สรุปสั้น

นักวิจัยของบริษัท ESET เปิดเผยรายละเอียดการโจมตีแบบทำลายข้อมูลที่บริษัทโลจิสติกส์แห่งหนึ่งในยูเครนเมื่อปี 2568 ซึ่งเป็นงานร่วมกันของสองกลุ่มที่โยงกับรัสเซีย กลุ่ม UAC-0099 (หรือ Earth Sirrush) เจาะเข้าระบบเหยื่อเมื่อวันที่ 16 กรกฎาคม 2568 ด้วยอีเมล spear-phishing ที่แนบไฟล์อันตราย นำไปสู่การติดตั้งดาวน์โหลดเดอร์ MATCHBOIL และแบ็กดอร์ MATCHWOK จากนั้นส่งต่อสิทธิ์เข้าถึงให้กลุ่ม Sandworm ที่รัฐรัสเซียหนุน ซึ่งลงมือล้างข้อมูลในระบบเมื่อวันที่ 17 กันยายน 2568 หลังได้ที่มั่นมานานกว่าสองเดือน

จุดเด่นของเหตุการณ์นี้ คือ UAC-0099 ใช้แบ็กดอร์ตัวใหม่ที่ไม่เคยมีการบันทึกมาก่อนชื่อ MythicRatatoskr ซึ่งติดต่อเซิร์ฟเวอร์สั่งการ (C2) ที่ตั้งอยู่ภายในเครือข่ายเมช Yggdrasil เครือข่ายแบบ peer-to-peer ที่เข้ารหัสตลอดเส้นทางและไม่ผูกกับโครงสร้างอินเทอร์เน็ตปกติ ESET ระบุว่าเท่าที่ทราบนี่เป็นกรณีแรกที่กลุ่มที่รัฐหนุนนำ Yggdrasil มาใช้ในลักษณะนี้ และอาจเป็นสัญญาณว่าผู้โจมตีเริ่มหันมาใช้เครือข่าย peer-to-peer เชิงทดลองเพื่อให้โครงสร้างพื้นฐานทนทานและตรวจจับยากขึ้น ส่วนการทำลายข้อมูลในขั้นสุดท้าย Sandworm ใช้เครื่องมือ SDelete ของ Microsoft ที่กระจายผ่าน Group Policy ของ Active Directory

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 ตุลาคม 2569 ตามรายงานของ ESET ว่า MythicRatatoskr ถูกติดตั้งหลังจากรัน MATCHWOK เพียงหนึ่งวัน และมีร่องรอยว่าเริ่มพัฒนาในช่วงเดือนธันวาคม 2567 ถึงกุมภาพันธ์ 2568 นาย Anton Cherepanov และนาย Peter Strýček นักวิจัยของ ESET ระบุว่าการใช้ Yggdrasil ของกลุ่มที่รัฐหนุนในแบบนี้เป็นกรณีแรกที่มีการบันทึก

การประเมินว่า UAC-0099 ทำงานร่วมกับ Sandworm ไม่ใช่เรื่องใหม่ ในรายงาน APT Activity Report ช่วงไตรมาส 2 ถึงไตรมาส 3 ปี 2568 ESET เคยระบุว่าพบ UAC-0099 ทำหน้าที่เจาะเข้าระบบขั้นต้น แล้วส่งต่อ “เป้าหมายที่ผ่านการคัดกรองแล้ว” ให้ Sandworm ทำงานขั้นหลังการเจาะต่อ การโจมตีชุดนั้นเล็งภาคราชการ พลังงาน โลจิสติกส์ และธัญพืชของยูเครน และ ESET ยืนยันกับ The Hacker News ว่ากรณี MythicRatatoskr เป็นหนึ่งในการโจมตีชุดดังกล่าว

ความร่วมมือระหว่างกลุ่มที่เข้าข้างรัสเซียยังมีตัวอย่างอื่น เมื่อปี 2568 ESET พบหลักฐานว่า Gamaredon กับ Turla ร่วมกันเล็งและเจาะหน่วยงานในยูเครน โดยการบุกรุกครั้งหนึ่งใช้ PteroGraphin ของ Gamaredon ติดตั้งแบ็กดอร์ Kazuar ของ Turla และยังมีดาวน์โหลดเดอร์ Pterodo ที่โยงกับ Gamaredon ถูกใช้ดึงสปายแวร์แบบโมดูล InvisiMole มาติดตั้งบนเป้าหมายในยูเครนและรัสเซีย ESET ระบุว่าความร่วมมือแบบนี้แสดงศักยภาพของการประสานแคมเปญจารกรรมไซเบอร์ระหว่างกลุ่มที่เข้าข้างรัสเซีย ซึ่งน่าจะมุ่งขยายผลการปฏิบัติการให้มากขึ้น

MythicRatatoskr backdoor hides C2 in the Yggdrasil mesh network before a Sandworm wiper attack in Ukraine

วิธีการโจมตี

สายการโจมตีแบ่งเป็นสองช่วงตามผู้ลงมือ ช่วงแรกเป็นของ UAC-0099 เริ่มจากอีเมล spear-phishing ที่แนบไฟล์ฝังมัลแวร์ เมื่อเหยื่อเปิดไฟล์ ดาวน์โหลดเดอร์ MATCHBOIL จะดึงแบ็กดอร์ MATCHWOK มาติดตั้ง แล้วอีกหนึ่งวันต่อมาจึงติดตั้ง MythicRatatoskr เป็นช่องทางควบคุมชุดที่สอง

