เตือนภัย AOMEI Backupper โดนเจาะเซิร์ฟเวอร์อัปเดต ปล่อยมัลแวร์ฝังเครื่องเนียนกริบ

การแก้ไขไฟล์คำสั่งอัปเดตบนเซิร์ฟเวอร์เพียงรอบละ 5 ถึง 10 นาที กลายเป็นช่องทางให้แฮกเกอร์ฝังมัลแวร์ลงบนเครื่องคอมพิวเตอร์ผ่านโปรแกรมสำรองข้อมูลชื่อดังได้อย่างแนบเนียน รายงานร่วมระหว่างทีม Google Threat Intelligence Group (GTIG), Mandiant และ ManageEngine Threat Analysis Lab เปิดเผยว่า AOMEI Backupper โปรแกรมสำรองข้อมูลและโคลนดิสก์ยอดนิยมบนระบบปฏิบัติการ Windows ตกเป็นเป้าหมายของการโจมตีแบบห่วงโซ่อุปทานซอฟต์แวร์ (Supply Chain Compromise) ในช่วงระหว่างเดือนเมษายนถึงกรกฎาคม 2026 ตามการเปิดเผยของ Google Cloud Blog และ The Hacker News

เรื่องนี้ไม่ใช่เรื่องไกลตัวของผู้ใช้คอมพิวเตอร์ทั่วไปเลยครับ เพราะโปรแกรมนี้เป็นเครื่องมือที่ผู้ใช้งานตามบ้าน ช่างคอมพิวเตอร์ และแผนกไอทีในองค์กรจำนวนมากติดตั้งไว้เพื่อสำรองไฟล์เอกสารสำคัญ โคลนฮาร์ดดิสก์ย้ายข้อมูลลงไดรฟ์ใหม่ หรือกู้คืนระบบเมื่อเกิดปัญหา การที่โปรแกรมที่เราไว้ใจให้เข้าถึงข้อมูลทั้งหมดในเครื่องกลับกลายเป็นช่องทางดาวน์โหลดประตูลับ (Backdoor) เข้ามาเสียเอง แปลว่าคอมพิวเตอร์ที่เปิดทิ้งไว้เฉยๆ ก็อาจถูกควบคุมจากระยะไกลได้โดยที่เจ้าของเครื่องไม่ได้กดคลิกลิงก์แปลกปลอมหรือดาวน์โหลดไฟล์อันตรายใดๆ ด้วยตัวเองแม้แต่คลิกเดียว

สรุป 30 วินาที: เกิดอะไรขึ้น

กลุ่มผู้ไม่หวังดีที่นักวิจัยติดตามในชื่อ UNC7017 ได้เข้าแทรกแซงเซิร์ฟเวอร์ต้นทางของผู้พัฒนาซอฟต์แวร์ AOMEI Technology จากฮ่องกง โดยใช้วิธีดัดแปลงไฟล์ตั้งค่าระบบอัปเดตและแจ้งเตือนบนเซิร์ฟเวอร์จริงของผู้ผลิตเป็นช่วงเวลาสั้นๆ เพียง 5 ถึง 10 นาทีในแต่ละครั้ง จากนั้นจึงสลับไฟล์เดิมที่ถูกต้องกลับคืนอย่างรวดเร็ว ตามข้อมูลใน Google Cloud Blog

ช่วงเวลาที่ได้รับการยืนยันว่ามีการดัดแปลงไฟล์บนเซิร์ฟเวอร์ ได้แก่ วันที่ 28 พฤษภาคม 2026 เวลา 12:40 – 12:50 น. (ตรงกับ 05:40 – 05:50 UTC), วันที่ 16 กรกฎาคม 2026 เวลา 15:33 – 15:39 น. (ตรงกับ 08:33 – 08:39 UTC) และวันที่ 20 กรกฎาคม 2026 เวลา 17:35 – 17:40 น. (ตรงกับ 10:35 – 10:40 UTC) ซึ่งนักวิจัยเชื่อว่าน่าจะมีช่วงเวลาอื่นๆ เกิดขึ้นอีกนอกเหนือจากที่ตรวจพบ โดยเครื่องคอมพิวเตอร์เครื่องใดก็ตามที่มีการเชื่อมต่อตรวจสอบการอัปเดตตรงกับหน้าต่างเวลาสั้นๆ ดังกล่าว จะได้รับคำสั่งให้ดาวน์โหลดแพ็กเกจมัลแวร์ชื่อ CROSSROAD เข้ามาติดตั้งมัลแวร์เปิดประตูลับ SHINYROAD ทันที ตามรายงานของ ManageEngine และ The Hacker News

