เตือนภัยไซเบอร์! สงสัยแฮกเกอร์รัสเซียใช้มุกใหม่ หลอกเชื่อม Google OAuth และ WhatsApp เพื่อยึดบัญชีเหยื่อ

ผมมีข่าวไซเบอร์สุดเข้มข้นจากฝั่งไอทีต่างประเทศมาอัปเดตให้ฟังครับ ล่าสุดทีมนักวิจัยจาก Google Threat Intelligence Group (GTIG) ออกมารายงานว่า พบกลุ่มแฮกเกอร์ระดับจารกรรมไซเบอร์ที่คาดว่าเชื่อมโยงกับรัสเซียถึง 3 กลุ่ม ได้แก่ UNC6293, UNC5976 และ UNC7005 กำลังอาศัยระบบการยืนยันตัวตนที่ถูกกฎหมาย (Legitimate Authentication Flows) มาใช้เป็นเครื่องมือในการแฮกยึดบัญชี

เป้าหมายหลักเน้นไปที่บุคลากรในแวดวงการศึกษา, อุตสาหกรรมอวกาศและการป้องกันประเทศ, หน่วยงานรัฐ รวมถึงสถาบันคลังสมอง (Think Tanks) ในยุโรปและสหรัฐอเมริกา

มาดูกันครับว่าแต่ละกลุ่มมีกลยุทธ์อะไรที่น่ากลัวบ้าง

1. UNC6293: มุกใหม่ ล่อขอ URL และ Verification Code

กลุ่มนี้ย่อยมาจากกลุ่มดังอย่าง Ice Relic (หรือ APT29 / Cozy Bear / Midnight Blizzard) เดิมทีเน้นหลอกขอ Application Specific Passwords แต่ล่าสุดช่วงเดือนมิถุนายน 2026 เปลี่ยนมาใช้มุก OAuth Phishing โดยหลอกให้เหยื่อล็อกอินผ่านผู้ให้บริการภายนอก แล้วล่อลวงให้เหยื่อส่ง "URL แบบเต็ม" หรือ "รหัสยืนยัน (Verification Code)" คืนมาให้แฮกเกอร์ ซึ่งเพียงเท่านี้พวกเขาก็สามารถเข้าถึงและยึดบัญชีของเหยื่อได้ทันที

2. UNC5976: สร้างเว็บฝากไฟล์ปลอม + มัลแวร์ HEADRUSH

กลุ่มนี้เริ่มเคลื่อนไหวช่วงมีนาคม 2026 เน้นสร้างโดเมนปลอมที่ดูเหมือนบริการแชร์ไฟล์ แล้วสร้างโปรเจกต์บน Google Cloud มารองรับ

• เมื่อเหยื่อหลงกดเข้าเว็บปลอม จะมีป๊อปอัปขึ้นมาให้กด "Continue with Google"
• พอเหยื่อล็อกอินสำเร็จ สคริปต์สายโจรบน Google Cloud จะดักจับ Token ไปทันที
• นอกจากนี้ ยังพบว่าใช้ปลั๊กอิน Excel ปลอมรหัส HEADRUSH ส่งมัลแวร์ HTA เข้าเครื่องเหยื่อ โดยเน้นโจมตีหน่วยงานทหาร อวกาศ และ NGO ในยูเครนและอาร์เมเนีย

3. UNC7005: กลยุทธ์รอบจัด แอบเนียนผ่าน WhatsApp และ Wi-Fi สาธารณะ

กลุ่มนี้ถือเป็นพระเอกของรายงานเลยครับ มีแทกติกที่แพรวพราวมาก:

• หลอกเชื่อม WhatsApp: สร้างหน้าเว็บปลอมล่อให้เหยื่อผูกบัญชี WhatsApp เข้ากับเครื่องของแฮกเกอร์ โดยอ้างว่าจะได้เข้าร่วมคอลหรือแชร์เอกสารลับ พอลูกค้าเผลอกดสแกน QR หรือใส่โค้ดเชื่อมต่อ แฮกเกอร์จะยึด WhatsApp ทันที แถมถ้าเหยื่อหลงกดเข้าร่วมสายคอล สคริปต์จะแอบอัดเสียงและวิดีโอส่งกลับไปยังเครื่อง C2 ของแฮกเกอร์อีกต่างหาก
• แฮกผ่าน Wi-Fi โรงแรม/สนามบิน (แคมเปญ CaptiveCrunch): ร่วมมือกับการแฮกเกตเวย์ Wi-Fi สาธารณะ ทำ DNS Poisoning ดักทราฟฟิก แล้วส่งหน้าอัปเดตเบราว์เซอร์ปลอมเพื่อปล่อยมัลแวร์ขโมยข้อมูลอย่าง CornFlake RAT หรือ ChocoShell (มัลแวร์ตัวนี้มีร่องรอยว่าถูกสร้างขึ้นโดย AI หรือ LLM อีกด้วย)
• ศูนย์ควบคุม FruitStone: ทั้งหมดนี้ควบคุมผ่านหน้าแผง C2 ปลอมในชื่อ "CloudSync Console" เพื่อหลบเลี่ยงการตรวจจับ

นอกจากนี้ Lumen Black Lotus Labs ยังสงสัยว่ากลุ่มนี้อาจจะแอบแฮก Managed Service Providers (MSPs) เพื่อใช้เป็นช่องทาง Supply Chain Attack โจมตีลูกค้ารายอื่นๆ ต่ออีกด้วยครับ

แฮกเกอร์ยุคนี้ไม่ได้มานั่งเดารหัสผ่านกันแล้วครับ แต่เลือกใช้ "ฟีเจอร์ที่ถูกกฎหมาย" อย่าง OAuth, Device Code, หรือการแชร์ลิงก์เชื่อมอุปกรณ์มาหลอกเราแทน ดังนั้น ก่อนจะกด "Continue with Google", สแกน QR Code เพื่อเชื่อมต่อ WhatsApp หรือกดปุ่มให้อนุญาตใดๆ ตรวจสอบ URL และแหล่งที่มาให้ดีก่อนทุกครั้งนะครับ

#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก