สรุปสั้น

บริษัท Semperis รายงานว่า Prince of Persia หรือที่ติดตามในชื่อ Infy กลุ่ม APT ที่รัฐบาลอิหร่านหนุนหลังและเคลื่อนไหวมาเกือบ 20 ปี ได้ตั้งเซิร์ฟเวอร์สั่งการ (C&C) ในสหรัฐฯ ในปีนี้ ซึ่งเป็นครั้งแรกนับจากปี 2559 เป้าหมายหลักของกลุ่มคือผู้เห็นต่างชาวอิหร่าน รวมถึงหน่วยงานรัฐและเอกชนในสหรัฐฯ ยุโรป และตะวันออกกลาง การค้นพบนี้มาหลังกลุ่มหยุดปฏิบัติการไป 3 เดือน ซึ่งนานที่สุดเท่าที่ยืนยันได้ในประวัติของกลุ่ม และช่วงเวลาตรงกับสงครามระหว่างอิหร่านกับสหรัฐฯ และอิสราเอลที่ปะทุเมื่อ 28 กุมภาพันธ์ 2569

กลุ่มกลับมาเมื่อ 27 พฤษภาคม พร้อมเซิร์ฟเวอร์ C&C ใหม่ และมัลแวร์ Tonnerre ดูดไฟล์จากเหยื่อรายเดียวไปกว่า 1,800 ไฟล์ภายใน 7 วัน ส่วนเซิร์ฟเวอร์ในสหรัฐฯ ที่พบในเดือนสิงหาคมรองรับขั้นที่สองของ Tornado มัลแวร์ตัวล่าสุดของกลุ่มที่ขโมยไฟล์ผ่านบอต Telegram กลุ่มเปลี่ยนผู้ให้บริการและเลิกใช้ VPS หันไปใช้ shared hosting ของ Namecheap ที่มีโดเมนนับพันอยู่ร่วมกัน ก่อนเริ่มตั้งเซิร์ฟเวอร์อีกตัวหลัง Cloudflare เมื่อ 24 สิงหาคม Semperis เผยแพร่ IoC ของโครงสร้างพื้นฐานแล้ว และชี้ว่าจำนวนเหยื่อยังน้อย

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 23 ตุลาคม 2569 ว่านาย Tomer Bar รองประธานฝ่ายวิจัยความปลอดภัยของ Semperis ซึ่งติดตามกลุ่มนี้มาตั้งแต่สมัยทำงานที่บริษัท SafeBreach ระบุว่าภายในหนึ่งสัปดาห์หลัง SafeBreach เผยแพร่รายงานเมื่อเดือนกุมภาพันธ์ 2569 แฮ็กเกอร์ปิดเซิร์ฟเวอร์ C&C ตัวหนึ่ง และต่อมาย้ายเซิร์ฟเวอร์ที่เหลือทั้งหมด จากนั้นกลุ่มหยุดปฏิบัติการ 3 เดือน นานกว่าช่วงเงียบครั้งใดในประวัติเกือบสองทศวรรษ

Semperis บอก SecurityWeek ว่านี่คือช่วงหยุดที่นานที่สุดที่ยืนยันได้ เพราะนักวิจัยเฝ้าดูโครงสร้างพื้นฐานของกลุ่มตลอดเวลา ขณะที่ช่วงเงียบครั้งก่อน ๆ สะท้อนช่องว่างในการมองเห็นของนักวิจัยมากกว่าการยืนยันว่ากลุ่มหยุดจริง ปฏิบัติการกลับมาเมื่อ 27 พฤษภาคม ด้วยเซิร์ฟเวอร์ C&C ใหม่ และการขโมยข้อมูลก็เริ่มอีกครั้ง

นาย Bar ระบุว่าจำนวนเหยื่อยังน้อย ซึ่งอาจเป็นสัญญาณว่ากลุ่มกำลังโจมตีแบบเจาะจงเป้า หรือกำลังลำบากในการเจาะระบบใหม่ ในเดือนสิงหาคม เขาพบเซิร์ฟเวอร์ใหม่ที่น่าจะสร้างเมื่อ 7 กรกฎาคม รองรับขั้นที่สองของ Tornado และตั้งอยู่ในสหรัฐฯ เขาให้ความเห็นว่า “ไม่แปลกที่กลุ่มที่รัฐหนุนจะซ่อนเซิร์ฟเวอร์ C2 ในสหรัฐฯ ผ่านคลาวด์และผู้ให้บริการเว็บโฮสติ้ง แต่เป็นพฤติกรรมที่ผิดปกติสำหรับกลุ่มนี้”

