AGEWHEEZE RAT
นักวิเคราะห์ด้านความปลอดภัยทางไซเบอร์ได้ค้นพบปฏิบัติการโจมตีแบบฟิชชิงที่มุ่งเป้าหมาย โดยผู้ก่อภัยคุกคามได้แอบอ้างเป็นทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของยูเครน เพื่อแจกจ่ายเครื่องมือบริหารจัดการระยะไกลที่รู้จักกันในชื่อ AGEWHEEZE แคมเปญนี้ซึ่งระบุว่าเป็นฝีมือของกลุ่ม UAC-0255 อาศัยอีเมลหลอกลวงที่ส่งในวันที่ 26 และ 27 มีนาคม 2569 โดยกระตุ้นให้ผู้รับติดตั้งสิ่งที่อธิบายว่าเป็น 'ซอฟต์แวร์เฉพาะทาง'
อีเมลเหล่านี้มีลิงก์ไปยังไฟล์ ZIP ที่ป้องกันด้วยรหัสผ่าน ซึ่งจัดเก็บไว้บน Files.fm ไฟล์ดังกล่าวชื่อ CERT_UA_protection_tool.zip ถูกนำเสนอว่าเป็นโปรแกรมรักษาความปลอดภัยที่ถูกต้อง แต่แท้จริงแล้วกลับมีมัลแวร์แฝงอยู่ ข้อความบางส่วนมาจากที่อยู่อีเมลปลอม 'incidents@cert-ua.tech' ซึ่งยิ่งทำให้ดูเหมือนของจริงมากขึ้น
สารบัญ
โปรไฟล์เป้าหมายและขอบเขตการโจมตี
ปฏิบัติการนี้ดำเนินการในวงกว้าง โดยมุ่งเป้าไปที่องค์กรหลากหลายกลุ่มที่มีความสำคัญต่อโครงสร้างพื้นฐานของประเทศและบริการสาธารณะ ซึ่งรวมถึง:
- รัฐบาลและสถาบันของรัฐ
- สถานพยาบาลและสิ่งอำนวยความสะดวกทางการแพทย์
- บริษัทที่เกี่ยวข้องกับความปลอดภัยและการป้องกันประเทศ
- องค์กรทางการศึกษา
- สถาบันการเงิน
- บริษัทพัฒนาซอฟต์แวร์
แม้จะมีกลยุทธ์การกำหนดเป้าหมายที่กว้างขวาง แต่โดยรวมแล้วประสิทธิภาพของแคมเปญดูเหมือนจะจำกัด มีการยืนยันการติดเชื้อเพียงจำนวนเล็กน้อย ซึ่งส่วนใหญ่ส่งผลกระทบต่ออุปกรณ์ส่วนตัวของพนักงานภายในสถาบันการศึกษา
ภายใน AGEWHEEZE: ความสามารถและกลไกการคงอยู่ของข้อมูล
AGEWHEEZE เป็นโทรจันสำหรับเข้าถึงระบบจากระยะไกลที่เขียนด้วยภาษา Go ออกแบบมาเพื่อควบคุมและสอดแนมระบบอย่างครอบคลุม เมื่อติดตั้งแล้ว มันจะสร้างการสื่อสารกับเซิร์ฟเวอร์ควบคุมและสั่งการที่ 54.36.237.92 โดยใช้โปรโตคอล WebSocket
มัลแวร์นี้ช่วยให้ผู้โจมตีสามารถกระทำการที่เป็นอันตรายได้หลากหลายรูปแบบ รวมถึง:
- การดำเนินการตามคำสั่งโดยพลการและการจัดการกระบวนการของระบบ
- ดำเนินการเกี่ยวกับไฟล์และจัดการข้อมูลที่จัดเก็บไว้
- การจับภาพหน้าจอและการติดตามกิจกรรมของผู้ใช้
- จำลองการป้อนข้อมูลจากเมาส์และคีย์บอร์ด
- การแก้ไขเนื้อหาในคลิปบอร์ด
- การรักษาความต่อเนื่องผ่านงานที่กำหนดเวลาไว้ การแก้ไขรีจิสทรีของ Windows หรือการจัดวางในไดเร็กทอรีเริ่มต้นระบบ
การผสมผสานคุณสมบัติเหล่านี้ทำให้ AGEWHEEZE เป็นเครื่องมืออเนกประสงค์สำหรับการสอดแนม การเคลื่อนที่ในแนวนอน และการเจาะระบบในระยะยาว
