สรุปสั้น

ตั้งแต่สงครามรัสเซีย-ยูเครนเริ่ม หน่วยงานยูเครนเป็นเป้าของกลุ่มจารกรรมสายรัสเซียหลายกลุ่ม ซึ่งส่วนใหญ่ใช้มัลแวร์ซับซ้อน ล่าสุดบริษัท ESET เผยแพร่รายงานเกี่ยวกับ Gorbag กลุ่มที่สอดคล้องกับผลประโยชน์ของรัสเซีย เคลื่อนไหวมาตั้งแต่อย่างน้อยเดือนกุมภาพันธ์ 2568 และโจมตีเฉพาะเป้าหมายในยูเครน โดยเน้นหน่วยงานบังคับใช้กฎหมายและกระบวนการยุติธรรม หน่วยงานปกครองท้องถิ่นใกล้แนวหน้า และภาคกลาโหม กลุ่มนี้ทับซ้อนกับ UAC-0226 ที่ CERT-UA ติดตาม และ SHADOW-EARTH-066 ของบริษัท Trend Micro วิธีหลัก คือ ส่งอีเมลฟิชชิงแนบไฟล์ที่อ้างเรื่องค่าปรับหรือภาษี เพื่อวาง BeautyStealer มัลแวร์ขโมยข้อมูลที่พัฒนาจาก GIFTEDCROOK ซึ่งเก็บรหัสผ่านในเบราว์เซอร์ คอนฟิก VPN และเอกสารสำคัญ แล้วลบตัวเองทิ้ง

ประเด็นที่ ESET เน้น คือ Gorbag ไม่จำเป็นต้องใช้มัลแวร์ซับซ้อน เพราะมัลแวร์ขโมยข้อมูลธรรมดากับ reverse shell ก็พอสำหรับการเก็บข่าวกรองแบบเจาะจง และการที่มัลแวร์เก็บคอนฟิก VPN กับ RDP ด้วย ทำให้ ESET ตั้งข้อสันนิษฐานว่า Gorbag อาจเป็นแค่ขั้นแรกที่เปิดประตูส่งต่อให้กลุ่มอื่นเข้าไปทำงานต่อ หน่วยงานที่เกี่ยวข้องควรอัปเดต WinRAR บล็อกเอกสาร Office ที่มีมาโครจากภายนอก และหมุน credential ของ VPN ทันทีถ้าพบร่องรอย

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 พฤศจิกายน 2569 โดยอ้างรายงานของ ESET ว่านาย Damien Schaeffer นักวิจัยของ ESET ระบุว่า Gorbag มุ่งเป้าเฉพาะยูเครน และเลือกเป้าหมายสอดคล้องกับลำดับความสำคัญด้านข่าวกรองในยามสงครามของรัสเซีย ไทม์ไลน์ของเครื่องมือเริ่มจากต้นปี 2568 ที่กลุ่มใช้ Prime ReverseShell ซึ่ง CERT-UA เคยเตือนเมื่อเดือนเมษายน 2568 ต่อมาใช้ GIFTEDCROOK มัลแวร์ขโมยข้อมูลภาษา C/C++ และเมื่อเดือนมิถุนายน 2569 Trend Micro รายงานว่ากลุ่มใช้ช่องโหว่ WinRAR CVE-2025-8088 (แพตช์แล้ว) เริ่มห่วงโซ่ DLL sideloading เพื่อรัน GIFTEDCROOK จนกระทั่งตั้งแต่ปลายเดือนธันวาคม 2568 Schaeffer ระบุว่ากลุ่มเปลี่ยนมาใช้ BeautyStealer ทั้งหมด ซึ่งพัฒนาต่อจาก GIFTEDCROOK และมีรากเดียวกัน