องค์กรที่พบว่าได้รับผลกระทบกระจายตัวอยู่ใน 11 ประเทศ ได้แก่ ออสเตรเลีย บราซิล อินเดีย ปากีสถาน โปรตุเกส สิงคโปร์ แอฟริกาใต้ สเปน สวิตเซอร์แลนด์ ทูร์เคีย และสหรัฐอเมริกา ครอบคลุมทั้งภาคบริการด้านไอที โทรคมนาคม และสถาบันอุดมศึกษา แม้ว่า AOMEI จะแจ้งว่าได้แก้ไขเซิร์ฟเวอร์แล้วเมื่อวันที่ 29 กรกฎาคม 2026 แต่การแก้ไขฝั่งเซิร์ฟเวอร์ไม่ได้ช่วยลบมัลแวร์ออกจากเครื่องคอมพิวเตอร์ที่ตกเป็นเหยื่อไปก่อนหน้านั้นแต่อย่างใด อ้างอิงจาก Google Cloud Blog และ The Hacker News

ทำไมเรื่องนี้เกี่ยวกับคุณ

หากคุณมีคอมพิวเตอร์เครื่องทำงานหรือเครื่องที่บ้านที่ติดตั้งโปรแกรมสำรองข้อมูลอย่าง AOMEI Backupper หรือโปรแกรมรีโมตอย่าง AnyViewer เหตุการณ์นี้ส่งผลกระทบถึงความปลอดภัยในชีวิตประจำวันของคุณโดยตรงครับ ปกติเวลาเราพูดถึงไวรัสหรือมัลแวร์ เรามักจะนึกถึงการเผลอกดโหลดโปรแกรมเถื่อน การกดเปิดไฟล์แนบในอีเมลหลอกลวง หรือการเข้าเว็บไซต์ที่ไม่น่าไว้วางใจ แต่การโจมตีห่วงโซ่อุปทานครั้งนี้กลับฉีกกฎเหล่านั้นทิ้งทั้งหมด

สิ่งที่เกิดขึ้นคือระบบตรวจสอบการอัปเดตของตัวโปรแกรมเองทำงานอยู่เบื้องหลังตลอดเวลา เมื่อถึงรอบเวลา โปรแกรมจะส่งสัญญาณออกไปถามเซิร์ฟเวอร์ของผู้ผลิตว่า มีเวอร์ชันใหม่หรือข้อความแจ้งเตือนอะไรไหม หากรอบการถามนั้นดันตรงกับช่วงเวลา 5 ถึง 10 นาทีที่คนร้ายแอบไปแก้ไฟล์บนเซิร์ฟเวอร์ เครื่องของคุณจะทำการดาวน์โหลดและรันมัลแวร์ขึ้นมาด้วยสิทธิ์ระดับเดียวกับที่โปรแกรมสำรองข้อมูลทำงาน ซึ่งมักจะเป็นสิทธิ์ระดับที่เพียงพอสำหรับการติดตั้งซอฟต์แวร์ทั้งระบบ เพื่อให้สามารถเข้าถึงดิสก์และไฟล์ทั้งหมดในระบบได้

นั่นหมายความว่า หากเครื่องติดมัลแวร์ตัวนี้ คนร้ายจะได้สิทธิ์เข้าถึงหน้าต่างควบคุมระยะไกล ส่งคำสั่งเพิ่มเติมเข้ามาได้ตามใจชอบ และสามารถเข้าถึงไฟล์เอกสาร รหัสผ่าน หรือใช้เครื่องของเราเป็นฐานในการเชื่อมต่อไปยังระบบอื่นได้เลยครับ แม้คุณจะไม่เคยเปิดหน้าต่างโปรแกรมขึ้นมาใช้งานเลยในวันนั้น มัลแวร์ก็สามารถทำงานได้เพียงเพราะโปรแกรมเปิดระบบเบื้องหลังทิ้งไว้ตามปกติ ตามการวิเคราะห์ของ ManageEngine

ทำงานยังไง

กลไกของการโจมตีรอบนี้มีความน่าสนใจมากตรงที่ไม่มีการเจาะช่องโหว่ของโค้ดโปรแกรมเลยแม้แต่น้อย ไม่พบข้อผิดพลาดด้านหน่วยความจำ ไม่ต้องมีโค้ดระเบิดช่องโหว่ แต่คนร้ายใช้ฟังก์ชันการทำงานปกติที่ผู้ผลิตออกแบบไว้มาใช้เป็นเครื่องมือ ตามที่ระบุไว้ใน ManageEngine

