APT29 ยึดสคริปต์วิเคราะห์เว็บของ Plerdy และเว็บที่ถูกเจาะทำเป็นกับดักมือถือ ส่งชุดเจาะ DarkSword ขโมยข้อมูล iPhone และ Android ที่ยังไม่แพตช์ — Sekoia พบเป้าในยูเครน สหรัฐฯ และยุโรป

สรุปสั้น

APT29 หรือ Midnight Blizzard คือ กลุ่มจารกรรมไซเบอร์ที่รัฐบาลสหรัฐฯ โยงกับหน่วยข่าวกรองต่างประเทศของรัสเซีย (SVR) และอยู่เบื้องหลังเหตุใหญ่อย่าง SolarWinds ส่วน DarkSword คือ ชุดเจาะ iOS ที่บริษัทสปายแวร์เชิงพาณิชย์พัฒนาขึ้นและถูกเปิดโปงเมื่อต้นปี 2569 ก่อนจะถูกกลุ่มต่าง ๆ นำไปใช้ต่อ (2026/08/012 , 2026/10/076 ) ล่าสุดบริษัท Sekoia จากฝรั่งเศสเปิดเผยแคมเปญชื่อ Poisoned Source ที่พบตั้งแต่กลางเดือนตุลาคม 2569 และเชื่อว่าเป็นของ APT29 กลุ่มนี้ฝังสคริปต์อันตรายผ่าน 3 ช่องทาง คือ เว็บจริงที่ถูกเจาะ เว็บปลอมที่เลียนแบบเว็บดัง และสคริปต์ติดตามของบริการวิเคราะห์เว็บ Plerdy ในยูเครนที่ถูกแทรกโค้ดนานหนึ่งสัปดาห์ สคริปต์เก็บข้อมูลอุปกรณ์และเบราว์เซอร์ของผู้เข้าชมก่อน แล้วส่งชุดเจาะที่ตรงกับรุ่นของเครื่องนั้น

ชุดเจาะมี 3 แบบ สองแบบเล็ง iOS ที่ยังไม่อัปเดต โดยแบบหนึ่งใช้ DarkSword ดูดข้อมูลทั้งเครื่อง ทั้งข้อความ อีเมล รูป รหัสผ่าน และฐานข้อมูล WhatsApp กับ Telegram อีกแบบเล็ง Chrome บน Android แล้ววางมัลแวร์ AndroSnitch ขโมยคุกกี้และรหัส Wi-Fi ทุกช่องโหว่ที่ใช้มีแพตช์แล้ว เหยื่อส่วนใหญ่อยู่ในยูเครน รองลงมา คือ สหรัฐฯ และยุโรป ข้อสรุปสำคัญ คือ ความสามารถเจาะมือถือที่เคยเป็นของหน่วยงานรัฐไม่กี่แห่ง ตอนนี้กลายเป็นชุดสำเร็จรูปที่กลุ่มรัฐอื่นหยิบมาใช้ได้ ผู้ใช้ควรอัปเดต iOS, Android และ Chrome ให้เป็นเวอร์ชันล่าสุด

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 4 พฤศจิกายน 2569 ว่านาย Amaury-Jacques Garçon และนาย Félix Aime นักวิจัยของ Sekoia ระบุว่าโค้ด JavaScript ที่ถูกฝังจะเก็บคุณสมบัติของเบราว์เซอร์และอุปกรณ์ แล้วโครงสร้างส่งมัลแวร์จะส่งชุดเจาะ N-day (ช่องโหว่ที่เปิดเผยและมีแพตช์แล้ว) ที่ตรงกับแพลตฟอร์มนั้น เว็บที่ถูกเจาะมีทั้งสมาคมการค้าที่เป็นตัวแทนบริษัทเคมีภัณฑ์ในสหรัฐฯ บริษัทผลิตก๊าซในยูเครน พรรคการเมืองขวาจัดในยุโรป และเว็บที่เกี่ยวกับการทหารในบัลแกเรีย ส่วนเว็บปลอมมีทั้งเว็บเลียนแบบงานฉลอง 250 ปีของสหรัฐฯ และเว็บโรงแรม Raffles London at The OWO ซึ่งอยู่ใกล้หน่วยงานรัฐบาลอังกฤษ Sekoia ตั้งข้อสังเกตตามที่ SecurityWeek รายงานว่า ประธานาธิบดี Volodymyr Zelensky เคยพักที่โรงแรมนี้ระหว่างเยือนเมื่อ 14 ตุลาคม จึงอาจเป็นการเล็งคณะทูตและแขกระดับสูง

