Unit 42 เปิดเผยรายละเอียดกิจกรรม CL-UNK-1211 ที่มุ่ง Linux ของหน่วยงานรัฐและโครงสร้างพื้นฐานที่เกี่ยวข้อง โดยช่วงกิจกรรมที่สังเกตคือเดือนตุลาคม 2568–เมษายน 2569 การรายงานข่าวครั้งนี้จึงไม่ใช่การระบุว่าการโจมตีเพิ่งเริ่มวันนี้

สิ่งที่รายงานพบ

เครื่องมือประกอบด้วย web shells และ SysGoRAT ซึ่งเขียนด้วย Go รองรับ Windows และ Linux เพื่อคงการเข้าถึง รวมถึงความพยายามเก็บข้อมูลรับรอง ฐานข้อมูล และกล่องอีเมล ผู้วิจัยพบ comments ลักษณะบทสนทนาและเหตุผลทีละขั้นในสคริปต์ จึงประเมินว่ามีการใช้ LLM ช่วยสร้างโค้ดหรือ AI agent แต่ยังไม่ยืนยันตัวผู้โจมตีหรือสังกัด

รายงานบันทึกการแก้ PHP configuration เพื่อโหลดไฟล์แฝง การดักข้อมูลผ่าน .bashrc และความพยายามลบ log ขณะที่ตัวอย่างสคริปต์นำอีเมลออกบางส่วนมีข้อผิดพลาด จึงไม่ควรแปลงทุกความพยายามเป็นข้อสรุปว่านำข้อมูลสำเร็จ ไม่มีข้อมูลในรายงานที่อ่านยืนยันเหยื่อในไทย

จุดเริ่มต้นสำหรับ Threat Hunting

IOC ตัวอย่างจาก Unit 42 คือ 104.194.158[.]65 และโดเมน magento[.]ink ให้เทียบย้อนหลังกับช่วงเวลา อุปกรณ์ และ process ที่เกี่ยวข้อง พร้อมตรวจ IOC ฉบับเต็มที่ต้นทาง การพบ IP หรือชื่อไฟล์เพียงอย่างเดียวไม่ใช่ข้อพิสูจน์การติดมัลแวร์

ข้อวิเคราะห์และคำแนะนำ ALPHASEC

  • ทำบัญชี Linux ที่เก็บอีเมล ฐานข้อมูล และเว็บ พร้อมตรวจว่า EDR และ log ครอบคลุมเครื่องจริง
  • ตรวจความเปลี่ยนแปลง PHP configuration, .bashrc และบริการเริ่มต้น เทียบ baseline ที่อนุมัติ
  • เชื่อมเหตุการณ์ web process เรียก shell การเชื่อมต่อออกผิดปกติ และช่องว่างใน log แทนการดูชื่อโปรแกรมลำพัง
  • ส่ง log ออกนอกเครื่อง เก็บหลักฐานก่อนล้างระบบ และทบทวนข้อมูลรับรองที่อาจถูกเข้าถึง

แหล่งข้อมูลและเครดิต

ตรวจแหล่งข้อมูลในการเรียบเรียงรอบวันที่ 2 พฤศจิกายน 2569 ข้อเท็จจริงอาจเปลี่ยนตามประกาศล่าสุด