โปรแกรม AOMEI Backupper จะมีโพรเซสเบื้องหลังที่คอยติดต่อไปยังเซิร์ฟเวอร์ผ่านการเชื่อมต่อแบบปลอดภัย HTTPS เพื่อดึงไฟล์ตั้งค่าสองไฟล์เป็นประจำ:

1. ไฟล์การอัปเดต ซึ่งระบุลิงก์สำหรับดาวน์โหลดแพ็กเกจไฟล์ซิป เลขเวอร์ชันใหม่ และค่าผลรวมแฮช (Checksum หรือ MD5) สำหรับตรวจสอบความถูกต้องของไฟล์ที่ดาวน์โหลดมา
2. ไฟล์การแจ้งเตือน ซึ่งกำหนดข้อความโปรโมชันหรือหน้าต่างป๊อปอัปที่จะแสดงผล รวมถึงคำสั่งที่อนุญาตให้โปรแกรมสั่งรันไฟล์ที่อยู่ในเครื่อง

จุดอ่อนร้ายแรงของการออกแบบระบบนี้คือ ตัวโปรแกรมฝั่งไคลเอนต์ไม่ได้ตรวจสอบลายเซ็นดิจิทัลทางคณิตศาสตร์ (Cryptographic Verification) ของไฟล์ตั้งค่าทั้งสองไฟล์นี้เลย และค่าแฮชที่ใช้ตรวจสอบว่าไฟล์ดาวน์โหลดมาถูกต้องหรือไม่นั้น ดันเขียนแปะอยู่ในไฟล์ตั้งค่าไฟล์เดียวกันที่ไม่มีการเซ็นกำกับความปลอดภัยใดๆ ทั้งสิ้น ตามที่ระบุใน ManageEngine และ The Hacker News

เพื่อให้เห็นภาพง่ายขึ้น ลองนึกภาพ “ร้านส่งเสบียงที่ใบสั่งของไม่มีลายเซ็น คนร้ายแอบเปลี่ยนใบสั่งแค่ 5 นาที ใครมารับของช่วงนั้นก็ได้ของปลอมกลับบ้าน” ปกติพนักงานส่งของจะเดินไปดูใบสั่งซื้อที่แปะไว้หน้าร้านว่า วันนี้ต้องส่งกล่องพัสดุกล่องไหน และกล่องนั้นต้องมีรหัสแปะไว้เลขอะไร แต่ใบสั่งซื้อนี้กลับไม่มีตรายางหรือลายเซ็นผู้จัดการร้านเลย คนร้ายจึงแอบเดินมาเปลี่ยนกระดาษใบสั่งซื้อหน้าร้านเพียงแค่ 5 นาที เขียนบอกว่าให้ไปหยิบกล่องพัสดุของคนร้ายมาส่งแทน พร้อมใส่รหัสที่ตรงกับกล่องของคนร้าย พนักงานที่เดินมาดูใบสั่งในช่วง 5 นาทีนั้นก็ตรวจเช็กรหัสตรงตามกระดาษเป๊ะ แล้วแบกกล่องระเบิดกลับไปส่งที่บ้านลูกค้า พอพ้น 5 นาที คนร้ายก็แอบเอากระดาษใบสั่งของแท้มาแปะคืน ใครมาตรวจหลังจากนั้นก็เห็นทุกอย่างเรียบร้อยดี ไม่มีพิรุธ

เมื่อไฟล์ซิปถูกโหลดลงมา โพรเซสของโปรแกรมจะแตกไฟล์ลงในเครื่อง จากนั้นไฟล์การแจ้งเตือนที่ถูกดัดแปลงจะสั่งให้โปรแกรมเปิดหน้าเนื้อหาภายใน ซึ่งมีคำสั่งสั่งรันไฟล์ติดตั้งตัวดาวน์โหลดที่แฝงมาทันทีโดยไม่ต้องรอให้ผู้ใช้คลิก ตามข้อมูลจาก ManageEngine

มัลแวร์ตัวดาวน์โหลดแรกที่มีชื่อว่า CROSSROAD จะทำการตรวจสอบสภาพแวดล้อมก่อน หากพบว่าเครื่องอยู่ในประเทศจีน หรือมีโปรแกรมรักษาความปลอดภัยบางตัวทำงานอยู่ มันจะหยุดการทำงานทันที แต่ถ้าผ่านเงื่อนไข มันจะทำการนำเครื่องมือควบคุมระยะไกล Radmin ซึ่งใช้ตัวติดตั้งของแท้ที่มีลายเซ็นถูกต้องมาใช้งานร่วมกับส่วนประกอบที่แอบแฝงไว้ เพื่อเปิดทางให้มัลแวร์ประตูลับ SHINYROAD ทำงาน และสร้างงานตั้งเวลาให้ทำงานซ้ำทุกๆ 3 ชั่วโมง ก่อนที่ตัวดาวน์โหลดจะทำการลบตัวเองออกจากระบบและเปลี่ยนไฟล์ตั้งค่าในเครื่องกลับเป็นค่าปกติเพื่อทำลายหลักฐาน ตามรายงานของ ManageEngine และ The Hacker News

