IT & Telecommunication Weekly Report
ห้วงเวลา: 28 กันยายน - 4 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 28 กันยายน ถึง 4 ตุลาคม 2569 ภาคส่วนเทคโนโลยีสารสนเทศ การพัฒนาซอฟต์แวร์ และโครงสร้างพื้นฐานโทรคมนาคม เผชิญกับคลื่นภัยคุกคามที่มีความซับซ้อนสูงทั้งในมิติของห่วงโซ่อุปทาน (Software Supply Chain) และอุปกรณ์โครงข่ายขอบเขต (Network Edge) ประการแรก ทีมนักวิจัยตรวจพบแคมเปญ DirtyBlanket ที่ปล่อยแพ็กเกจ npm ปลอม 9 รายการ เลียนแบบไลบรารียอดนิยมอย่าง Express และ React โดยใช้พรีอินสตอลฮุกดาวน์โหลดเวิร์ม Bash และติดตั้งแบ็กดอร์ CHAOS เพื่อขโมยกุญแจ SSH และแทรกซึมเซิร์ฟเวอร์ Linux ต่อเนื่อง ประการที่สอง มีการเปิดโปงแคมเปญ TOPHIT ซึ่งอาศัยอัลกอริทึมตัดทอนตัวอักษรสร้างแพ็กเกจ npm แบบ Typosquatting ถึง 85 รายการ หวังผลให้ติดอันดับการค้นหาและฟีเจอร์เติมคำอัตโนมัติ (Autocomplete) ในโปรแกรมแก้ไขโค้ด พร้อมเชื่อมโยงเซิร์ฟเวอร์ควบคุมระยะไกลที่เปิดแผงลักลอบขุดเหรียญคริปโทฯ บน GPU ประการที่สาม ตรวจพบมัลแวร์โหลดเดอร์ PolinRider ที่แทรกซึมคลังซอฟต์แวร์ GitHub กว่า 35 โครงการ โดยดึงไอพีของ C2 ผ่านข้อมูลธุรกรรมบนบล็อกเชน Ethereum Mainnet ในลักษณะ Dead Drop Resolver เพื่อหลบเลี่ยงการบล็อกโดเมน และประการสุดท้าย กลุ่มภัยคุกคามข้ามชาติได้ปรับใช้มัลแวร์ BPFDoor, AVERAT และ Rekoobe โจมตีอุปกรณ์ความปลอดภัยอีเมลและขอบเครือข่าย โดยใช้เทคนิคการดักจับแพ็กเก็ตผ่าน Berkeley Packet Filter (BPF) และส่งคำสั่งควบคุมผ่านทราฟฟิก SMTP พอร์ต 25 เพื่อเลี่ยงไฟร์วอลล์อย่างสมบูรณ์แบบ
ทีมนักวิจัยความมั่นคงปลอดภัย SafeDep ตรวจพบผู้ไม่หวังดีใช้บัญชี npm ชื่อ "dirtyblanket" อัปโหลดแพ็กเกจอันตราย 9 รายการ (เช่น xeprews, express-javascript, react-nodejs) ที่เลียนแบบเฟรมเวิร์ก Express และ React โดยแพ็กเกจเหล่านี้ฝังคำสั่ง preinstall เรียกไฟล์ JavaScript ผ่าน Wayback Machine เพื่อหลบเลี่ยงการตรวจสอบ จากนั้นสคริปต์จะดาวน์โหลดเวิร์ม linux.sh มารันบนระบบปฏิบัติการ Linux ทำการติดตั้งแบ็กดอร์ระบบโอเพนซอร์ส CHAOS ภายใต้ชื่อบริการปลอม systemd-fontd เพื่อเปิดทางเชื่อมต่อระยะไกลผ่านเครือข่าย Tor พร้อมกันนี้ตัวเวิร์มยังกวาดขโมยกุญแจ SSH ใน known_hosts เพื่อแพร่กระจายตัวแบบ Lateral Movement ไปยังโฮสต์อื่น ขโมยโทเคนยืนยันตัวตนในไฟล์ .npmrc เพื่อใช้ปล่อยแพ็กเกจอันตรายเพิ่มเติม และแทรกซึมคลังแพ็กเกจ AUR
