สรุปสั้น

บริษัท Solar บริษัทความปลอดภัยไซเบอร์ในเครือ Rostelecom ของรัสเซีย รายงานว่ากลุ่มแฮ็กทิวิสต์ฝ่ายเบลารุสที่ติดตามในชื่อ Partisan Zmiy หรือที่รู้จักกันว่า Cyber Partisans แฝงตัวอยู่ในเครือข่ายขององค์กรด้านสาธารณสุขแห่งหนึ่งในรัสเซียนานเกือบ 2 ปี Solar ตรวจพบการบุกรุกในเดือนธันวาคม 2568 แต่หลักฐานบ่งชี้ว่าร่องรอยแรกย้อนไปถึงต้นปี 2567 Solar ไม่เปิดเผยชื่อองค์กรเหยื่อ และยังไม่ทราบว่าผู้โจมตีเข้าเครือข่ายครั้งแรกด้วยวิธีใด กลุ่มนี้เคลื่อนไหวมาตั้งแต่อย่างน้อยปี 2563 และเป็นที่รู้จักจากการโจมตีภาคอุตสาหกรรมและหน่วยงานรัฐในรัสเซียและเบลารุสด้วยแบ็กดอร์ Vasilek ที่ใช้ Telegram สั่งงานและส่งข้อมูลออก

จุดที่ต่างจากเคสก่อนหน้าคือครั้งนี้ผู้โจมตีอยู่ในเครือข่ายนานโดยไม่ทำลายระบบ ทั้งที่กลุ่มเคยใช้ wiper ชื่อ Pryanik และเครื่องมือล้างล็อก Windows ชื่อ Evlx มาก่อน Solar ตั้งสมมติฐานว่าเป็นเพราะองค์กรเหยื่อมีโครงสร้างพื้นฐานกว้างและมีความสัมพันธ์แบบไว้วางใจสองทางกับสถานพยาบาลในเครือจำนวนมาก สิทธิ์เข้าถึงนี้จึงมีค่าสำหรับจารกรรมและการโจมตีต่อผ่านความสัมพันธ์ที่ไว้ใจ (trusted relationship) มากกว่าการทำลาย เทคนิคหลักคือการซ่อนบริการและ DLL อันตรายไว้ในโฟลเดอร์ของ VMware Tools ซึ่งเป็นตำแหน่งที่ระบบไว้ใจแต่แทบไม่มีใครเฝ้าดู

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 ตุลาคม 2569 ตามรายงานของ Solar ว่าการโจมตีที่ผ่านมาของ Cyber Partisans บางครั้งใช้อีเมลฟิชชิงส่งตัวติดตั้งที่ลงทั้งโปรแกรม FortiClient VPN ของแท้และโปรแกรมโอเพนซอร์ส DNSCat2 ซึ่งให้ผู้โจมตีควบคุมเครื่องผ่านอุโมงค์ DNS ไปพร้อมกัน และกลุ่มมีประวัติโจมตีแบบทำลายด้วย wiper Pryanik ร่วมกับการล้างล็อกเหตุการณ์ Windows อย่างเป็นระบบ

Solar ระบุว่ากลุ่ม “ลงทุนกับการซ่อนตัวและความปลอดภัยในการปฏิบัติการอย่างต่อเนื่อง มากกว่าการเพิ่มความสามารถใหม่” ตัวอย่างคือการผูกมัลแวร์กับชื่อเครื่องในคอมโพเนนต์อิสระ 2 ตัว การรัน payload ตามตารางเวลากลางคืน การใช้พร็อกซีของระบบ การปลอมเป็นซอฟต์แวร์ที่ติดตั้งไว้แต่ไม่ได้ใช้ การหมุนไฟล์ในเส้นทางเดิม การปลอมเวลาไฟล์ (time-stomping) การปิดข้อความขาออก และการส่งข้อความนิรนามในนามกลุ่มในแชตของผู้ควบคุม ฟีเจอร์ของแบ็กดอร์แทบไม่เปลี่ยนตลอด 4 รุ่น และเนื่องจากผู้ให้บริการอินเทอร์เน็ตในรัสเซียบล็อก Telegram การสื่อสารระหว่าง Vasilek กับ C2 จึงไม่เสถียร

ในรายงานชุดเดียวกัน Solar ยังเปิดเผยแคมเปญฟิชชิงที่ใช้ไฟล์แนบ JavaScript ปลอมเป็นเอกสารธุรกิจ เช่น ใบชำระเงินและใบสั่งซื้อ เพื่อส่งโทรจันตระกูลใหม่ชื่อ HypeAgent ที่ควบคุมเครื่องได้เต็มรูปแบบ ขโมยคุกกี้ของ Discord, Steam, GitHub, Telegram, Binance, ChatGPT, Claude และ Cursor และแก้แอปกระเป๋าเงิน Exodus เพื่อ inject JavaScript ขโมยรหัสผ่าน PIN วลีกู้คืน และกุญแจส่วนตัว รวมถึงพบบอตเน็ต proxyware ชื่อ ProxyCB ที่อาจมีโครงสร้างพื้นฐานทับซ้อนกับกลุ่ม TeamSpy ที่เคยใช้ TeamViewer ในทางมิชอบ

