สรุปสั้น

Amadey คือ มัลแวร์แบบให้เช่า (malware-as-a-service) ที่ขายให้อาชญากรมาตั้งแต่ปี 2561 ทำหน้าที่เป็นตัวเปิดทางให้มัลแวร์ตัวอื่นเข้าเครื่องเหยื่อ ล่าสุดหน่วยงาน Australian Signals Directorate (ASD) ซึ่งเป็นหน่วยข่าวกรองสัญญาณและความมั่นคงไซเบอร์ของออสเตรเลีย เปิดเผยกับสำนักข่าว ABC News เมื่อวันที่ 27 ตุลาคม 2569 ว่าเจ้าหน้าที่ของ ASD เจาะเข้าระบบหลังบ้าน (backend) ของอาชญากรรายหนึ่งที่ใช้ Amadey ได้สำเร็จ แล้วตัดการเชื่อมต่อระหว่างตัวควบคุมกับคอมพิวเตอร์ที่ติดเชื้อราว 180,000 เครื่องทั่วโลก ซึ่งรวมถึงเครื่องในออสเตรเลียด้วย ผล คือ อาชญากรรายนี้ไม่สามารถสั่งงานหรือขโมยข้อมูลจากเครื่องเหล่านั้นได้อีก

อย่างไรก็ตาม ปฏิบัติการนี้ล้มได้เพียงบอตเน็ตเดียวจากหลายชุด เพราะผู้ซื้อ Amadey แต่ละรายรันแผงควบคุมบนเซิร์ฟเวอร์ของตัวเอง และบริษัท ESET เคยนับได้ถึง 53 บอตเน็ตที่ไม่ใช้โครงสร้างร่วมกัน การตัดการควบคุมยังไม่ได้ย้อนคืนข้อมูลที่ถูกขโมยไปแล้ว รหัสผ่านและคุกกี้เซสชันที่หลุดไปก่อนหน้ายังถูกนำมาใช้ได้อีกหลายเดือน ในข่าวเดียวกัน ASD ยังเผยอีกกรณีว่าเจาะเข้าไปทำลายข้อมูลที่ถูกขโมยจากธุรกิจแห่งหนึ่งขนาด 5 เทราไบต์ก่อนถูกนำออกขาย องค์กรที่เคยพบ Amadey หรือ StealC ในเครือข่ายจึงควรถือว่าข้อมูลรับรองบนเครื่องนั้นรั่วแล้ว และเพิกถอนเซสชันกับเปลี่ยนรหัสผ่านทันที

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 ตุลาคม 2569 ว่า ASD เปิดเผยปฏิบัติการไซเบอร์เชิงรุก (offensive cyber operation) ต่อผู้ใช้มัลแวร์ Amadey ผ่านบทสัมภาษณ์ที่ ABC News เผยแพร่ในวันเดียวกัน Tauri Gregory รักษาการรองอธิบดีฝ่ายข่าวกรองของ ASD ระบุว่าหลังเข้าถึงระบบหลังบ้านได้ ขั้นต่อไปที่ทีมทำ คือ ตัดตัวควบคุม Amadey ออกจากเหยื่อทั้งหมด

ด้าน ASD อธิบายว่าปฏิบัติการไซเบอร์เชิงรุกของหน่วยต้องได้รับอนุมัติจากรัฐบาลออสเตรเลียอย่างชัดแจ้ง และใช้ก่อกวนอาชญากรไซเบอร์ในต่างประเทศได้ด้วยการทำให้โครงสร้างพื้นฐานของอาชญากรใช้งานไม่ได้ ทั้งนี้รายงานภัยไซเบอร์ประจำปีของ ASD ที่ออกในวันที่ 27 ตุลาคม 2569 เช่นกัน ไม่ได้บรรยายถึงปฏิบัติการนี้

