Kaspersky เปิดเผย NetamLoader เมื่อ 29 ตุลาคม 2569 เป็นมัลแวร์ที่ออกแบบให้ทำงานกับ Windows 10 รุ่นปรับแต่งสำหรับหน่วยงานรัฐในเอเชีย ประเด็นสำคัญคือการนำโปรแกรมจริงและโมดูลที่มีลายเซ็นมาใช้ร่วมกับไฟล์สนับสนุนที่ถูกปรับแต่งให้โหลดโค้ดอันตราย

ขอบเขตที่ยืนยันและสิ่งที่ยังไม่ทราบ

เครือข่ายตรวจจับของผู้วิจัยพบเหยื่อหนึ่งรายในเอเชีย จากตัวอย่างที่ตรวจพบช่วงครึ่งแรกของปี 2569 ยังไม่เปิดเผยประเทศหรือผูกกับกลุ่มผู้โจมตีที่รู้จัก และยังไม่ยืนยันว่าวิธีส่งแพ็กเกจเข้าถึงเหยื่อเป็นอย่างไร

การพบ CAB ในโฟลเดอร์ที่เก็บ Windows updates เป็นเหตุให้สงสัยเส้นทาง supply chain แต่ไม่ใช่หลักฐานว่าระบบส่งซอฟต์แวร์ของ Patch My PC หรือ Microsoft ถูกเจาะ ผู้ผลิตอธิบายว่าตัวอย่างใช้ไฟล์ configuration ชักนำการโหลด .NET assemblies และซ่อนการทำงานใน process ที่ถูกต้อง

เหตุใดการตรวจสั้น ๆ อาจพลาด

configuration ที่วิเคราะห์มีการรอ 20–40 นาทีก่อนติดต่อเซิร์ฟเวอร์ครั้งแรก และหากไม่ได้คำตอบที่ใช้ได้อาจรอ 22–28 ชั่วโมง พฤติกรรมนี้ทำให้การดู network ช่วงสั้นไม่เพียงพอ ตัวอย่างยังพยายามลดร่องรอยและแทรกแซงการสแกนมัลแวร์ รายงานต้นฉบับมี IOC สำหรับตรวจย้อนหลัง

ข้อวิเคราะห์ ALPHASEC: นำมาใช้กับองค์กรไทยอย่างไร

  • ตรวจแหล่งที่มาและตำแหน่งเรียกใช้แพ็กเกจอัปเดต รวมถึงไฟล์ config ที่อยู่คู่ executable
  • ติดตาม process ที่มีลายเซ็นแต่โหลดโค้ดหรือสื่อสารออกต่างจาก baseline
  • เก็บ endpoint และ network logs ให้นานครอบคลุมรอบการติดต่อที่ห่างกัน พร้อมส่ง log ไปยังส่วนกลาง
  • เทียบ IOC จาก Securelist กับหลักฐานอื่นก่อนสรุปเหตุ และทบทวนการอนุมัติช่องทางบำรุงรักษาซอฟต์แวร์

ข้อเสนอข้างต้นเป็นแนวป้องกันของ ALPHASEC ข่าวนี้ไม่ได้ยืนยันว่าหน่วยงานไทยได้รับผลกระทบ หรือว่า Windows 10 ทุกเครื่องมีช่องโหว่เดียวกัน

แหล่งข้อมูลและเครดิต

ตรวจแหล่งข้อมูลในการเรียบเรียงรอบวันที่ 2 พฤศจิกายน 2569 ข้อเท็จจริงอาจเปลี่ยนตามประกาศล่าสุด