MythicRatatoskr มีความสามารถไม่ซับซ้อน แบ็กดอร์ส่งข้อมูลเมตาของเครื่องเหยื่อไปยัง C2 ถามหาคำสั่งใหม่เป็นระยะ ส่งผลลัพธ์ของคำสั่งกลับ ถ่ายภาพหน้าจอ อัปโหลดและดาวน์โหลดไฟล์ เปลี่ยนไดเรกทอรีทำงาน แสดงรายการไฟล์ เปลี่ยน URL ของ C2 รันคำสั่งเชลล์ผ่าน cmd.exe และเปิดพร็อกซี reverse SOCKS5 ได้ บางตัวอย่างหน่วงเวลาเริ่มทำงาน 10 นาที น่าจะเพื่อเลี่ยงการเชื่อมต่อเครือข่าย Yggdrasil ทันทีหลังติดตั้งและหลบการตรวจจับ ในเหตุการณ์นี้ผู้โจมตีใช้ MythicRatatoskr ติดตั้งเซิร์ฟเวอร์ SOCKS5 เพื่อส่งต่อการเชื่อมต่อผ่านเครือข่ายที่ถูกเจาะ แม้สิ่งที่ ESET สืบสวนเป็นสภาพแวดล้อม Windows แต่ซอร์สโค้ดของ MythicRatatoskr มีการอ้างถึง crond จึงอาจมีเวอร์ชันสำหรับ Linux ด้วย

การวาง C2 ไว้ใน Yggdrasil ทำให้ปลายทางเป็นที่อยู่ IPv6 ภายในเครือข่ายเมชที่เข้ารหัส ซึ่งไม่ได้ผูกกับผู้ให้บริการโฮสติงหรือชื่อโดเมนที่ฝ่ายป้องกันขอให้ปิดหรือยึดได้ตามวิธีปกติ ช่วงที่สองเป็นของ Sandworm ซึ่งรับช่วงสิทธิ์เข้าถึงต่อแล้วกระจายเครื่องมือ SDelete ผ่าน Group Policy ของ Active Directory เพื่อเขียนทับและลบข้อมูลทั่วทั้งโดเมนพร้อมกัน ทั้งนี้มัลแวร์ล้างข้อมูล NikoWiper ที่โยงกับ Sandworm ก็พัฒนาต่อยอดจาก SDelete เช่นกัน

ผลกระทบ

เหตุการณ์นี้ยืนยันรูปแบบการแบ่งงานระหว่างกลุ่มที่เข้าข้างรัสเซีย ที่กลุ่มหนึ่งเจาะและคัดกรองเป้าหมาย แล้วส่งต่อให้อีกกลุ่มที่เชี่ยวชาญการทำลาย ช่วงเวลากว่าสองเดือนระหว่างการเจาะกับการล้างข้อมูลแสดงว่าการตรวจพบมัลแวร์จารกรรมขั้นต้น คือ โอกาสสุดท้ายที่จะหยุดการโจมตีแบบทำลายก่อนเกิดความเสียหาย และการเจอ UAC-0099 ในเครือข่ายควรถือว่าเสี่ยงต่อการถูก Sandworm โจมตีตามมา

การใช้ Yggdrasil เป็น C2 ทำให้การบล็อกด้วยรายชื่อโดเมนหรือ IP แบบเดิมได้ผลน้อยลง และถ้ากลุ่มอื่นนำไปใช้ตาม ฝ่ายป้องกันจะต้องเปลี่ยนไปเฝ้าระวังที่พฤติกรรมของทราฟฟิก peer-to-peer แทน ส่วนการกระจาย SDelete ผ่าน Group Policy แสดงว่าเมื่อผู้โจมตีคุม Active Directory ได้ เครื่องมือที่ถูกกฎหมายตัวเดียวก็ทำลายข้อมูลได้ทั้งองค์กรโดยไม่ต้องใช้มัลแวร์ล้างข้อมูลเฉพาะทาง ภาคโลจิสติกส์และธัญพืชที่ถูกเล็งยังสะท้อนความตั้งใจกระทบห่วงโซ่อุปทานของยูเครน

คำแนะนำ

  • ตรวจหาการติดตั้งหรือทราฟฟิกของ Yggdrasil ในเครือข่าย (โปรเซส ไดรเวอร์ TUN/TAP และอินเทอร์เฟซ IPv6 ในช่วง 200::/7 ซึ่งเครือข่ายนี้ใช้) และบล็อกถ้าไม่มีเหตุผลทางธุรกิจ
  • เฝ้าระวังการเปลี่ยนแปลง Group Policy Object โดยเฉพาะการเพิ่ม startup script, scheduled task หรือการคัดลอกไฟล์ปฏิบัติการอย่าง sdelete.exe ไปยังเครื่องจำนวนมาก
  • จำกัดสิทธิ์แก้ไข GPO ให้เฉพาะบัญชีผู้ดูแลระดับสูงที่จำเป็น บังคับ MFA และแยกเครื่องที่ใช้ดูแลโดเมนออกจากการใช้งานทั่วไป
  • เข้มงวดการกรองไฟล์แนบในอีเมล และเฝ้าระวังโปรเซสลูกที่ผิดปกติจากโปรแกรมเปิดเอกสาร ซึ่งเป็นช่องทางเข้าประจำของ UAC-0099
  • ตรวจจับการเปิดพร็อกซี SOCKS5 และการเชื่อมต่อขาออกที่ผิดปกติจากเครื่องผู้ใช้
  • ทำแบ็กอัปแบบออฟไลน์หรือแบบเปลี่ยนแปลงไม่ได้ (immutable) ที่ไม่ผูกกับ Active Directory ของโดเมนหลัก และซ้อมกู้คืนจากสถานการณ์ที่ข้อมูลถูกล้างทั้งโดเมน

แหล่งอ้างอิง