สรุปสั้น
ARTEX คือ เฟรมเวิร์กทดสอบเจาะระบบที่ขับเคลื่อนด้วย AI เขียนด้วยภาษา Go โดยนักพัฒนาชาวจีน ซึ่งก่อนหน้านี้ถูกโยงกับการเจาะสถาบันการเงินในเกาหลีใต้และบริษัทในญี่ปุ่น เมื่อวันที่ 29 ตุลาคม 2569 บริษัท CrowdStrike เปิดเผยว่า Vapor Panda กลุ่มจารกรรมที่รัฐจีนหนุน ซึ่งทับซ้อนกับกลุ่มที่ Trend Micro เรียกว่า Earth Estries ใช้ ARTEX ร่วมกับโมเดลภาษา DeepSeek และโมเดลเชิงพาณิชย์แบบสมัครสมาชิกอีกตัวที่ยังระบุไม่ได้ เล็งองค์กรกว่า 200 แห่งทั่วโลกพร้อมกันตั้งแต่ 17 ตุลาคม เป้าหมายครอบคลุมกระทรวงการต่างประเทศในละตินอเมริกา ยุโรป เอเชีย และตะวันออกกลาง องค์กรเซมิคอนดักเตอร์ กลาโหม และคลังสมองในสหรัฐฯ และผู้ให้บริการโทรคมนาคมในสหรัฐฯ เบลเยียม และฟิลิปปินส์
CrowdStrike ยืนยันการเจาะสำเร็จที่ 9 องค์กร ซึ่งผู้โจมตีฝัง BLOODALCHEMY มัลแวร์ที่สืบสายจาก ShadowPad แล้วไล่สเปรย์รหัสผ่าน สแกนเครือข่าย และสำรวจระบบ เอเจนต์ “วางแผน” และ “ลงมือ” หลายตัวทำงานประสานกันโดยมีคนคุมอยู่เบื้องหลัง ทำให้ทีมเล็ก ๆ ไล่หลายเป้าหมายได้พร้อมกันเกินกว่าที่ทำด้วยมือได้ ในรายงานเดียวกัน CrowdStrike ยังเปิดตัวกลุ่มสายจีนใหม่อีก 4 กลุ่ม หน่วยงานรัฐ โทรคมนาคม และอุตสาหกรรมเทคโนโลยีสูงควรเร่งหมุนเวียนกุญแจยืนยันตัวตนที่ค้างนาน และตรวจช่องโหว่ SAML กับการเข้าถึงบริการ metadata ของคลาวด์
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 ตุลาคม 2569 ว่า Vapor Panda (ชื่อเดิม VexatiousTemper) ถูกระบุตัวครั้งแรกเมื่อกุมภาพันธ์ 2564 เป้าหมายที่ CrowdStrike ระบุมีกระทรวงการต่างประเทศของ 2 ประเทศในละตินอเมริกา อเมริกากลาง และเอเชีย กระทรวงมหาดไทยในตะวันออกกลาง ทำเนียบประธานาธิบดี สำนักนายกรัฐมนตรี และหน่วยงานกลาโหม ยุติธรรม การคลัง และข่าวกรองของประเทศยุโรปหนึ่ง และองค์กรสหรัฐฯ 19 แห่งในภาคยา เซมิคอนดักเตอร์ กลาโหม นิวเคลียร์ และการเงิน นอกจากนี้กลุ่มยังสเปรย์รหัสผ่านและสแกน credential อีกอย่างน้อย 12 องค์กร รวมคลังสมองสหรัฐฯ และหน่วยงานรัฐในยุโรป