วิธีการโจมตี

กลไกคงอยู่คือบริการ Windows ชื่อ vmauad ที่ปลอมเป็นคอมโพเนนต์ของ VMware ทำหน้าที่เป็นตัวโหลดและตั้งเวลา ผู้โจมตีอาศัยโฟลเดอร์ VMware Tools ซึ่งระบบไว้ใจแต่ไม่ค่อยถูกเฝ้าดู วางไฟล์ปฏิบัติการอันตราย หรือแทนที่ DLL ของแท้ด้วย vmtools.dll เวอร์ชันที่ฝังแบ็กดอร์ ซึ่งเป็นเทคนิค DLL hijacking ที่ HijackLibs บันทึกไว้สำหรับไฟล์นี้อยู่แล้ว

หน้าที่หลักของบริการคือรันไบนารีปลอม C:\Program Files\VMware\VMware Tools\authd.exe ซึ่งเปิดอุโมงค์ GOST ทุกวันเสาร์ช่วง 22:00–23:00 น. และรัน Vasilek เวอร์ชัน 1.5.8 หนึ่งครั้ง 8 ชั่วโมงหลังบริการเริ่มทำงาน การหน่วงเวลาและรันตามช่วงสั้น ๆ แบบนี้ทำให้กิจกรรมเครือข่ายเกิดน้อยและคาดเดายากสำหรับทีมเฝ้าระวัง

เมื่อติดตั้งแล้ว Vasilek เก็บข้อมูลเครื่อง รันคำสั่ง Windows เปิดและปิดโพรเซส รับส่งไฟล์ จับภาพหน้าจอ บันทึกการกดแป้นพิมพ์ ยกระดับสิทธิ์ผ่าน runas ป้องกันเครื่องเข้าโหมดสลีป และอัปเดตหรือลบตัวเองได้ คำสั่งใหม่ในรุ่นนี้คือ move_cursor ที่ขยับเคอร์เซอร์และจำลองการป้อนข้อมูลของผู้ใช้บนหน้าจอเหยื่อ

ผลกระทบ

องค์กรเหยื่อเป็นศูนย์กลางที่เชื่อมกับสถานพยาบาลในเครือจำนวนมาก การแฝงตัวเกือบ 2 ปีโดยไม่ทำลายระบบจึงอาจเปิดทางเข้าถึงข้อมูลผู้ป่วยและเครือข่ายของหน่วยงานในเครือ แม้ Solar จะยังไม่ระบุว่ามีข้อมูลรั่วไหลหรือมีการโจมตีต่อเกิดขึ้นจริง ในเชิงเทคนิค กรณีนี้ตอกย้ำว่าโฟลเดอร์ของซอฟต์แวร์ที่ติดตั้งบนเครื่องเสมือนทุกเครื่อง อย่าง VMware Tools มักถูกยกเว้นจากการตรวจสอบเพราะถือว่าเป็นของระบบ ผู้โจมตีจึงใช้เป็นที่ซ่อนได้นาน ขณะที่การเปลี่ยนจากการทำลายเป็นการแฝงตัวระยะยาวทำให้การตรวจจับยากขึ้น เพราะไม่มีเหตุการณ์ใหญ่ให้สังเกต

คำแนะนำ

  • ตรวจบริการ Windows ที่ชื่อคล้ายคอมโพเนนต์ VMware เทียบกับรายการบริการของ VMware Tools เวอร์ชันที่ติดตั้ง โดยเฉพาะบริการชื่อ vmauad
  • ตรวจลายเซ็นดิจิทัลของไฟล์ทุกไฟล์ในโฟลเดอร์ C:\Program Files\VMware\VMware Tools\ เช่น vmtools.dll และไฟล์ที่ไม่ควรมีอย่าง authd.exe
  • เพิ่มโฟลเดอร์ของซอฟต์แวร์ระบบที่ไว้ใจ (VMware Tools, agent ต่าง ๆ) เข้าในขอบเขตการเฝ้าระวังของ EDR และ file integrity monitoring ไม่ยกเว้นจากการสแกน
  • เฝ้าระวังทราฟฟิกไปยัง Telegram API และอุโมงค์ที่เกิดตามช่วงเวลาคงที่ เช่น ทุกสัปดาห์ช่วงกลางคืน
  • องค์กรที่มีความสัมพันธ์แบบไว้วางใจกับหน่วยงานในเครือ ควรจำกัดและเฝ้าดูการเชื่อมต่อข้ามเครือข่าย และไม่ให้ trust สองทางโดยไม่จำเป็น
  • บล็อกไฟล์แนบ JavaScript (.js) ในอีเมล เพื่อลดความเสี่ยงจากแคมเปญแบบ HypeAgent

แหล่งอ้างอิง