สรุปสั้น

FrostyNeighbor หรือที่บางบริษัทติดตามในชื่อ UNC1151 คือ กลุ่มแฮ็กเกอร์ที่สอดคล้องกับรัฐเบลารุส เดิมเป็นที่รู้จักจากการปล่อยข่าวบิดเบือนและการจารกรรมไซเบอร์ผ่านอีเมลฟิชชิงเจาะจงเป้าหมายต่อยูเครนและโปแลนด์ ล่าสุดบริษัท ESET เผยในรายงาน APT Activity Report ไตรมาส 2-3 ปี 2569 ว่ากลุ่มนี้ก่อการโจมตีทำลายล้างเป็นครั้งแรก เป้าหมาย คือ บริษัทผู้ผลิตในยูเครนที่ ESET ระบุว่ามีบทบาทสำคัญในภาคขนส่งของประเทศ ผู้โจมตีใช้เครื่องมือเจาะอย่าง Cobalt Strike, Chisel และ UltraVNC ก่อนกระจาย wiper ที่เขียนด้วย VBScript ไปทั่วเครือข่ายผ่าน Group Policy

ประเด็นที่ทำให้ข่าวนี้สำคัญ คือ ที่ผ่านมาการโจมตีทำลายล้างในสงครามยูเครนมาจากกลุ่มสายรัสเซียโดยตรงเท่านั้น ESET ตีความว่ากลุ่มสายเบลารุสกำลังทำหน้าที่เป็นตัวแทนหรือตัวเสริมกำลังให้รัสเซียมากขึ้น แต่บริษัท Recorded Future เห็นต่างว่ายังไม่มีหลักฐานการบัญชาการร่วม และแนะนำให้ติดตามเบลารุสแยกเป็นอีกฝ่าย ทั้งสองฝ่ายเห็นตรงกันว่าไม่ควรมองกลุ่มนี้เป็นภัยรอง หน่วยงานด้านรัฐ ขนส่ง และกลาโหมที่สนับสนุนยูเครนควรเพิ่มกลุ่มนี้เข้าแบบจำลองภัยคุกคามและเฝ้าระวังการแก้ Group Policy

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 30 ตุลาคม 2569 ว่ารายงานของ ESET ที่เผยแพร่ในสัปดาห์นี้ครอบคลุมกิจกรรมของกลุ่มที่รัฐหนุนในยุโรป เอเชีย และตะวันออกกลาง แต่ข้อค้นพบเรื่องเบลารุสโดดเด่นที่สุด ESET ระบุว่านี่เป็น “การโจมตีทำลายล้างครั้งแรกโดยกลุ่มที่สอดคล้องกับเบลารุสที่เราบันทึกได้ในยุโรป” และพบกิจกรรมที่เพิ่มขึ้นและก้าวร้าวขึ้นจากกลุ่มสายเบลารุส ซึ่งในบางด้านสะท้อนลำดับความสำคัญด้านข่าวกรองของรัสเซียในยูเครน โดยเฉพาะความสนใจในภาคอากาศยานไร้คนขับ (โดรน) ที่ทับซ้อนกัน

นาย Damien Schaeffer นักวิจัยมัลแวร์อาวุโสของ ESET ระบุว่าหลักฐานที่ชี้ว่าเบลารุสใกล้ชิดรัสเซียในระดับปฏิบัติการมี 3 ข้อ ข้อแรก จำนวนการโจมตีที่เพิ่มขึ้น ข้อสอง กลุ่มเหยื่อที่สอดคล้องกับลำดับความสำคัญเชิงยุทธศาสตร์ของรัสเซียมากกว่าของเบลารุสเอง และข้อสาม ความซับซ้อนของการโจมตีที่ดูสูงเกินผลประโยชน์ของเบลารุสลำพัง ESET เริ่มเห็นแนวโน้มนี้ตั้งแต่ต้นปี 2567 และตั้งข้อสังเกตว่าความร่วมมือทางทหารที่เพิ่มขึ้นระหว่างเกาหลีเหนือกับรัสเซียอาจทำให้กิจกรรมไซเบอร์ขยับเข้าหากันด้วย

ด้านนาย Alexander Leslie ผู้เชี่ยวชาญความมั่นคงแห่งชาติของ Recorded Future ระบุว่าหลักฐานของบริษัทแสดงว่า FrostyNeighbor ปฏิบัติการต่อเนื่องและพัฒนาเทคนิคจริง แต่ไม่ได้ชี้ว่าขนาดการปฏิบัติการโดยรวมเพิ่มขึ้น หรือมีการบัญชาการร่วมกับรัสเซีย เขาอ้างว่า CERT Polska ระบุเมื่อมิถุนายน 2569 ว่า UNC1151 เป็นหนึ่งในกลุ่ม APT ที่เคลื่อนไหวมากที่สุด โดยเห็นโดเมนฟิชชิงใหม่แทบทุกวัน ข้อจำกัดของหลักฐาน คือ ESET ไม่ได้เปิดเผยชื่อบริษัทเหยื่อ ช่วงเวลาที่แน่นอน หรือขนาดความเสียหายจาก wiper

