กลุ่มแฮกเกอร์ "Silent Lynx" สบช่องช่องโหว่ WinRAR ฝัง Reverse Shell โจมตีหน่วยงานรัฐในกลุ่มประเทศ CIS

ผมมีอัปเดตข่าวไซเบอร์ซีเคียวริตี้ที่น่าสนใจจากฝั่งกลุ่มประเทศเครือรัฐเอกราช (CIS) มาเล่าให้ฟังครับ เมื่อล่าสุดแฮกเกอร์สายเจาะระบบเก่งกาจอย่างกลุ่ม Silent Lynx ได้ยกระดับการโจมตีไปอีกขั้นด้วยการนำช่องโหว่ของโปรแกรมบีบอัดไฟล์ยอดนิยมอย่าง WinRAR มาใช้เป็นอาวุธปล่อยมัลแวร์ประเภท Reverse Shell เข้าควบคุมเครื่องเป้าหมายแบบเรียลไทม์

รายงานจากทีมวิจัยด้านความปลอดภัย Cisco Talos และ Recorded Future Insikt Group (ที่ติดตามกลุ่มนี้ในชื่อรหัส UAT-6275 และ TAG-193) ระบุว่า ในช่วงเดือนมิถุนายน 2025 ถึงสิงหาคม 2026 กลุ่ม Silent Lynx ได้ลุยแคมเปญโจมตีหน่วยงานภาครัฐในเอเชียกลางและภูมิภาค CIS อย่างต่อเนื่อง โดยมีเป้าหมายครอบคลุมถึง 9 ประเทศ ได้แก่ คาซัคสถาน, คีร์กีซสถาน, ทาจิกิสถาน, เติร์กเมนิสถาน, อุซเบกิสถาน, อาร์เมเนีย, อาเซอร์ไบจาน, รัสเซีย และเบลารุส

Silent Lynx คือใคร?

กลุ่ม Silent Lynx ถูกค้นพบครั้งแรกช่วงต้นปี 2025 โดย Seqrite Labs มีประวัติจ้องเล่นงานสถานทูต, นักกฎหมาย, ธนาคารของรัฐ รวมไปถึงสถาบันคลังสมอง คาดว่าเป็นกลุ่มแฮกเกอร์ที่มีฐานปฏิบัติการอยู่ในคาซัคสถานและเคลื่อนไหวมาตั้งแต่ปี 2020 โดยมีพฤติกรรมและความเชื่อมโยงกับกลุ่มภัยคุกคามอื่นๆ เช่น YoroTrooper (Comrade Saiga / ShadowSilk / SturgeonPhisher), Cavalry Werewolf และ Tomiris

นอกจากนี้ กลุ่มที่ถูกเรียกว่า Hyadra Saiga (หรือ Comrade Saiga) ยังเคยตกเป็นข่าวเจาะระบบองค์กรกว่า 34 แห่งทั่วโลก โดยพุ่งเป้าไปที่ โครงสร้างพื้นฐานด้านทรัพยากรน้ำ ในเอเชียกลาง ผ่านมัลแวร์ที่เขียนขึ้นเองด้วยภาษา Rust, Go, Python และการใช้เทคนิค Living-off-the-Land (ใช้เครื่องมือที่มีอยู่แล้วในระบบ)

กลยุทธ์แนบเนียน: Phishing จากอีเมลรัฐที่ถูกแฮก

เหยื่อส่วนใหญ่มักจะได้รับอีเมลหลอกลวง (Spear-phishing) ที่ส่งมาจาก บัญชีอีเมลภาครัฐที่ถูกแฮกไปแล้ว ทำให้ดูน่าเชื่อถือสุดๆ พร้อมแนบเอกสารล่อใจที่เกี่ยวกับความสัมพันธ์ทางการทูต, การค้าต่างประเทศ, พลังงาน หรือการบิน ตัวอย่างเช่น จดหมายทางการทูตถึงกระทรวงการต่างประเทศอาร์เมเนีย หรือข้อเสนอทางธุรกิจของโรงกลั่นน้ำมัน Orsk ในรัสเซีย

วิวัฒนาการ 4 สายการโจมตี (Infection Chains)

นักวิจัยพบว่ากลุ่ม UAT-6275 มีการปรับเปลี่ยนเทคนิคการส่งมัลแวร์ไปตามช่วงเวลา ดังนี้ครับ:

1. มิถุนายน 2025: ใช้เอกสาร Word ที่เปิดใช้งาน Macro ในการดาวน์โหลดรันมัลแวร์ขั้นที่สอง
2. กรกฎาคม 2025: ใช้โปรแกรมแปลงสคริปต์ PS2EXE แปลง PowerShell เป็นไฟล์ .exe บน Windows เพื่อดึง Reverse Shell และสร้าง Scheduled Tasks ฝังตัวในเครื่อง
3. ตุลาคม 2025: แฝงไฟล์ Shortcut (.LNK) ไว้ในไฟล์ RAR เพื่อสั่งรัน PowerShell ไปดึงสคริปต์จาก GitHub และในเวอร์ชันหลังๆ ได้เริ่มนำ PickleShell ไปวางไว้ในโฟลเดอร์ Windows Startup เพื่อให้มัลแวร์ทำงานอัตโนมัติทุกครั้งที่เปิดเครื่อง
4. เมษายน 2026 (ก้าวกระโดดครั้งสำคัญ): เริ่มหันมาใช้ไฟล์ RAR ที่ใช้ประโยชน์จากช่องโหว่ CVE-2025-8088 ใน WinRAR เพื่อนำ PickleShell ไปหยอดไว้ในโฟลเดอร์ Windows Startup โดยตรง ซึ่งถือเป็นครั้งแรกที่กลุ่มนี้นำช่องโหว่ความปลอดภัยมาใช้เป็นอาวุธปล่อยมัลแวร์หลัก

จุดประสงค์หลักของการปล่อยมัลแวร์สายพันธุ์เฉพาะ เช่น FoalShell, Chvost, Laplas และ PickleShell ก็เพื่อเปิดช่องทางให้แฮกเกอร์เข้าควบคุมเครื่องคอมพิวเตอร์เป้าหมายทางไกลได้แบบสั่งการได้ทันที (Interactive Remote Access)

บทสรุปและข้อระวัง

Cisco Talos มองว่า การที่กลุ่ม Silent Lynx พัฒนาเทคนิคอยู่ตลอดเวลา แสดงให้เห็นว่าพวกเขาจะยังคงจ้องเล่นงานองค์กรภาครัฐ กระทรวงเศรษฐกิจ สภาพแวดล้อม และโครงสร้างพื้นฐานพลังงานในแถบ CIS ต่อไป เพื่อเก็บเกี่ยวข้อมูลการทูตและทรัพยากรระดับภูมิภาค

สำหรับพวกเราทั่วไปและองค์กรต่างๆ ข่าวนี้ถือเป็นสัญญาณเตือนสำคัญครับว่า อย่าลืมอัปเดตซอฟต์แวร์สามัญประจำเครื่องอย่าง WinRAR ให้เป็นเวอร์ชันใหม่อยู่เสมอ และระมัดระวังการเปิดไฟล์แนบแปลกๆ แม้จะส่งมาจากอีเมลที่ดูเป็นทางการก็ตามครับผม!

#DRKRIT drkrit.com #กระแสไอที #ข่าวไอที #ไทยสมาร์ทซิตี้