กลุ่มแฮ็กเกอร์ Lazarus ใช้ช่องโหว่ Zero-day บน Windows เพื่อโจมตีบริษัทด้านการป้องกันประเทศ

แฮ็กเกอร์ชาวเกาหลีเหนือได้ใช้ช่องโหว่ Zero-day บน Windows (CVE-2026-68820) เพื่อมุ่งเป้าโจมตีบริษัทในภาคส่วนการป้องกันประเทศ ซึ่งเป็นส่วนหนึ่งของปฏิบัติการ Operation Dream Job

Microsoft ได้แก้ไขช่องโหว่ดังกล่าวในอัปเดตความปลอดภัย Patch Tuesday ของเดือนนี้ โดยระบุว่า ช่องโหว่นี้กำลังถูกนำไปใช้ในการโจมตีอย่างแพร่หลาย โดยนักวิจัยพบว่า กลุ่ม Lazarus ได้ใช้ประโยชน์จากช่องโหว่นี้มาตั้งแต่ช่วงต้นเดือนกรกฎาคม

Microsoft ระบุว่า ช่องโหว่ดังกล่าวเป็นช่องโหว่ "use-after-free ใน Windows Ancillary Function Driver สำหรับ WinSock (AFD.sys)" ซึ่งทำให้ผู้โจมตีสามารถยกระดับสิทธิ์ในเครื่องได้

Microsoft เสริมว่า ผู้ใช้ที่ผ่านการยืนยันตัวตนบนเครื่อง สามารถเรียกใช้แอปพลิเคชันที่สร้างขึ้นมาโดยเฉพาะบนระบบที่ได้รับผลกระทบ เพื่อทำให้เกิด Race condition และส่งผลให้ได้รับสิทธิ์ระดับ SYSTEM ได้ในท้ายที่สุด โดยไม่ต้องอาศัยการโต้ตอบใด ๆ จากผู้ใช้

แคมเปญ Operation Dream Job ที่ดำเนินมาอย่างยาวนานนี้ ได้มุ่งเป้าไปที่องค์กรด้านกลาโหม, อวกาศ และการบินในยุโรป และอินเดีย โดยใช้วิธีการเสนอตำแหน่งงานหลอกลวงแก่พนักงานในหน่วยงานเป้าหมาย

มีอย่างน้อยหนึ่งกรณีที่พบว่า ผู้ไม่หวังดีได้เจาะระบบขององค์กรแห่งหนึ่งในฝรั่งเศส และใช้ระบบนั้นในการโจมตีแบบ Spear-phishing ไปยังเป้าหมายอื่น ๆ เพิ่มเติม

นักวิจัยจากบริษัทด้านความปลอดภัยทางไซเบอร์ Check Point ซึ่งทำการติดตามแคมเปญ Operation Dream Job รูปแบบล่าสุด พบว่า กลุ่ม Lazarus ได้รวมเอาช่องโหว่ CVE-2026-68820 ซึ่งรองรับเฉพาะ Windows 11 builds 26100 และ 26200 มารวมเข้ากับ FudModule kernel-mode rootkit เวอร์ชันใหม่เพื่อใช้ในการยกระดับสิทธิ์

เหตุการณ์นี้ไม่ใช่ครั้งแรกที่กลุ่ม Lazarus ใช้ประโยชน์จากช่องโหว่ Zero-day ใน AFD.sys เพื่อยกระดับสิทธิ์ และติดตั้ง FudModule rootkit บนระบบเป้าหมาย

ตามข้อมูลจากนักวิจัย rootkit เวอร์ชันล่าสุดมีความสามารถตามที่เคยมีรายงานไว้ก่อนหน้านี้ เช่น การปิดใช้งานระบบรวบรวมข้อมูลของ EDR และการรบกวนการทำงานของผลิตภัณฑ์ด้านความปลอดภัย ในขณะเดียวกันก็ได้เพิ่มความสามารถในการแทรกแซงระบบ Smart App Control เข้ามาด้วย

การวิเคราะห์ของ Check Point เผยให้เห็นว่า แฮ็กเกอร์ยังได้นำ backdoor ตัวใหม่ที่ชื่อว่า Troy มาใช้งานด้วย ซึ่งรองรับคำสั่งการทำงานถึง 17 คำสั่ง รวมถึงคำสั่งต่อไปนี้:

• การสำรวจข้อมูลของระบบ และโปรเซส
• การอัปโหลด ดาวน์โหลด ลบไฟล์ และการขโมยข้อมูลออกไปในรูปแบบไฟล์ archive
• การเรียกใช้คำสั่งที่ซ่อนอยู่
• การสั่งปิดโปรเซสจากระยะไกล
• การ Inject DLL ลงในหน่วยความจำ
• การเปลี่ยนแปลงการกำหนดค่า และเวลาของ Beacon

นอกจากนี้ Check Point ยังรายงานว่า พบการสแกนเพื่อมุ่งเป้าไปยังระบบ Roundcube ที่มีช่องโหว่ ซึ่งในเวลาต่อมาได้ถูกเจาะระบบด้วย PHP web shell ตัวใหม่ที่ชื่อว่า RelayShell

ผู้โจมตีน่าจะใช้ข้อมูล Credentials ที่รั่วไหล เพื่อเข้าสู่ระบบ Roundcube ก่อนที่จะใช้ประโยชน์จากช่องโหว่ CVE-2025-49113 ซึ่งเป็นช่องโหว่ประเภท PHP object-deserialization เพื่อให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้สำเร็จ

นักวิจัยได้ระบุเซิร์ฟเวอร์ที่ถูกติดตั้ง RelayShell อย่างน้อย 17 เครื่อง โดยอิงจากจำนวน identifiers ที่พวกเขารวบรวมมาได้

Check Point ระบุว่า “แคมเปญ Operation Dream Job ครั้งใหม่นี้ มุ่งเน้นไปที่ภาคส่วนการป้องกันประเทศอย่างหนัก โดยเฉพาะอย่างยิ่งองค์กรที่เกี่ยวข้องกับเทคโนโลยีทางการทหาร เช่น เซ็นเซอร์เฝ้าระวัง, โดรน และวิทยาการหุ่นยนต์”

“แคมเปญนี้มีขอบเขตการโจมตีครอบคลุมทั่วโลก โดยมีกิจกรรมขยายไปถึงอเมริกาใต้ รวมถึงบราซิล และพบความสำเร็จในการโจมตีเป้าหมายในยุโรปตะวันตก รวมถึงฝรั่งเศส และเยอรมนี”

นักวิจัยระบุว่า การค้นพบครั้งล่าสุดนี้เป็นการยืนยันว่ากลุ่ม Lazarus ได้พัฒนาการปฏิบัติการไปสู่รูปแบบที่แนบเนียนยิ่งขึ้น ซึ่งสามารถปรับตัวให้เข้ากับสภาพแวดล้อมของเป้าหมายได้ ในกรณีนี้ ผู้โจมตีได้นำโครงสร้างพื้นฐานเว็บไซต์ทั่วไป (Roundcube instances ที่ถูกเจาะ) มาใช้ในทางที่ผิดเพื่อซ่อนการสื่อสารที่เป็นอันตราย

รายงานของ Check Point ได้เปิดเผยรายการ IoCs ที่เกี่ยวข้องกับการโจมตีในครั้งนี้ รวมถึง YARA Rule เพื่อช่วยในการตรวจจับ RelayShell

ที่มา : bleepingcomputer