CrowdStrike ประเมินว่าเครื่องมือแบบเอเจนต์ช่วยให้ขยายขอบเขตได้เร็ว ทีมเล็ก ๆ ไล่เป้าหมายได้มากกว่าที่ปฏิบัติการด้วยมือรองรับ แต่ไม่ใช่การเปลี่ยนภารกิจหลักของกลุ่มที่เน้นสร้างช่องทางเข้าถึงระยะยาว ARTEX ถูกใช้แพร่หลายในหมู่ผู้โจมตีอย่างรวดเร็ว จนนาย Li Puhua (Autumn-27) ผู้พัฒนาปิดซอร์สไป ด้าน Zscaler ThreatLabz ระบุในรายงานต้นเดือนว่า ARTEX ประสานโมเดลภาษาหลายตัวให้สำรวจ หาช่องโหว่ และเจาะได้เอง ซึ่งลดกำแพงทักษะในการทำแคมเปญเจาะที่ซับซ้อนลงมาก (การใช้ ARTEX ก่อนหน้าในเกาหลีใต้อ่านได้ที่ 2026/10/055 และ 2026/10/174 )
ในรายงานเดียวกัน CrowdStrike เปิดตัวกลุ่มสายจีนที่ไม่เคยมีเอกสารมาก่อน 4 กลุ่ม ได้แก่ Hollow Panda, Overcast Panda, Titan Panda และ Veiled Panda ข้อจำกัดของหลักฐาน คือ CrowdStrike ไม่เปิดเผยชื่อประเทศในเอเชียที่ถูกเล็งนอกจากฟิลิปปินส์ ไม่ระบุว่าผู้ให้บริการโทรคมนาคมในฟิลิปปินส์อยู่ในกลุ่มที่ถูกเจาะสำเร็จหรือไม่ และไม่ระบุชื่อโมเดลเชิงพาณิชย์ที่ถูกใช้
วิธีการโจมตี
กองทัพเอเจนต์ที่มีคนคุม — ARTEX ใช้เอเจนต์ “วางแผน” (planner) และ “ลงมือ” (worker) หลายตัวที่ประสานกันเพื่อพาการเจาะจากทางเข้าแรกไปสู่การสำรวจเครื่องและการเคลื่อนที่ข้ามเครือข่าย ผู้ปฏิบัติการที่เป็นคนคอยกำกับ เช่น สั่งให้เขียน web shell ดึงรหัสผ่านผู้ดูแลโดเมน และตรวจว่าเครื่องใดมี EDR CrowdStrike ระบุว่าในการเจาะครั้งเดียว เอเจนต์วางแผนใช้โทเคนขาเข้าราว 1.4 พันล้านโทเคน สะท้อนขนาดงานอัตโนมัติ เอเจนต์ไล่หลายเส้นทางพร้อมกันทั้งเว็บแอป บริการคลาวด์ คอนเทนเนอร์ Active Directory อีเมล และ VPN และเปลี่ยนวิธีทันทีเมื่อทางหนึ่งล้มเหลว
ตัวอย่างที่ 1: SAML + XXE สู่ IMDS — เอเจนต์ร้อย SAML assertion ที่ไม่มีลายเซ็นเข้ากับช่องโหว่ XML external entity (XXE) เพื่อเรียกบริการ Instance Metadata Service (IMDS) ของคลาวด์ ได้ role ที่สั่งงานผู้ดูแลกับเครื่องเสมือนนับพันเครื่อง แล้วไต่สิทธิ์จนได้บัญชีผู้ดูแลระดับองค์กร
ตัวอย่างที่ 2: จาก web shell สู่บัญชีสิทธิ์สูง — ฝัง web shell ใช้บริการ orchestration ที่ไม่ต้องยืนยันตัวตนเพื่อได้ root ในสภาพแวดล้อมคอนเทนเนอร์จริง อ่านรหัสผ่าน LAPS (ระบบสุ่มรหัสผ่านผู้ดูแลเครื่อง) และใช้ resource-based constrained delegation สวมรอยบัญชีสิทธิ์สูง
ตัวอย่างที่ 3: กุญแจเก่าที่ไม่เคยเปลี่ยน — ผู้ปฏิบัติการป้อนกุญแจยืนยันตัวตนชุดหนึ่งที่ไม่ถูกหมุนเวียนตั้งแต่ปี 2565 ให้เอเจนต์ เอเจนต์ใช้ปลอม token ผู้ดูแลและอ่านกล่องจดหมาย จากนั้นใช้คอนฟิก VPN ที่พบในอีเมลขาออกของผู้ใช้ร่วมกับกุญแจ VPN client ที่อ้างว่ามาจากข้อมูลอีเมลรั่วเมื่อพฤษภาคม 2567 เข้าเครือข่ายภายใน
