สรุปสั้น

VasyGrek หรือที่รู้จักในชื่อ Fluffy Wolf คือ กลุ่มอาชญากรไซเบอร์ที่หวังเงิน ซึ่งเล็งบริษัทในรัสเซียและต่างประเทศมาตั้งแต่ปี 2559 ด้วยอีเมลฟิชชิงที่แนบไฟล์ปลอมเป็นเอกสารการเงิน เมื่อต้นเดือนพฤศจิกายน 2569 กระทรวงมหาดไทยรัสเซีย (MVD) ประกาศจับผู้ต้องสงสัย 3 คนที่เชื่อว่าเป็นสมาชิกกลุ่ม และรื้อโครงสร้างพื้นฐานของกลุ่มลงแล้ว ผู้ต้องสงสัยถูกกล่าวหาว่ายักยอกเงินจากบัญชีขององค์กร และสร้าง แพร่ และใช้มัลแวร์ เจ้าหน้าที่ตรวจค้นบ้านพักและสำนักงานที่ใช้ปฏิบัติการ แล้วยึดคอมพิวเตอร์ อุปกรณ์สื่อสาร และของกลางอื่น

การจับกุมกลุ่มที่โจมตีบริษัทในรัสเซียเองเป็นเรื่องที่พบไม่บ่อย ในช่วงเดียวกัน บริษัท Kaspersky รายงานว่าบันทึกความพยายามโจมตีของ VasyGrek ได้กว่า 100 ครั้งช่วงมกราคมถึงกันยายน 2569 และปีนี้กลุ่มขยายเป้าจากรัสเซียไปเบลารุสและคาซัคสถาน แม้แกนนำ 3 คนถูกจับ เครื่องมือที่กลุ่มใช้ส่วนใหญ่เป็นมัลแวร์สำเร็จรูปที่ซื้อขายกันในตลาดมืด กลุ่มอื่นจึงใช้กลวิธีเดิมต่อได้ องค์กรควรเข้มงวดกับไฟล์แนบที่อ้างเป็นเอกสารบัญชี และตรวจหาเครื่องมือรีโมตที่ไม่ได้อนุญาต

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 4 พฤศจิกายน 2569 ว่า MVD ยกตัวอย่างเหตุเมื่อกันยายน 2568 ที่ผู้โจมตีส่งอีเมลฟิชชิงถึงองค์กรแห่งหนึ่ง ปลอมเป็นจดหมายธุรกิจและขอให้ผู้รับเปิด “รายงานกระทบยอดบัญชี” ซึ่งเมื่อเปิดจะรันมัลแวร์ ผล คือ องค์กรนั้นเสียเงิน 660,000 รูเบิล หรือราว 8,000 ดอลลาร์สหรัฐ ที่ถูกโอนออกจากบัญชีธนาคารไปยังบัญชีที่ผู้โจมตีควบคุม MVD ระบุว่ากลุ่มใช้เครือข่ายโดเมนฟิชชิงขนาดใหญ่ที่เลียนแบบเว็บบริการการเงินและบัญชี ใช้เซิร์ฟเวอร์เสมือนในต่างประเทศ และซื้อเครื่องมือควบคุมเครื่องจากระยะไกลแบบลับจาก dark web

ด้านบริษัทความปลอดภัยรัสเซีย BI.ZONE และ F6 ประเมินว่า VasyGrek เป็นกลุ่มที่หวังผลทางการเงิน และเข้าสู่ระบบด้วยอีเมลแนบไฟล์ปลอมเป็นเอกสารการเงิน ส่วน Kaspersky ระบุว่าการโจมตีปี 2569 เล็งภาคโลหะเป็นหลัก ตามด้วยผู้ค้าส่งวัตถุดิบและอุปกรณ์อุตสาหกรรม หน่วยงานรัฐ และยังมีสาธารณสุข น้ำมันและก๊าซ พลังงาน การเงิน และเกษตร นาย Nikita Nazarov หัวหน้างานวิจัยภัยคุกคามขั้นสูงของ Kaspersky ระบุว่ากลุ่มใช้การติดเชื้อหลายขั้นและวางส่วนประกอบมัลแวร์บนบริการออนไลน์ที่ถูกกฎหมายเพื่อปกปิดกิจกรรม

ในช่วงเดียวกัน BI.ZONE รายงานการโจมตีองค์กรรัสเซียอีกหลายสาย ได้แก่ LxBase RAT โทรจันเชิงพาณิชย์ราคา 119 ดอลลาร์ต่อเดือนที่แพร่ผ่านฟิชชิงแบบหว่าน, CoreRAT ของกลุ่ม Core Werewolf ที่ส่งผ่าน dropper แบบ 7zSFX และ Rust และ NightStrike RAT ของกลุ่ม Insolent Werewolf ที่เปลี่ยนจากแฮ็กทิวิสต์มาเป็นกลุ่มจารกรรม ข้อจำกัดของข้อมูล คือ MVD ไม่ได้เปิดเผยชื่อผู้ต้องสงสัย ข้อหาที่ตั้งจริง หรือความเสียหายรวมของกลุ่ม และกลุ่มอื่นในย่อหน้านี้ไม่เกี่ยวกับการจับกุม