วิธีการโจมตี

Prince of Persia ใช้มัลแวร์หลายตระกูลต่อเนื่องกันมา ตัวที่ Semperis อ้างถึงในรอบนี้คือ Tonnerre ซึ่งใช้ขโมยไฟล์และดูดข้อมูลจากเหยื่อรายเดียวไปกว่า 1,800 ไฟล์ในสัปดาห์แรกหลังกลับมา และ Tornado ตระกูลล่าสุดที่ทำงานเป็นหลายขั้น โดยขั้นที่สองต่อกับเซิร์ฟเวอร์ C&C และมีความสามารถขโมยไฟล์ผ่านบอต Telegram การใช้ Telegram เป็นช่องทางส่งข้อมูลออกทำให้ทราฟฟิกกลมกลืนกับการใช้งานแอปปกติ

จุดที่เปลี่ยนไปชัดคือการเลือกโครงสร้างพื้นฐาน สำหรับเซิร์ฟเวอร์ในสหรัฐฯ ผู้โจมตีเปลี่ยนผู้ให้บริการ และเลิกใช้ VPS ที่เคยใช้ หันไปใช้ shared hosting ของ Namecheap ซึ่งมีโดเมนนับพันอยู่บน IP เดียวกัน ทั้งเว็บไซต์ถูกกฎหมายและเว็บไซต์ของผู้โจมตีกลุ่มอื่น การบล็อกด้วย IP จึงเสี่ยงกระทบเว็บไซต์อื่นจำนวนมาก นาย Bar บอกว่า “นี่คือที่สุดท้ายที่เราคาดว่าจะเจอ Prince of Persia ซ่อนอยู่”

เมื่อวันที่ 24 สิงหาคม กลุ่มเริ่มตั้งเซิร์ฟเวอร์ขั้นที่สองของ Tornado อีกตัวหลัง Cloudflare ซึ่ง Semperis สันนิษฐานว่าแฮ็กเกอร์รู้ตัวแล้วว่าเซิร์ฟเวอร์ในสหรัฐฯ ถูกเปิดโปง รูปแบบนี้สะท้อนว่ากลุ่มตอบสนองต่อการถูกเผยแพร่รายงานได้เร็ว ทั้งการปิดเซิร์ฟเวอร์ภายในสัปดาห์หลังรายงานของ SafeBreach และการย้ายไปหลบหลัง CDN

ผลกระทบ

การย้าย C&C เข้าสหรัฐฯ และใช้ shared hosting กับ CDN ทำให้การป้องกันแบบบล็อกตามประเทศหรือตามชื่อเสียงของ IP ใช้ไม่ได้ผล เพราะทราฟฟิกไปยังผู้ให้บริการโฮสติ้งและ Cloudflare เป็นเรื่องปกติในทุกองค์กร ส่วนการใช้ Telegram ส่งข้อมูลออกก็เลี่ยงการตรวจจับที่ดูเฉพาะปลายทางแปลกหน้าได้

ในภาพใหญ่ ช่วงหยุดที่ตรงกับสงครามและการกลับมาพร้อมเปลี่ยนวิธีซ่อนตัว ชี้ว่ากลุ่มยังมีทรัพยากรและยังได้รับมอบหมายงานต่อ แม้จำนวนเหยื่อจะน้อย เป้าหมายดั้งเดิมอย่างผู้เห็นต่างชาวอิหร่านและหน่วยงานในสหรัฐฯ ยุโรป และตะวันออกกลาง จึงยังต้องระวังต่อเนื่อง

คำแนะนำ

  • นำ IoC ของโครงสร้างพื้นฐาน Prince of Persia ที่ Semperis และ SafeBreach เผยแพร่ ไปใส่ในระบบป้องกันและ SIEM โดยเน้นโดเมนมากกว่า IP เพราะ IP ของ shared hosting และ Cloudflare ใช้ร่วมกับเว็บไซต์ถูกกฎหมาย
  • เฝ้าระวังทราฟฟิกไปยัง Telegram Bot API (api.telegram.org) จากเครื่องที่ไม่มีเหตุผลทางธุรกิจในการใช้ และพิจารณาบล็อกบนเซิร์ฟเวอร์และเครื่องที่เก็บข้อมูลอ่อนไหว
  • ตรวจ endpoint หาพฤติกรรมขโมยไฟล์จำนวนมากในเวลาสั้น เช่น การบีบอัดและส่งไฟล์เอกสารออกทีละมาก
  • องค์กรที่ทำงานกับกลุ่มผู้เห็นต่างหรือประเด็นอิหร่าน ควรอบรมผู้ใช้ให้ระวังไฟล์แนบและลิงก์จากผู้ติดต่อไม่คุ้นเคย และใช้ EDR ที่ตรวจพฤติกรรม ไม่ใช่เพียง signature

แหล่งอ้างอิง