ปฏิบัติการของ ASD ไม่ใช่การโจมตี Amadey ครั้งแรกของปี ก่อนหน้านี้ระหว่างวันที่ 15–19 มิถุนายน 2569 ปฏิบัติการ Operation Endgame ซึ่งเป็นความร่วมมือระหว่างหน่วยบังคับใช้กฎหมายหลายประเทศกับภาคเอกชน ได้เล่นงานเซิร์ฟเวอร์ของ Amadey, StealC และ SocGholish ไปแล้ว (2026/06/169 ) และต่อมาผู้ขาย StealC ก็กลับมาพร้อมเครื่องมือตัวใหม่ (2026/10/264 )

ส่วนความเชื่อมโยงกับ Operation Endgame ยังไม่ชัดเจน ออสเตรเลียเป็นหนึ่งในเก้าประเทศที่ร่วมกันดำเนินการ Operation Endgame ตามประกาศของ Europol แต่ไม่อยู่ในรายชื่อประเทศที่ร่วมปฏิบัติการช่วงเดือนมิถุนายน และประกาศนั้นก็ไม่ได้เอ่ยถึง ASD

ในกรณีแยกต่างหาก ASD ระบุว่าได้รับเบาะแสว่ามีข้อมูลขนาด 5 เทราไบต์ที่ถูกขโมยจากธุรกิจแห่งหนึ่งกำลังจะถูกนำออกขาย โดยธุรกิจรายนั้นไม่รู้ตัวด้วยซ้ำว่าถูกแฮ็ก ข้อมูลมีทั้งเอกสารธุรกิจ ข้อมูลส่วนบุคคล และข้อมูลล็อกอินกับรหัสผ่าน ASD จึงเจาะเข้าไปทำลายข้อมูลก่อนถูกขาย ไฟล์ที่ถูกทำลายมีข้อมูลที่ขโมยจากชาวออสเตรเลียราว 4.8 ล้านรายการ และจากเหยื่อในประเทศอื่นอีกหลายแสนรายการ

ข้อจำกัดของหลักฐานในข่าวนี้ คือ ASD ไม่ได้ระบุตัวตนหรือสัญชาติของผู้ใช้ Amadey รายนี้ ไม่ได้บอกช่วงเวลาที่ปฏิบัติการเกิดขึ้น และไม่ได้เปิดเผยว่าเข้าถึงระบบหลังบ้านด้วยวิธีใด ตัวเลข 180,000 เครื่องจึงเป็นข้อมูลจาก ASD เพียงแหล่งเดียว

วิธีการโจมตี

โมเดลธุรกิจของ Amadey — Amadey ถูกขายแบบบริการให้อาชญากรตั้งแต่ปี 2561 ตามการวิเคราะห์ของ ESET ผู้ซื้อแต่ละรายรันแผงควบคุมบนเซิร์ฟเวอร์ของตัวเอง โครงสร้างแบบนี้ทำให้ไม่มีศูนย์กลางเดียวให้ทลาย ESET จึงพบบอตเน็ต Amadey ที่แยกจากกันอย่างน้อย 53 ชุด และการล้มตัวควบคุมหนึ่งตัวกระทบแค่ลูกค้ารายเดียว

การแพร่เข้าเครื่อง — ช่องทางที่พบบ่อยที่สุด คือ อัปเดตซอฟต์แวร์ปลอม ตัวติดตั้งโปรแกรมเถื่อน (crack) และการถูกปล่อยลงมาโดยมัลแวร์ตัวโหลดอื่น ผู้ใช้จึงมักติดเชื้อเองจากการดาวน์โหลดโปรแกรมนอกแหล่งทางการ

การทำงานหลังติดเชื้อ — เครื่องที่ติด Amadey จะติดต่อกลับไปยังเซิร์ฟเวอร์สั่งการ (C2) ของผู้ซื้อแล้วทำตามคำสั่ง หน้าที่หลักของ Amadey คือ ติดตั้งมัลแวร์ตัวอื่นเพิ่ม เช่น StealC ซึ่งเป็นมัลแวร์ขโมยข้อมูล (infostealer) นอกจากนี้ Amadey ยังขโมยข้อมูลรับรองเองได้ และเปิดทางให้ผู้ซื้อควบคุมเครื่องจากระยะไกล