จุดหักมุม: แค่หน้าต่างป๊อปอัป 1 พิกเซล ก็ดูดรหัสผ่าน Windows ได้โดยไม่ต้องรันไฟล์สักตัว

ความแยบยลของการโจมตีไม่ได้หยุดอยู่แค่การหลอกให้โหลดโปรแกรมไปรันครับ ในช่วงเวลาการแทรกแซงวันที่ 20 กรกฎาคม 2026 คนร้ายได้เพิ่มลูกเล่นใหม่ลงในไฟล์การแจ้งเตือน โดยเปลี่ยนจากแบนเนอร์โปรโมชันขนาดปกติ ให้กลายเป็นหน้าต่างป๊อปอัปขนาดจิ๋วเพียง 1x1 พิกเซลที่สายตามนุษย์แทบไม่มีทางมองเห็นบนหน้าจอ ตามการบันทึกของ Google Cloud Blog

หน้าต่างขนาด 1 พิกเซลนี้ถูกกำหนดค่าความสำคัญสูงสุด และสั่งให้โหลดเนื้อหาผ่านโพรโทคอล WebDAV จากเครื่องเซิร์ฟเวอร์ภายนอกของคนร้ายโดยตรง เมื่อระบบปฏิบัติการ Windows พยายามเชื่อมต่อไปดึงไฟล์จากเซิร์ฟเวอร์ภายนอกผ่านเส้นทางดังกล่าว Windows จะส่งค่าการยืนยันตัวตนของผู้ใช้ที่กำลังล็อกอินอยู่ในเครื่อง ซึ่งก็คือโทเคนรหัสผ่านแบบเข้ารหัสแฮชที่เรียกว่า NetNTLMv2 ออกไปให้เครื่องปลายทางโดยอัตโนมัติ ตามรายละเอียดใน Google Cloud Blog และ The Hacker News

จุดหักมุมตรงนี้ชวนขนลุกมากครับ เพราะต่อให้คอมพิวเตอร์ของคุณมีระบบตรวจจับไฟล์แปลกปลอมที่ยอดเยี่ยมจนมัลแวร์ดาวน์โหลดไม่สำเร็จ หรือโปรแกรมแอนติไวรัสบล็อกไฟล์ซิปไว้ได้ทัน แต่กระบวนการเปิดหน้าต่าง 1 พิกเซลนี้ไม่ได้มีการรันไฟล์โปรแกรมแปลกปลอมลงบนเครื่องเลยแม้แต่ตัวเดียว ส่งผลให้ข้อมูลล็อกอินและโทเคนรหัสผ่านประจำเครื่องของคุณสามารถรั่วไหลออกไปยังมือผู้ไม่หวังดีผ่านระบบเครือข่ายได้แบบเงียบสนิท โดยที่หน้าจอไม่แสดงอาการผิดปกติใดๆ ให้เห็นเลยครับ

เรื่องเงิน / ผลกระทบ

ผลกระทบจากการถูกเจาะผ่านห่วงโซ่อุปทานลักษณะนี้มีความรุนแรงและสร้างความเสียหายได้หลายมิติ:

