามสคริปต์ และขู่แจ้งลูกค้า คู่ค้า และหน่วยงานกำกับ หากไม่จ่ายภายใน 24-72 ชั่วโมง ข้อมูลจะถูกเผยแพร่บนเว็บไซต์รั่วไหล ในจำนวนเป้าหมาย 62 องค์กร มี 4 รายที่ปรากฏบนเว็บไซต์รั่วไหลของ INC และ The Gentlemen แล้ว เป้าหมายกว่าครึ่งอยู่ในสหรัฐฯ และส่วนใหญ่เป็นภาคอุตสาหกรรม การผลิต และพลังงาน รองลงมาคือสาธารณสุขและเวชภัณฑ์ อย่างไรก็ตาม ยังไม่พบกระเป๋าเงินคริปโตหรือหลักฐานการจ่ายเงิน ผลของการเรียกค่าไถ่แต่ละรายจึงยังไม่ทราบ

ผลกระทบ

กรณีนี้เป็นหลักฐานที่ละเอียดที่สุดชิ้นหนึ่งว่ากลุ่มแรนซัมแวร์ใช้ AI เชิงพาณิชย์ตั้งแต่สอดแนมไปจนถึงขู่กรรโชก AI ไม่ได้ทำให้เกิดเทคนิคใหม่ แต่ช่วยให้ผู้โจมตีจำนวนน้อยทำงานกับเป้าหมายจำนวนมากพร้อมกัน ทั้งเขียนคำสั่ง แก้เครื่องมือ และร่างข้อความขู่ที่ปรับตามข้อมูลการเงินของเหยื่อแต่ละราย ส่วนประเด็นที่ใกล้ตัวกว่าคือช่องทางเข้า ทั้ง FortiClient EMS, SimpleHelp และ cPanel เป็นซอฟต์แวร์ที่ให้สิทธิ์บริหารเครื่องจำนวนมาก และการยึดข้อมูลรับรองช่างเทคนิคของ MSP เปิดทางไปยังลูกค้าปลายทางทั้งหมด องค์กรที่ใช้บริการ MSP จึงได้รับผลกระทบแม้ไม่ได้ใช้ซอฟต์แวร์เหล่านี้เอง

คำแนะนำ

• แพตช์ FortiClient EMS (CVE-2026-35616), SimpleHelp (CVE-2024-57727) และ cPanel (CVE-2026-41940) และไม่เปิดคอนโซลบริหารเหล่านี้ออกอินเทอร์เน็ตโดยตรง
• อัปเดต 24 ต.ค. 2569: ตรวจและแพตช์ SonicWall SMA 1000 (CVE-2026-15409), WordPress (CVE-2026-63030), LiteLLM (CVE-2026-42208) และ Drupal (CVE-2026-9082) ซึ่งอยู่ในรายการเตรียมโจมตีของกลุ่มเดียวกัน และยกเลิกการใช้รหัสผ่านซ้ำระหว่าง VPN, RMM, ระบบแบ็กอัป และคอนโซลความปลอดภัย
• ตรวจบัญชีผู้ดูแลใน FortiClient EMS และ SimpleHelp ว่ามีบัญชีที่ไม่รู้จักหรือการล็อกอินผิดปกติหรือไม่ และเปลี่ยนข้อมูลรับรองของช่างเทคนิค
• ผู้ใช้บริการ MSP ควรสอบถามผู้ให้บริการว่าใช้เครื่องมือเหล่านี้หรือไม่และแพตช์แล้วหรือยัง พร้อมจำกัดสิทธิ์และช่วงเวลาที่ MSP เข้าถึงได้
• เปิด blocklist ไดรเวอร์ที่มีช่องโหว่ของ Microsoft และเฝ้าระวังการโหลดไดรเวอร์ Zemana หรือไดรเวอร์ที่ไม่คาดคิด
• เฝ้าระวังการหยุดบริการแบ็กอัป/ฐานข้อมูลจำนวนมากพร้อมกัน การลบ shadow copy และไฟล์นามสกุล .INC
• บล็อก IP และโดเมนในตาราง IoCs และค้นย้อนหลังในล็อก firewall/proxy

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.]) ก่อนใช้ต้องแปลงกลับ

แหล่งอ้างอิง

• INC and The Gentlemen Ransomware AI Infrastructure — SOCRadar
• INC Ransomware Hackers Use Claude AI, Expose 8,257 Messages and 46 Malware Builds — GBHackers
• Exposed Infrastructure Reveals How Ransomware Affiliates Used AI Agents to Execute Intrusions — The Hacker News