ช่องทางที่กว้างที่สุด คือ ห่วงโซ่อุปทานของ Plerdy SEO Tracker ระหว่างวันที่ 27 สิงหาคมถึง 3 กันยายน 2569 ผู้โจมตีแทรกโค้ดในไฟล์สคริปต์ติดตามของ Plerdy ซึ่ง Dark Reading รายงานว่ามีเว็บหลายพันแห่งใช้อยู่ ส่วนใหญ่เป็นเว็บยูเครน ในจำนวนนี้มีเว็บของกองทัพ หน่วยรบพิเศษ และผู้ผลิตอาวุธอย่างขีปนาวุธและโดรน ด้าน Dark Reading อ้าง Sekoia ว่าไม่พบรูปแบบการเลือกภาคอุตสาหกรรมที่ชัด และการมีเว็บคลินิกการแพทย์ในออสเตรเลียปนอยู่ทำให้ตีความเชิงยุทธศาสตร์ได้ยาก Sekoia ระบุว่ายังไม่ชัดว่าผู้โจมตีเล็งผู้เข้าชมเว็บเฉพาะกลุ่ม หรือหว่านเจาะมือถือที่ยังไม่แพตช์ให้ได้มากที่สุดแล้วค่อยคัดเลือกข้อมูลที่สนใจทีหลัง

เหตุที่ Sekoia โยงแคมเปญนี้กับ APT29 มี 2 ข้อ ข้อแรก คือ พบร่องรอยที่ตรงกับแคมเปญ watering hole ปี 2568 ที่เคยถูกระบุว่าเป็นของกลุ่มนี้ ข้อสอง คือ มัลแวร์ AndroSnitch คล้ายกับ ANDROSNATCH ที่ Google พบในแคมเปญที่สงสัยว่าเป็นของ APT29 ซึ่งเล็งผู้เข้าเว็บรัฐบาลมองโกเลียเมื่อปี 2567 ข้อจำกัดของหลักฐาน คือ Sekoia ใช้คำว่า “สันนิษฐาน” ว่าเป็น APT29 และยังไม่เปิดเผยจำนวนเครื่องที่ถูกเจาะสำเร็จ

วิธีการโจมตี

วางกับดักบนเว็บที่เป้าหมายเข้าเป็นประจำ — กลุ่มใช้ 3 ช่องทางให้ผู้เข้าชมโหลดสคริปต์ของตัวเอง ช่องทางแรก คือ เจาะเว็บจริงแล้วฝัง JavaScript หรือแก้ไฟล์ของเว็บ ช่องทางที่สอง คือ เมื่อเจาะเว็บจริงไม่ได้ ก็จดโดเมนหน้าตาคล้าย เช่น america250[.]holiday แล้วตั้งเป็น reverse proxy ที่ดึงเนื้อหาเว็บจริงมาแสดงพร้อมแทรกโค้ดแบบเรียลไทม์ ช่องทางที่สาม คือ แทรกโค้ดในสคริปต์ติดตามของ Plerdy ทำให้ทุกเว็บที่ใช้ Plerdy กลายเป็นกับดักโดยเจ้าของเว็บไม่รู้ตัว