กลุ่มใหม่ที่ CrowdStrike เผย — Overcast Panda เจาะอุปกรณ์ของบุคคลเป้าหมายระหว่างเดินทางในจีนด้วยการเข้าถึงเครื่องทางกายภาพ แล้วฝังแบ็กดอร์ FlowCloud ผ่าน DLL sideloading ซึ่งบันทึกการกดแป้น จับภาพหน้าจอ เก็บไฟล์ และขโมย credential โดยสื่อสารผ่านโครงสร้างคลาวด์ที่ถูกต้อง ส่วน Titan Panda ใช้ machine key ของ IIS ที่ฝังตายตัวใน Intapp Time Server ซอฟต์แวร์คิดค่าบริการของสำนักงานกฎหมาย ทำ ViewState deserialization จนรันโค้ดได้ แล้วฝังเฟรมเวิร์ก IceGiant ในหน่วยความจำ เจาะสำนักงานกฎหมายในอเมริกาเหนือมานานกว่า 2 ปี
ผลกระทบ
กลุ่มที่เสี่ยงโดยตรง คือ กระทรวงการต่างประเทศ หน่วยงานความมั่นคง ผู้ให้บริการโทรคมนาคม และอุตสาหกรรมเทคโนโลยีสูง ซึ่งรวมถึงผู้ให้บริการโทรคมนาคมในฟิลิปปินส์ที่ถูกระบุชื่อประเทศเป็นเป้าหมาย เมื่อเจาะสำเร็จ ผลลัพธ์ คือ ช่องทางลับระยะยาวผ่าน BLOODALCHEMY และการเข้าถึงอีเมลกับเครือข่ายภายในที่ใช้สำหรับงานข่าวกรอง
สิ่งที่เปลี่ยนไป คือ ขนาด กลุ่มรัฐที่เคยต้องเลือกเป้าหมายจำกัดตามกำลังคน ตอนนี้ไล่ได้หลายร้อยเป้าในเวลาเดียวกัน และใช้ทุกจุดอ่อนพื้นฐานที่ค้างอยู่ เช่น กุญแจที่ไม่เคยหมุนเวียนหรือข้อมูลรั่วเก่า องค์กรที่เคยคิดว่า “ไม่ใช่เป้าใหญ่พอ” จึงมีโอกาสถูกเล็งมากขึ้น
คำแนะนำ
- หมุนเวียนกุญแจยืนยันตัวตน signing key และกุญแจ VPN ที่ใช้มานาน โดยเฉพาะชุดที่ไม่เคยเปลี่ยนตั้งแต่ก่อนปี 2567 และกุญแจที่อาจอยู่ในข้อมูลรั่ว
- ตรวจระบบ SAML ว่าบังคับตรวจลายเซ็น assertion ทุกครั้ง และแพตช์ช่องโหว่ XXE ในแอปที่ประมวลผล XML
- บังคับใช้ IMDSv2 และจำกัดสิทธิ์ของ role ที่เครื่องเสมือนได้รับ เพื่อไม่ให้การเรียก metadata ครั้งเดียวได้สิทธิ์ผู้ดูแลกับเครื่องนับพัน
- ปิดบริการ orchestration ที่ไม่ต้องยืนยันตัวตน จำกัดผู้อ่านรหัสผ่าน LAPS และตรวจการตั้ง resource-based constrained delegation ใน Active Directory
- ห้ามส่งคอนฟิก VPN และกุญแจผ่านอีเมล และตรวจกล่องจดหมายหาไฟล์ลักษณะนี้
- เฝ้าระวังพฤติกรรมของเอเจนต์อัตโนมัติ เช่น การลองหลายเส้นทางพร้อมกันในเวลาสั้นจากแหล่งเดียว และการสร้าง web shell ตามด้วยการไล่หา credential ทันที
- สำนักงานกฎหมายที่ใช้ Intapp Time Server ควรเปลี่ยน machine key ของ IIS จากค่าเริ่มต้นทันที