แม้ยังไม่พบหลักฐานว่ามีองค์กรไทยตกเป็นเป้าหมายแบบเจาะจง แต่เนื่องจากเฟรมเวิร์ก Express และ Node.js เป็นเครื่องมือหลักที่นักพัฒนาและสตาร์ตอัปในไทยใช้งานอย่างแพร่หลาย การพิมพ์ชื่อไลบรารีผิด (Typosquatting) ในขั้นตอน npm install บนเครื่องของวิศวกรหรือระบบ CI/CD อาจนำไปสู่การถูกฝังแบ็กดอร์และถูกขโมยกุญแจ SSH เข้าเซิร์ฟเวอร์การผลิต (Production) ขององค์กรไทยได้ทันที
ยุทธศาสตร์: ผู้โจมตีมุ่งเป้าโจมตีห่วงโซ่อุปทานระดับนักพัฒนาต้นน้ำเพื่อเปลี่ยนเครื่องเวิร์กสเตชันและเซิร์ฟเวอร์ทดสอบให้กลายเป็นฐานปล่อยเวิร์มลุกลามเข้าสู่ระบบโครงสร้างพื้นฐานหลัก
ยุทธการ: การใช้ Wayback Machine อำพรางเพย์โหลดขั้นต้นร่วมกับการฝังเซอร์วิสพรางตาเป็นฟอนต์ระบบ (systemd-fontd) สามารถข้ามผ่านระบบตรวจจับทราฟฟิกเครือข่ายและระบบเฝ้าระวังไดเรกทอรีส่วนใหญ่ได้อย่างแนบเนียน
ยุทธวิธี: ผู้โจมตีใช้เทคนิค Preinstall Hook ของ Node.js เพื่อสั่งรันเคอร์เนลเชลล์ สกัดกุญแจส่วนตัว SSH และใช้สิทธิ์ของโทเคนนักพัฒนาใน .npmrc เผยแพร่แพ็กเกจเวอร์ชันใหม่แบบอัตโนมัติ
องค์กรพัฒนาซอฟต์แวร์, ทีมวิศวกรรม DevOps, ผู้ให้บริการคลาวด์ และระบบเซิร์ฟเวอร์โครงสร้างพื้นฐานที่รันระบบปฏิบัติการ Linux
CloudSEK ตรวจพบแคมเปญ TOPHIT ดำเนินการโดยบัญชี "prime0" ที่เผยแพร่แพ็กเกจอันตรายภายใต้ Scope @prime0 จำนวน 85 รายการภายในเวลาเพียง 3 นาที โดยผู้โจมตีใช้อัลกอริทึมสร้างชื่อเลียนแบบไลบรารียอดนิยม 29 รายการ (เช่น chalk, semver, debug, minimatch, ajv) ด้วยการตัดตัวอักษร 1-3 ตำแหน่งแรกออกอย่างจงใจ กลวิธีนี้ไม่ได้หวังผลเพียงแค่การสั่งติดตั้งผิดคำสั่ง แต่สร้างขึ้นเพื่อหลอกล่ออัลกอริทึมการค้นหาบน npm Registry และระบบเติมคำอัตโนมัติ (Autocomplete) ในโปรแกรมแก้ไขโค้ด (Code Editors) ให้ดึงแพ็กเกจสโคปเหล่านี้ขึ้นเป็นอันดับแรก เมื่อติดตั้ง โค้ด postinstall.js จะส่งข้อมูลลายนิ้วมือเครื่องไปยังเซิร์ฟเวอร์ควบคุม 69.48.229.140 บนพอร์ต 8080 และไฟล์ index.js จะทำหน้าที่เป็นเอเจนต์สอบถามคำสั่งเชลล์ทุกๆ 30 วินาที ทั้งนี้ เซิร์ฟเวอร์ดังกล่าวยังเปิดให้บริการแผงควบคุมการลักลอบขุดคริปโทฯ บนคลัสเตอร์ GPU (vast.ai) ควบคู่กันด้วย
เป็นความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อนักพัฒนาซอฟต์แวร์ไทยที่ใช้เครื่องมือ IDE ยอดนิยมร่วมกับแพ็กเกจเสริม JavaScript หากระบบ Autocomplete แนะนำแพ็กเกจ @prime0 เข้ามาในไฟล์ package.json หรือ lockfile เครื่องคอมพิวเตอร์ของนักพัฒนาและไปป์ไลน์ CI/CD ในไทยจะถูกเปิดช่องทางการควบคุมระยะไกลและอาจถูกสูบข้อมูลความลับของระบบ