วิธีการโจมตี

เข้าถึงและคุมเครื่องจากระยะไกล — ในเหตุที่ยูเครน FrostyNeighbor ใช้ Cobalt Strike เป็นเครื่องมือสั่งการหลังเจาะ ใช้ Chisel ทำอุโมงค์เครือข่ายเพื่อลอดผ่านไฟร์วอลล์เข้าสู่ระบบภายใน และใช้ UltraVNC ควบคุมหน้าจอเครื่องเหยื่อ เครื่องมือเหล่านี้เป็นของที่หาได้ทั่วไป ทำให้ระบุตัวผู้ใช้จากเครื่องมืออย่างเดียวยาก

ทำลายด้วย wiper ผ่าน Group Policy — ขั้นสุดท้าย ผู้โจมตีใช้ Group Policy ของ Active Directory กระจาย wiper ที่เขียนด้วย VBScript ไปยังเครื่องในโดเมน Group Policy เป็นกลไกที่ผู้ดูแลใช้ส่งการตั้งค่าและสคริปต์ไปทุกเครื่องพร้อมกัน ผู้โจมตีที่ยึดสิทธิ์ผู้ดูแลโดเมนได้จึงใช้ช่องทางเดียวกันทำลายทั้งองค์กรในคราวเดียว

ช่องทางที่กลุ่มใช้เป็นประจำ — Recorded Future สรุปเส้นทางเข้าถึงที่พบในแคมเปญของกลุ่ม ได้แก่ หน้าล็อกอินปลอม การเจาะอีเมล การเล็งบัญชีส่วนตัว และการใช้ผู้ติดต่อที่ไว้ใจได้ เมื่อยึดบัญชีหนึ่งได้ก็ใช้บัญชีนั้นเข้าถึงคนอื่นต่อ

ผลกระทบ

กลุ่มที่เสี่ยงโดยตรง คือ หน่วยงานและบริษัทในยูเครน โปแลนด์ และประเทศแนวหน้าด้านตะวันออกของ NATO โดยเฉพาะภาคการขนส่ง กลาโหม และอุตสาหกรรมโดรน ผลของ wiper ในภาคการผลิตที่ป้อนระบบขนส่ง คือ การผลิตหยุดชะงักและการกู้ระบบที่ใช้เวลานาน ซึ่งกระทบต่อเนื่องไปถึงโลจิสติกส์ในภาวะสงคราม

ในภาพใหญ่ รัสเซียโจมตีไซเบอร์ประเทศยุโรปที่สนับสนุนยูเครนหนักขึ้นอยู่แล้ว ทั้งโปแลนด์ เอสโตเนีย ลัตเวีย ลิทัวเนีย สวีเดน เช็ก และเยอรมนี หากพันธมิตรอย่างเบลารุสหันมาโจมตีทำลายล้างแทน ภัยต่อยุโรปจะกว้างขึ้นและระบุผู้รับผิดชอบยากขึ้น

คำแนะนำ

  • เฝ้าระวังการสร้างหรือแก้ไข Group Policy Object (GPO) โดยเฉพาะ GPO ที่ผูกสคริปต์ VBScript หรือ scheduled task ใหม่ และตั้งให้การแก้ GPO ต้องผ่านการอนุมัติ
  • จำกัดจำนวนบัญชีที่มีสิทธิ์ Domain Admin และแก้ GPO ได้ และแยกบัญชีผู้ดูแลออกจากบัญชีใช้งานประจำวัน
  • ตรวจจับเครื่องมือ Chisel, Cobalt Strike และ UltraVNC ที่ไม่ได้รับอนุญาตในเครือข่าย รวมถึงอุโมงค์เครือข่ายขาออกที่ผิดปกติ
  • ใช้ MFA แบบต้านฟิชชิงกับอีเมลและบัญชีสำคัญ เพราะทางเข้าหลักของกลุ่มนี้ คือ หน้าล็อกอินปลอมและการยึดบัญชี
  • เก็บแบ็กอัปแบบออฟไลน์หรือแยกโดเมน และซ้อมกู้ระบบจากเหตุ wiper เป็นระยะ
  • ติดตามกลุ่มสายเบลารุสเป็นกลุ่มแยกในระบบข่าวกรองภัยคุกคาม แต่เชื่อมโยงโครงสร้างพื้นฐานและเครื่องมือกับแคมเปญรัสเซียตามคำแนะนำของ Recorded Future

แหล่งอ้างอิง