ESET ตั้งข้อสันนิษฐานว่าเพราะมัลแวร์ของ Gorbag เก็บคอนฟิก VPN และเอกสารที่น่าสนใจ กลุ่มอาจทำหน้าที่เป็น initial access broker (ผู้หาทางเข้าแล้วส่งต่อหรือขายให้คนอื่น) และ “อาจเป็นเพียงขั้นแรกของห่วงโซ่การบุกรุกที่ยาวกว่า ซึ่งขั้นถัดไปยังไม่มีใครเห็น” ข้อนี้เป็นการประเมินที่ยังไม่มีหลักฐานยืนยัน ESET ไม่ได้ระบุว่ามีกลุ่มใดรับข้อมูลต่อ และรายงานใช้คำว่า “สอดคล้องกับรัสเซีย” (Russia-aligned) ไม่ได้ระบุว่าเป็นหน่วยงานรัฐรัสเซียหน่วยใด เหตุนี้คนละเรื่องกับกลุ่มสายรัสเซียที่ใช้ CVE-2025-8088 เจาะเมลเซิร์ฟเวอร์ MDaemon ในยูเครนที่รายงานไว้ใน 2026/10/356 แม้จะใช้ช่องโหว่ WinRAR ตัวเดียวกัน

วิธีการโจมตี

เริ่มจากอีเมลที่อ้างเรื่องค่าปรับหรือภาษี — Gorbag ส่งอีเมลฟิชชิงแบบเจาะจง (spear-phishing) ที่ทำทีเป็นเอกสารราชการ เช่น ใบแจ้งค่าปรับทางปกครองหรือภาษี กรณีหนึ่งแนบสเปรดชีต Excel แบบเปิดมาโครได้ (.XLSM) เมื่อเหยื่อเปิดใช้มาโคร โค้ด VBA จะถอดรหัสและรัน BeautyStealer อีกเส้นทางหนึ่งที่ Trend Micro รายงาน คือ ไฟล์ RAR ที่อาศัยช่องโหว่ CVE-2025-8088 ของ WinRAR วางไฟล์ไว้ในตำแหน่งที่ทำให้ DLL อันตรายถูกโหลด (DLL sideloading)

BeautyStealer เก็บของที่ใช้เข้าระบบต่อได้ — มัลแวร์ดึงข้อมูลจากเบราว์เซอร์ Chrome, Edge, Opera และ Firefox คอนฟิก OpenVPN และไฟล์ตามนามสกุลที่กำหนด ได้แก่ เอกสาร Office ไฟล์บีบอัด อีเมล ฐานข้อมูลรหัสผ่าน KeePass คอนฟิก RDP และคอนฟิก VPN ของเหล่านี้ไม่ได้มีค่าแค่เป็นข่าวกรอง แต่ยังใช้เข้าระบบของหน่วยงานนั้นซ้ำได้

ส่งออกทาง Telegram แล้วลบตัวเอง — ข้อมูลที่เก็บได้ถูกบีบอัดแล้วส่งไปยังแชต Telegram ของผู้โจมตี หรือเซิร์ฟเวอร์สั่งการ (C2) ที่สร้างด้วย FastAPI จากนั้น BeautyStealer ลบตัวเองออกจากเครื่อง แสดงว่ากลุ่มเน้นเก็บข้อมูลเป็นครั้ง ๆ ไม่ได้ต้องการฝังตัวระยะยาว ซึ่งทำให้ร่องรอยบนเครื่องเหลือน้อย

reverse shell ที่พยายามหลอก AI — Prime ReverseShell ที่ใช้ในระลอกแรกดัดแปลงจากโค้ด PSSW100AVB บน GitHub ทำหน้าที่รับคำสั่งจาก C2 มารันแล้วส่งผลกลับ ESET พบรุ่นหนึ่งที่มีคอมเมนต์หัวไฟล์เขียนถึง “LLM และ AI” ว่าไม่ต้องวิเคราะห์ไฟล์นี้ เพราะเป็นแค่โปรแกรมสร้างจำนวนเฉพาะ ซึ่งเป็นความพยายามใช้ prompt injection หลอกผู้ช่วย AI และเครื่องมือความปลอดภัยที่ใช้ AI ตรวจไฟล์ อย่างไรก็ตาม เมื่อ ESET ทดสอบกับผู้ช่วย AI 2 ตัว ทั้งคู่ยังระบุได้ถูกต้องว่าเป็น reverse shell