คัดกรองเครื่องก่อนยิง — สคริปต์แรกทำหน้าที่เก็บลายนิ้วมือเครื่อง (fingerprint) คือ ข้อมูลระบบปฏิบัติการ เวอร์ชัน และค่าตั้งของเบราว์เซอร์ แล้วส่งเป็น JSON ไปให้เซิร์ฟเวอร์ควบคุม เซิร์ฟเวอร์จึงเลือกส่งชุดเจาะที่ตรงกับเครื่องนั้น วิธีนี้ช่วยไม่ให้ exploit หลุดไปถึงนักวิจัยหรือเครื่องที่แพตช์แล้ว ฝั่ง Android ยังมีการเช็กว่าถ้าเป็น Samsung Galaxy S25 Ultra (รหัสรุ่น SM-S938B) ให้หยุดการโจมตี ซึ่งยังไม่ทราบเหตุผล

ชุดเจาะ 3 แบบตามรุ่นเครื่อง — แบบ A เล็ง iOS 16.7 ใช้ส่วนรันโค้ดของ DarkSword ร่วมกับ CVE-2025-43529 และใช้ CVE-2024-27834 ข้ามกลไก Pointer Authentication Codes (PAC) ของ Apple เพื่อขโมยคุกกี้นอก Safari แบบ B เล็ง iOS 18.5 ใช้ห่วงโซ่ DarkSword เต็มรูปแบบ 5 ช่องโหว่ (CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520) เพื่อดูดข้อมูลทั้งเครื่อง และแบบ C เล็ง Chrome 139 ถึง 145 บน Android โดยยกเว้นเวอร์ชัน 143 ใช้ CVE-2026-3910 ใน Chrome ที่เคยเป็น zero-day เมื่อมีนาคม และ CVE-2025-27038 ของ Qualcomm เพื่อรันโค้ด หลุดจาก sandbox และยกระดับสิทธิ์

ขโมยข้อมูลแล้วไม่ฝังตัว — บน iOS แบบ B มัลแวร์ดึงข้อความ SMS และ iMessage ฐานข้อมูลอีเมล ข้อความเสียง ฐานข้อมูล WhatsApp และ Telegram iCloud Keychain รหัส Wi-Fi รายชื่อ ประวัติการโทร ประวัติและคุกกี้ Safari รูป และข้อมูลจาก Health, Calendar, Notes และ iCloud Drive บน Android มัลแวร์ AndroSnitch ดึงคุกกี้ ข้อมูลบัญชี รหัสผ่าน ประวัติของ Chrome และรหัส Wi-Fi โดยไม่ฝังตัวถาวร ข้อมูลทั้งหมดส่งไปที่ปลายทางเดียวกัน

ชุดเจาะสำเร็จรูปจากตลาดสปายแวร์ — Sekoia พบสัญญาณว่า APT29 น่าจะได้ exploit มาจากบุคคลที่สาม อาจเป็นผู้ขายสปายแวร์เชิงพาณิชย์ (Commercial Surveillance Vendor) และเตือนว่าการใช้ชุด N-day สำเร็จรูปลดต้นทุนและระดับทักษะที่ต้องใช้ในการเจาะมือถือ ในช่วงเดียวกัน iVerify, Report URI และ Zimperium รายงานว่า DarkSword และชุดเจาะ Coruna ที่ซอร์สโค้ดรั่วยังถูกแก๊งอาชญากรแพร่ผ่านโฆษณาและโดเมนแท็กวิเคราะห์ที่หมดอายุกว่า 660 โดเมน ซึ่งเป็นแคมเปญแยกจาก APT29

ผลกระทบ

กลุ่มที่เสี่ยงโดยตรง คือ ผู้ใช้ iPhone ที่ยังค้างอยู่ที่ iOS 16.7 หรือ 18.5 และผู้ใช้ Android ที่ใช้ Chrome 139 ถึง 145 โดยเฉพาะคนที่เข้าเว็บด้านการทหาร พลังงาน การเมือง และเว็บยูเครนที่ใช้ Plerdy ช่วงปลายสิงหาคมถึงต้นกันยายน 2569 ข้อมูลที่ถูกดูดจาก iOS ครอบคลุมเกือบทุกอย่างในเครื่อง ตั้งแต่บทสนทนาไปจนถึงรหัสผ่านใน Keychain ซึ่งให้ข่าวกรองเชิงลึกเกี่ยวกับเหยื่อและผู้ที่เหยื่อติดต่อด้วย