ทำไมการตัดการควบคุมจึงยังไม่พอ — การตัดตัวควบคุมออกจากเหยื่อหยุดการสั่งงานในอนาคตได้ แต่ข้อมูลที่ถูกขโมยไปแล้วยังอยู่ในมือคนร้าย บริษัท Microsoft ระบุว่าข้อมูลรับรองที่ infostealer ขโมยไปอาจถูกเก็บไว้หลายเดือนก่อนถูกใช้ และคุกกี้เซสชันที่ถูกขโมยช่วยให้ผู้โจมตีข้ามการยืนยันตัวตนหลายปัจจัย (MFA) ได้ เพราะระบบมองว่าผู้ใช้ล็อกอินผ่าน MFA ไปแล้ว

ผลกระทบ

ผู้ที่ได้ประโยชน์โดยตรง คือ เจ้าของคอมพิวเตอร์ราว 180,000 เครื่องในหลายประเทศที่หลุดจากการควบคุมของอาชญากรรายนี้ รวมถึงชาวออสเตรเลียราว 4.8 ล้านรายการที่ข้อมูลถูกทำลายก่อนถูกขาย แต่เครื่องเหล่านั้นยังมีมัลแวร์ฝังอยู่ และยังอาจมีมัลแวร์ตัวอื่นที่ Amadey ติดตั้งไว้ก่อนหน้า

ในภาพกว้าง ข่าวนี้แสดงว่าหน่วยงานรัฐเริ่มใช้การเจาะระบบของอาชญากรโดยตรงเป็นเครื่องมือปราบปราม นอกเหนือจากการยึดเซิร์ฟเวอร์ผ่านกระบวนการทางกฎหมาย แต่เมื่อ Amadey มีลูกค้าหลายสิบรายที่แยกโครงสร้างกัน ระบบนิเวศของมัลแวร์ตัวนี้จึงยังทำงานต่อได้ เหตุการณ์ StealC ที่กลับมาหลัง Operation Endgame ก็ชี้ว่าการทลายแต่ละครั้งได้ผลเพียงชั่วคราว ความเสี่ยงที่ค้างอยู่จริงสำหรับองค์กร คือ รหัสผ่านและเซสชันที่หลุดไปแล้วซึ่งอาจถูกนำมาใช้เจาะระบบในอีกหลายเดือนข้างหน้า

คำแนะนำ

  • ล่าหาร่องรอย Amadey และ StealC ทันที — ใช้ EDR ค้นหาโปรเซสหรือไฟล์ที่ตรงกับ signature ของทั้งสองตระกูล โดยเฉพาะบนเครื่องที่เคยติดตั้งโปรแกรมเถื่อนหรือ “อัปเดต” จากหน้าเว็บที่ไม่ใช่ผู้ผลิต
  • เพิกถอนเซสชันและเปลี่ยนรหัสผ่านของผู้ใช้บนเครื่องที่เคยติดเชื้อ — ทั้งบัญชีองค์กร อีเมล และบริการคลาวด์ เพราะคุกกี้เซสชันที่ถูกขโมยใช้ข้าม MFA ได้ การเปลี่ยนรหัสผ่านอย่างเดียวจึงไม่พอ
  • แยกเครื่องที่ติดเชื้อออกมาล้างและติดตั้งใหม่ — Amadey ทำหน้าที่ปล่อยมัลแวร์อื่น แม้ตัวควบคุมถูกตัดแล้ว เครื่องอาจยังมีมัลแวร์ตัวที่สองหรือสามฝังอยู่
  • ตรวจล็อกการล็อกอินย้อนหลังหลายเดือน — มองหาการล็อกอินจากที่อยู่ IP หรืออุปกรณ์ที่ไม่คุ้นเคยของบัญชีที่อยู่บนเครื่องติดเชื้อ เพราะข้อมูลรับรองที่หลุดอาจถูกใช้ช้ากว่าวันที่ติดเชื้อมาก
  • ปิดช่องทางติดเชื้อหลักในระยะยาว — บล็อกการติดตั้งซอฟต์แวร์นอกรายการที่อนุญาต (application allowlisting) และกรองหน้าเว็บอัปเดตเบราว์เซอร์ปลอม ซึ่งเป็นทางเข้าหลักของ Amadey

แหล่งอ้างอิง