โครงสร้างพื้นฐานที่หลอกลวงและการผลิตโดยใช้ปัญญาประดิษฐ์ช่วย
การตรวจสอบโดเมนปลอม 'cert-ua.tech' พบหลักฐานบ่งชี้ว่าเว็บไซต์ดังกล่าวถูกสร้างขึ้นโดยใช้ระบบอัตโนมัติหรือปัญญาประดิษฐ์ (AI) โค้ด HTML ของเว็บไซต์มีข้อความแสดงความคิดเห็นที่น่าสนใจเป็นภาษารัสเซียว่า 'С Любовью, КИБЕР СЕРП' ('ด้วยรัก, CYBER SERP') ซึ่งชี้ให้เห็นว่าเว็บไซต์นี้เป็นผลงานของกลุ่มที่เรียกตัวเองว่า Cyber Serp
กลุ่มไซเบอร์เซิร์ป (Cyber Serp) อ้างว่ามีความเกี่ยวข้องกับกลุ่มอาชญากรไซเบอร์ใต้ดินของยูเครนผ่านช่องทาง Telegram ที่ก่อตั้งขึ้นในเดือนพฤศจิกายน 2025 และมีผู้ติดตามมากกว่า 700 คน กลุ่มดังกล่าวอ้างอย่างเปิดเผยว่าการโจมตีแบบฟิชชิงนี้มุ่งเป้าไปที่บัญชีอีเมลมากถึงหนึ่งล้านบัญชี และส่งผลให้มีอุปกรณ์ที่ถูกโจมตีมากกว่า 200,000 เครื่อง ซึ่งตัวเลขเหล่านี้สูงกว่าการประเมินของหน่วยงานอิสระอย่างมาก
ข้อกล่าวอ้างที่ขัดแย้งกันและกิจกรรมคุกคามในวงกว้าง
Cyber Serp พยายามวางตัวเป็นผู้กระทำการแบบเลือกเป้าหมาย โดยอ้างว่าประชาชนทั่วไปจะไม่ได้รับผลกระทบจากการดำเนินการของตน อย่างไรก็ตาม คำกล่าวอ้างดังกล่าวขัดแย้งกับลักษณะการโจมตีแบบไม่เลือกเป้าหมายของแคมเปญฟิชชิงขนาดใหญ่
ในเหตุการณ์อีกเหตุการณ์หนึ่ง กลุ่มดังกล่าวอ้างความรับผิดชอบในการเจาะระบบของ Cipher โดยอ้างว่าสามารถเข้าถึงข้อมูลเซิร์ฟเวอร์ ฐานข้อมูลลูกค้า และซอร์สโค้ดที่เป็นกรรมสิทธิ์ได้ ต่อมา Cipher ยืนยันว่ามีการบุกรุกในวงจำกัด โดยเกี่ยวข้องกับข้อมูลประจำตัวของพนักงานคนหนึ่ง แต่เน้นย้ำว่า:
- โครงสร้างพื้นฐานหลักยังคงปลอดภัยและใช้งานได้ตามปกติ
- บัญชีผู้ใช้ที่ได้รับผลกระทบสามารถเข้าถึงโครงการเดียวที่ไม่ใช่โครงการลับได้เท่านั้น
ความคลาดเคลื่อนนี้ชี้ให้เห็นถึงกลยุทธ์ทั่วไปของกลุ่มผู้ก่อภัยคุกคาม ซึ่งก็คือการกล่าวเกินจริงถึงผลกระทบเพื่อเพิ่มอิทธิพลและความน่าเชื่อถือที่รับรู้ได้
การประเมินและผลกระทบด้านความปลอดภัย
แคมเปญนี้แสดงให้เห็นถึงประสิทธิภาพอย่างต่อเนื่องของกลยุทธ์การปลอมแปลงตัวตน โดยเฉพาะอย่างยิ่งเมื่อใช้ประโยชน์จากหน่วยงานด้านความมั่นคงทางไซเบอร์ระดับชาติที่น่าเชื่อถือ แม้ว่าผลกระทบในระยะสั้นจะถูกจำกัด แต่ความซับซ้อนทางเทคนิคของ AGEWHEEZE และขอบเขตของการพยายามเผยแพร่ บ่งชี้ถึงภัยคุกคามที่ยังคงมีอยู่และเปลี่ยนแปลงไป
องค์กรต่างๆ ควรเสริมสร้างกระบวนการตรวจสอบอีเมล ตรวจสอบไฟล์แนบที่ไม่ได้รับเชิญ และให้ความรู้แก่บุคลากรเกี่ยวกับการจำแนกการพยายามแอบอ้างเป็นบุคคลในสถาบันที่มีอำนาจ