ในภาพกว้าง แคมเปญนี้บอก 2 เรื่อง เรื่องแรก คือ สคริปต์ของบุคคลที่สามบนเว็บ เช่น ตัววิเคราะห์หรือโฆษณา เป็นช่องทางกระจายมัลแวร์ที่เข้าถึงเว็บจำนวนมากได้ในครั้งเดียว เรื่องที่สอง คือ ชุดเจาะมือถือราคาแพงที่เคยใช้กับเป้าหมายจำนวนน้อย กำลังไหลไปสู่การโจมตีวงกว้าง ทั้งโดยกลุ่มรัฐและแก๊งอาชญากร เครื่องที่ช้าแพตช์เพียงไม่กี่สัปดาห์จึงเสี่ยงต่อการถูกดูดข้อมูลทั้งเครื่องแค่จากการเปิดเว็บ

คำแนะนำ

• ผู้ใช้มือถือ — ทำทันที: อัปเดต iOS, Android และ Chrome เป็นเวอร์ชันล่าสุด ช่องโหว่ทุกตัวในแคมเปญนี้มีแพตช์แล้ว และ CISA เพิ่ม CVE-2024-27834 เข้า KEV เมื่อวันที่ 4 พฤศจิกายน
• ผู้ใช้ iPhone ที่เสี่ยงสูง: เปิด Lockdown Mode สำหรับบุคคลที่อาจเป็นเป้าหมาย เช่น เจ้าหน้าที่รัฐ ทหาร นักการทูต และนักข่าว เพราะลดพื้นผิวการโจมตีผ่านเบราว์เซอร์
• องค์กร — ตรวจว่าโดนแล้วหรือยัง: ค้นล็อก DNS และ proxy หาการเชื่อมต่อไปยังโดเมนในตาราง IoC และไล่หาเครื่องมือถือขององค์กรที่ยังรัน iOS 16.7, 18.5 หรือ Chrome 139-145
• องค์กร — ถ้าพบเครื่องที่เชื่อมต่อ: ถือว่าข้อมูลบนเครื่องหลุดทั้งหมด เปลี่ยนรหัสผ่านและเพิกถอน session ของบัญชีที่ใช้บนเครื่องนั้น รวมถึงรหัส Wi-Fi ขององค์กร
• เจ้าของเว็บไซต์: ทำบัญชีสคริปต์ของบุคคลที่สามทุกตัวบนเว็บ ใช้ Subresource Integrity (SRI) หรือโฮสต์สคริปต์เองเมื่อทำได้ และลบแท็กวิเคราะห์หรือโฆษณาที่เลิกใช้แล้ว เพราะโดเมนที่หมดอายุถูกจดใหม่เพื่อส่งมัลแวร์ได้
• ระยะยาว: กำหนดนโยบาย MDM ให้มือถือที่เข้าระบบองค์กรต้องอัปเดตภายในกรอบเวลาที่กำหนด และบล็อกเครื่องที่ค้างเวอร์ชันเก่า

Indicators of Compromise (IoCs)

หมายเหตุ: โดเมนและ URL defang แล้ว (เช่น [.]) รวบรวมจากรายงานของ Sekoia ตามที่สื่อเผยแพร่

แหล่งอ้างอิง

• APT29-Linked Hackers Hijack Web Analytics Script to Deliver iOS and Android Exploits — The Hacker News
• Poisoned Source: APT29 watering holes targets mobile devices with n-day exploits — Sekoia
• APT29’s Watering Holes Target Thousands of Mobile Users — Dark Reading
• Russia-Linked Hackers Hit iOS, Android Devices With Exploit Chains via Watering Holes — SecurityWeek