วิธีการโจมตี

ส่งอีเมลปลอมเป็นเอกสารบัญชี — กลุ่มเริ่มจากอีเมลที่ดูเหมือนจดหมายธุรกิจปกติ แนบไฟล์ที่อ้างเป็นเอกสารการเงิน เช่น รายงานกระทบยอด วิธีนี้ได้ผลเพราะฝ่ายบัญชีต้องเปิดเอกสารแบบนี้เป็นงานประจำ Kaspersky ระบุว่าปีนี้กลุ่มใช้เอกสารล่อเพื่อวาง backdoor ที่เขียนด้วยภาษา Go ซึ่งรันคำสั่งใดก็ได้บนเครื่องที่ติดเชื้อ

ใช้มัลแวร์สำเร็จรูปและเครื่องมือรีโมตที่ถูกกฎหมาย — กลุ่มไม่พัฒนาเครื่องมือเองเป็นหลัก แต่ใช้มัลแวร์ขโมยข้อมูลและโทรจันที่ซื้อได้ เช่น MetaStealer, PureCrypter, PureLogs Stealer, WarZone RAT, BurnsRAT, PureHVNC, PureRAT, Pay2Key และ PowerLoader รวมถึงโปรแกรมขุดคริปโต XMRig นอกจากนี้ยังใช้ซอฟต์แวร์ควบคุมระยะไกลที่ถูกกฎหมายอย่าง Remote Utilities ซึ่งช่วยให้กลมกลืนกับงานไอทีปกติ

ซ่อนส่วนประกอบไว้บนบริการที่ถูกกฎหมาย — การวางไฟล์มัลแวร์ไว้บนบริการออนไลน์ที่เชื่อถือได้ทำให้ทราฟฟิกดาวน์โหลดดูไม่ผิดปกติ และทำให้การวิเคราะห์ย้อนหลังยากขึ้น

โอนเงินออกจากบัญชีบริษัท — เมื่อควบคุมเครื่องของฝ่ายบัญชีได้ กลุ่มใช้สิทธิ์นั้นสั่งโอนเงินออกจากบัญชีธนาคารขององค์กรไปยังบัญชีที่ควบคุมเอง ตามกรณีที่ MVD ยกตัวอย่าง

ผลกระทบ

เหยื่อหลักของ VasyGrek คือ องค์กรในรัสเซีย เบลารุส และคาซัคสถาน โดยเฉพาะภาคโลหะ ผู้ค้าวัตถุดิบ และหน่วยงานรัฐ การจับกุมครั้งนี้น่าจะลดการโจมตีจากกลุ่มนี้ลงในระยะสั้น แต่ตัวเลขความพยายามโจมตีกว่า 100 ครั้งในเก้าเดือนบอกว่ากลุ่มยังทำงานหนักจนถึงก่อนถูกจับ

ในภาพกว้าง กลวิธีของกลุ่มเรียบง่ายและพึ่งมัลแวร์สำเร็จรูป ซึ่งใครก็ซื้อมาใช้ต่อได้ ภัยแบบอีเมลแนบเอกสารบัญชีปลอมจึงไม่หายไปพร้อมการจับกุม องค์กรทุกภูมิภาคที่ฝ่ายบัญชีสั่งโอนเงินจากเครื่องที่ใช้อ่านอีเมลได้ยังเสี่ยงต่อการถูกโอนเงินออกแบบเดียวกัน

คำแนะนำ

  • ทำทันที: ตั้งกฎกรองอีเมลให้กักไฟล์แนบที่เป็นสคริปต์ ไฟล์ปฏิบัติการ หรือไฟล์บีบอัดที่ซ่อนไฟล์ปฏิบัติการ โดยเฉพาะอีเมลที่อ้างเป็นเอกสารกระทบยอดหรือใบแจ้งหนี้
  • ตรวจว่าโดนแล้วหรือยัง: ไล่หาซอฟต์แวร์รีโมตที่ไม่ได้อนุญาต เช่น Remote Utilities และ PureHVNC บนเครื่องฝ่ายการเงิน และตรวจการเชื่อมต่อออกไปยังเซิร์ฟเวอร์เสมือนในต่างประเทศที่ไม่รู้จัก
  • ตรวจว่าโดนแล้วหรือยัง: ใช้ EDR ล่ามัลแวร์ตระกูล PureRAT, PureLogs Stealer, MetaStealer และ WarZone RAT ซึ่งเป็นเครื่องมือหลักของกลุ่ม
  • ป้องกันการโอนเงิน: แยกเครื่องที่ใช้ระบบธนาคารออนไลน์ของบริษัทออกจากเครื่องที่ใช้อ่านอีเมล และกำหนดให้การโอนเงินต้องอนุมัติสองชั้นจากคนละคน
  • ระยะยาว: อบรมฝ่ายบัญชีเรื่องเอกสารการเงินที่ส่งมาทางอีเมลโดยไม่คาดหมาย เพราะกลุ่มนี้เล็งฝ่ายบัญชีโดยตรง

แหล่งอ้างอิง