ESET เผยรายงานเมื่อ 4 พฤศจิกายน 2569 ว่าพบเหยื่อในประเทศไทยจากปฏิบัติการที่ใช้ Sogou Input Method บน Windows ส่งมัลแวร์ DarkVigil โดยแทรกแซง DNS และอาศัยการรับข้อมูลผ่าน HTTP ที่ไม่เข้ารหัส นี่เป็นผลตรวจพบที่นักวิจัยรายงาน ไม่ใช่ข้อสรุปว่าผู้ใช้ Sogou ทุกคนในไทยถูกเจาะ
ยืนยันอะไรแล้ว และยังไม่รู้อะไร
นักวิจัยพบการติดมัลแวร์ตั้งแต่ 1 กรกฎาคม 2569 ในหลายพื้นที่รวมไทย ผ่านกลไกดาวน์โหลดข้อมูลประกอบคำศัพท์ของโปรแกรม ESET ยังไม่ทราบว่าผู้โจมตีแทรกแซง DNS ที่จุดใด และไม่ได้เปิดเผยจำนวนเหยื่อในไทย รายงานนี้จึงไม่ใช่หลักฐานว่าผู้ให้บริการอินเทอร์เน็ตหรือหน่วยงานไทยรายใดถูกเจาะ
รุ่นแก้ไขและข้อจำกัด
ตามรายงาน ESET บริษัท Tencent แก้กลไกที่เกี่ยวข้องในเวอร์ชัน 16.10 โดยเปลี่ยนการสื่อสารเป็น HTTPS พร้อมตรวจสอบใบรับรอง ประเด็นนี้ได้รับหมายเลข CVE-2026-120422 ผู้ใช้งานควรตรวจเวอร์ชันและช่องทางอัปเดตของผู้ผลิตโดยตรง
ข้อแนะนำ ALPHASEC สำหรับองค์กรไทย
- สำรวจเครื่อง Windows ที่ติดตั้ง Sogou ตรวจรุ่น และอัปเดตผ่านช่องทางผู้ผลิตที่เชื่อถือได้
- ให้ SOC ตรวจข้อมูลย้อนหลังของ EDR และ DNS เทียบตัวบ่งชี้ในรายงาน ESET โดยประเมินบริบทก่อนสรุปเหตุ
- หากพบร่องรอยติดมัลแวร์ ให้แยกเครื่องและเก็บหลักฐานตามแผนตอบสนองเหตุ การอัปเดตเพียงอย่างเดียวไม่ยืนยันว่าเครื่องที่เคยติดมัลแวร์สะอาดแล้ว
ข้อแนะนำข้างต้นเป็นการวิเคราะห์ของ ALPHASEC ไม่มีการระบุชื่อผู้เสียหายไทยหรือใช้ข้อมูลลูกค้าที่ไม่เป็นสาธารณะ
แหล่งข้อมูล
ตรวจอ่านต้นทาง 8 พฤศจิกายน 2569 · ภาพประกอบเป็นภาพแนวคิด ไม่ใช่หลักฐานเหตุการณ์