ยุทธศาสตร์: ผู้ก่อเหตุยกระดับการโจมตีซัพพลายเชนจากการรอเหยื่อพิมพ์ผิด ไปสู่การฉวยใช้อัลกอริทึมการจัดอันดับการค้นหาและฟีเจอร์ช่วยเหลือการเขียนโค้ดของเครื่องมือพัฒนาสมัยใหม่
ยุทธการ: การใช้โครงสร้างพื้นฐาน C2 ร่วมกันระหว่างการควบคุมคำสั่งระยะไกลและการจัดการทรัพยากร GPU บ่งชี้ว่าผู้โจมตีเตรียมพร้อมที่จะแปลงเหยื่อที่มีทรัพยากรประมวลผลสูงไปสู่การหาประโยชน์ทางการเงิน
ยุทธวิธี: การทำงานแยกเป็นสองสเตจ โดยใช้ postinstall.js เก็บข้อมูลลายนิ้วมือเครื่องเหยื่อ และใช้ index.js โพลลิ่งคำสั่งผ่าน HTTP ทุก 30 วินาทีโดยไม่มีการตรวจสอบสิทธิ์หรือเข้ารหัส
นักพัฒนาซอฟต์แวร์ JavaScript/Node.js, ผู้ให้บริการแพลตฟอร์มคลาวด์ และโครงสร้างพื้นฐานประมวลผล GPU
การสืบสวนเริ่มต้นจากการตรวจพบ Pull Request อันตรายที่ส่งไปยังโครงการคอมไพเลอร์โอเพนซอร์ส oxc-project/oxc ซึ่งพยายามแทรกโค้ดอันตรายลงในสคริปต์บิลด์และทดสอบ 20 สคริปต์ แม้ว่าผู้ดูแลโครงการจะปฏิเสธ PR ดังกล่าว แต่ SafeDep ได้ขยายผลการตรวจสอบจนพบว่ามัลแวร์ตระกูล PolinRider ได้แทรกซึมคลังซอฟต์แวร์บน GitHub แล้วถึง 35 คลัง (มียอดรวม 7,578 Stars และ 2,884 Forks) จุดเด่นทางเทคนิคคือมัลแวร์โหลดเดอร์ใช้เทคนิค Dead Drop Resolver โดยอ่านธุรกรรมบนบล็อกเชน Ethereum Mainnet จากกระเป๋าเงินของผู้โจมตี 2 ใบ เพื่อถอดรหัสไอพีของเซิร์ฟเวอร์ C2 จากฟิลด์ผู้รับ (to) ของธุรกรรม ทำให้สามารถสลับเปลี่ยนไอพีเซิร์ฟเวอร์ได้ตลอดเวลาโดยไม่มีวันถูกบล็อกโดเมน เมื่อโหลดเดอร์ทำงานขณะนักพัฒนาบิลด์โปรเจกต์ จะทำการปล่อยมัลแวร์ขโมยข้อมูลภาษา Python ดึงความลับในสภาพแวดล้อม รหัสผ่านเบราว์เซอร์ คุกกี้เซสชัน และข้อมูลกระเป๋าเงินคริปโทฯ
เป็นความเสี่ยงระดับสูงต่อทีมพัฒนาซอฟต์แวร์และบริษัทฟินเทคในประเทศไทยที่ใช้งานคลังโค้ดโอเพนซอร์สบน GitHub หากนักพัฒนาชาวไทยโคลนคลังโค้ดหรือฟอร์กโปรเจกต์ที่ติดมัลแวร์ PolinRider มารันหรือบิลด์ในเครื่อง ความลับระดับสภาพแวดล้อม (API Keys, .env) และคุกกี้เซสชันของระบบคลาวด์องค์กรอาจถูกขโมยออกไปทันที
ยุทธศาสตร์: ผู้โจมตีใช้ความน่าเชื่อถือของชุมชนโอเพนซอร์สบน GitHub ร่วมกับความทนทานต่อการถูกปิดกั้นของบล็อกเชน เพื่อสร้างโครงสร้างพื้นฐาน C2 ที่มีความคงทนถาวรสูง
ยุทธการ: การแปลงข้อมูลธุรกรรมบล็อกเชนเป็นช่องทางบอกพิกัดเซิร์ฟเวอร์ (Dead Drop Resolver) ช่วยข้ามผ่านระบบตรวจสอบชื่อโดเมน (DNS Filtering) และการบล็อก IP Reputation แบบดั้งเดิม