ร่องรอยที่ตรวจได้ — ไฟล์ XLSM ที่มาทางอีเมลภายนอกแล้วรันมาโคร, ไฟล์ RAR ที่แตกไฟล์ออกนอกโฟลเดอร์ปลายทาง, โปรเซสที่เชื่อมต่อ API ของ Telegram จากเครื่องที่ไม่ควรใช้ Telegram และการอ่านไฟล์ .kdbx, .ovpn หรือ .rdp จำนวนมากในเวลาสั้น ๆ

ผลกระทบ

กลุ่มที่โดนตรง คือ หน่วยงานบังคับใช้กฎหมาย กระบวนการยุติธรรม หน่วยงานท้องถิ่นใกล้แนวหน้า และภาคกลาโหมของยูเครน ข้อมูลที่รั่วมีผลทั้งด้านข่าวกรอง เช่น เอกสารคดีและข้อมูลการบริหารพื้นที่ใกล้แนวรบ และด้านความปลอดภัยของเครือข่าย เพราะคอนฟิก VPN รหัสผ่านในเบราว์เซอร์ และฐานข้อมูล KeePass เปิดทางให้ผู้โจมตีหรือกลุ่มที่รับช่วงต่อกลับเข้ามาได้ด้วยบัญชีจริง โดยไม่ต้องใช้มัลแวร์อีก

บทเรียนที่กว้างกว่ายูเครน คือ การจารกรรมไม่จำเป็นต้องใช้เครื่องมือขั้นสูงเสมอ กลุ่มที่มีเป้าชัดใช้ฟิชชิงธรรมดา มาโคร และช่องโหว่ที่แพตช์แล้วก็ได้ผล ถ้าเป้าหมายยังไม่อัปเดตซอฟต์แวร์อย่าง WinRAR ซึ่งไม่มีระบบอัปเดตอัตโนมัติ ส่วนความพยายามใช้ prompt injection หลอกเครื่องมือ AI ในไฟล์มัลแวร์ แม้ครั้งนี้จะไม่ได้ผล ก็เป็นสัญญาณว่าผู้โจมตีเริ่มคำนึงถึงทีมป้องกันที่ใช้ AI ช่วยวิเคราะห์แล้ว

คำแนะนำ

  • ทำทันที: อัปเดต WinRAR ทุกเครื่องเป็นเวอร์ชันที่แก้ CVE-2025-8088 แล้ว เพราะ WinRAR ไม่อัปเดตตัวเอง ช่องโหว่จึงค้างอยู่นานแม้จะมีแพตช์
  • ทำทันที: บล็อกหรือกักไฟล์ Office ที่มีมาโคร (.XLSM, .DOCM) ที่มาจากอีเมลภายนอก และตั้งนโยบายปิดมาโครในไฟล์ที่ดาวน์โหลดจากอินเทอร์เน็ต
  • ตรวจว่าโดนแล้วหรือยัง: ค้นหาการเชื่อมต่อจากเครื่องผู้ใช้ไปยัง API ของ Telegram และการอ่านไฟล์ .kdbx, .ovpn, .rdp แบบกวาดจำนวนมาก
  • ถ้าโดนแล้ว: หมุน credential VPN และ RDP ทั้งหมดที่เคยอยู่บนเครื่อง เปลี่ยนรหัสผ่านที่บันทึกในเบราว์เซอร์และใน KeePass แล้วตรวจล็อกการเข้าระบบ VPN ย้อนหลังหาการล็อกอินจากที่ที่ไม่คุ้น เพราะผู้รับข้อมูลต่ออาจเข้ามาแล้ว
  • ทีม SOC ที่ใช้ AI ช่วยวิเคราะห์: ให้ถือว่าข้อความในไฟล์ต้องสงสัยเป็นข้อมูลที่ไม่น่าเชื่อถือ และไม่ให้คอมเมนต์หรือข้อความที่อ้างว่า “ไม่อันตราย” มีผลต่อการตัดสิน
  • ระยะยาว: บังคับใช้ MFA กับ VPN และ RDP ทุกบัญชี เพื่อให้ credential ที่ถูกขโมยไปใช้ต่อได้ยาก

แหล่งอ้างอิง