ยุทธวิธี: โค้ดโหลดเดอร์ทำงานแบบหลายขั้นตอน (Multi-stage) เริ่มจากสคริปต์ทดสอบกระบวนการบิลด์ แปลงไอพีจากบล็อกเชน ดาวน์โหลดโหลดเดอร์ที่เข้ารหัส และรันสคริปต์ Python ขโมยข้อมูลระบุตัวตนและกระเป๋าเงิน
นักพัฒนาซอฟต์แวร์โอเพนซอร์ส, องค์กรด้าน Web3 และฟินเทค, ชุมชนนักพัฒนาบน GitHub และผู้ให้บริการคลาวด์
Rapid7 เผยแพร่งานวิจัยเจาะลึกกรณีกลุ่มภัยคุกคามที่มีความเชื่อมโยงกับจีน (RedCarpet / Red Menshen) ทำการโจมตีอุปกรณ์ขอบเครือข่าย (Network-Edge Devices) และเกตเวย์ความปลอดภัยอีเมล เช่น ผลิตภัณฑ์ SpamSniper ในเกาหลีใต้และอุปกรณ์ในไต้หวัน การโจมตีใช้ตัวส่ง (Dropper) วางสคริปต์เชลล์ในพาร์ติชันจัดเก็บข้อมูลและติดตั้งเพย์โหลดสองตัวลงในไดเรกทอรี /sbin โดยอำพรางชื่อเป็น ntpdate และ udevds มัลแวร์ชุดนี้ประกอบด้วย BPFDoor รุ่นปรับปรุง, อิมแพลนต์โมดูลาร์ AVERAT และแบ็กดอร์ Rekoobe ซึ่งใช้กลไก Berkeley Packet Filter (BPF) ดักฟังสัญญาณแพ็กเก็ตดิบ (Raw Packets) โดยไม่ต้องเปิดพอร์ตดักฟัง (Passive Listening) และปลุกการทำงานด้วย Magic Packet ผ่านโปรโตคอล SMTP (พอร์ต 25), TCP หรือ UDP ทำให้การสื่อสาร C2 แนบเนียนไปกับทราฟฟิกอีเมลปกติและหลบเลี่ยงการตรวจสอบของไฟร์วอลล์ได้อย่างสิ้นเชิง
เป็นความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ให้บริการอินเทอร์เน็ต ผู้ให้บริการโทรคมนาคม และศูนย์ข้อมูลในประเทศไทยที่ใช้งานเกตเวย์ความปลอดภัยอีเมลหรืออุปกรณ์ลินุกซ์ที่ขอบเครือข่าย เนื่องจากมัลแวร์ BPFDoor และ AVERAT มุ่งเน้นการฝังตัวแบบล่องหนโดยไม่เปิดพอร์ตฟังคำสั่งและใช้ทราฟฟิก SMTP พรางตัว จึงตรวจจับได้ยากยิ่งหากไม่มีการตรวจสอบความถูกต้องของไบนารีใน /sbin และวิเคราะห์ BPF Filter
ยุทธศาสตร์: กลุ่มภัยคุกคามระดับสูงมุ่งยึดครองอุปกรณ์ Edge ที่ไร้ระบบ EDR เพื่อใช้เป็นจุดดักรับข้อมูลการสื่อสารและเป็นฐานกระโดดข้ามเครือข่ายอย่างถาวร
ยุทธการ: การนำเทคนิค BPF Sniffing มารวมเข้ากับการส่งคำสั่งผ่านทราฟฟิกอีเมล SMTP พอร์ต 25 ช่วยให้ผู้โจมตีสามารถทะลุทะลวงไฟร์วอลล์ขาเข้าและขาออกได้โดยไม่ทิ้งร่องรอยการเชื่อมต่อปกติ
ยุทธวิธี: ตัวดรอปเปอร์จัดวางสคริปต์ในพื้นที่เมานต์ข้อมูล ปลอมแปลงชื่อโปรเซสเป็น SpamSniper และเซอร์วิสระบบ ntpdate/udevds พร้อมกำจัดไฟล์ติดตั้งต้นทางเพื่อทำลายร่องรอยทางนิติวิทยาศาสตร์
ผู้ให้บริการโครงข่ายโทรคมนาคม, ผู้ดูแลระบบความปลอดภัยอีเมล, ศูนย์ข้อมูล และอุปกรณ์เครือข่ายระดับองค์กร