1. ความเสียหายในเชิงปฏิบัติการและการสืบสวนระบบ: เมื่อเครื่องคอมพิวเตอร์ในองค์กรถูกฝังประตูลับ SHINYROAD แฮกเกอร์สามารถสั่งการรันคำสั่งใดๆ ก็ได้ตามอำเภอใจ การที่คนร้ายแฝงเครื่องมือควบคุมอย่าง Adaptix C2 ซึ่งปลอมตัวเป็นซอฟต์แวร์เอกสาร Nitro PDF เข้ามาเพิ่มเติมในบางเครื่อง ตามข้อมูลของ The Hacker News ทำให้ทีมไอทีไม่สามารถไว้วางใจระบบเดิมได้อีกต่อไป การตรวจสอบและฟื้นฟูระบบสำหรับองค์กรที่มีเครื่องลูกข่ายจำนวนมากต้องใช้ทรัพยากรและเวลาในการจัดการ
2. ความเสี่ยงจากการถูกแคร็กรหัสผ่าน: โทเคน NetNTLMv2 ที่รั่วไหลออกไปจากเทคนิคหน้าต่าง 1 พิกเซลนั้น คนร้ายสามารถนำไปทดลองถอดรหัส (Offline Hash Cracking) ได้โดยไม่ต้องยุ่งเกี่ยวกับเครื่องของเหยื่ออีก หากผู้ใช้ตั้งรหัสผ่านที่คาดเดาได้ง่าย รหัสผ่านนั้นอาจถูกถอดออกมาได้ และนำไปสู่การเข้าถึงบัญชีหรือระบบเครือข่ายเพิ่มเติม
3. การหลงคิดว่าปลอดภัย: ความเสียหายทางอ้อมที่น่ากลัวที่สุดคือ การที่ผู้ดูแลระบบหรือผู้ใช้เข้าใจผิดว่า เมื่อผู้พัฒนาแก้เซิร์ฟเวอร์แล้ว ตัวเองจะปลอดภัยโดยอัตโนมัติ การปล่อยให้เครื่องที่ติดมัลแวร์ไปแล้วยังคงทำงานต่อไปในระบบ เท่ากับเปิดประตูทิ้งไว้ให้ผู้ไม่หวังดีเข้าถึงเครื่องได้ตลอดเวลา

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ในการติดตามข่าวสารด้านความปลอดภัย ข้อมูลหลายส่วนยังมีประเด็นที่ต้องตรวจสอบความชัดเจนและความแตกต่างระหว่างรายงาน:

• ช่วงเวลาเริ่มต้นของการพบกิจกรรม (เมษายน vs พฤษภาคม): ในรายงานของ Google Cloud Blog ระบุว่าตรวจพบแคมเปญการแทรกแซงนี้ครอบคลุมช่วงเดือนเมษายนถึงกรกฎาคม 2026 และพบตัวอย่างมัลแวร์ที่เกี่ยวข้องถูกพบเห็นตั้งแต่ช่วงปลายเดือนเมษายน ขณะที่รายงานของ ManageEngine ระบุว่าระบบตรวจจับพฤติกรรมบนเครื่องลูกข่าย (EDR) ตรวจพบพฤติกรรมนี้ครั้งแรกเมื่อวันที่ 28 พฤษภาคม 2026 จากลูกค้ารายแรกๆ
• การยืนยันการควบคุมความปลอดภัยของเซิร์ฟเวอร์: AOMEI Technology แจ้งกับ Mandiant ว่าได้ดำเนินการแก้ไขและรักษาความปลอดภัยเซิร์ฟเวอร์แจกจ่ายไฟล์เรียบร้อยแล้วเมื่อวันที่ 29 กรกฎาคม 2026 แต่ทางห้องปฏิบัติการ ManageEngine ระบุว่า จนถึงวันที่เผยแพร่รายงาน พวกเขายังไม่สามารถยืนยันได้อย่างเป็นอิสระว่าปัญหาบนเซิร์ฟเวอร์ได้รับการควบคุมและปลอดภัยอย่างแท้จริงแล้วหรือไม่ ตามรายงานของ The Hacker News
• การแก้ไขกลไกยืนยันความถูกต้องในตัวโปรแกรม: จากการตรวจสอบบันทึกการเปลี่ยนแปลง (Changelog) ของ AOMEI Backupper โดยสำนักข่าว The Hacker News เมื่อวันที่ 16 ตุลาคม 2026 พบว่าจนถึงเวอร์ชัน 8.5.0 ซึ่งปล่อยออกมาเมื่อวันที่ 9 ตุลาคม 2026 ยังไม่มีรายการบันทึกว่ามีการปรับปรุงระบบตรวจสอบความถูกต้องของไฟล์อัปเดตด้วยลายเซ็นดิจิทัลแต่อย่างใด และยังไม่มีรายงานใดระบุถึงเวอร์ชันที่ปิดช่องโหว่ด้านสถาปัตยกรรมนี้ ตามข้อมูลใน The Hacker News
• เวอร์ชันของโปรแกรมที่ได้รับผลกระทบ: ทั้งสองรายงานไม่ได้ระบุรายการเวอร์ชันของ Backupper ที่ได้รับผลกระทบทั้งหมดอย่างเป็นทางการ โดยห้องปฏิบัติการของ ManageEngine ใช้เวอร์ชัน 8.3.0 ในการจำลองและตรวจสอบพฤติกรรม ตามที่ระบุใน ManageEngine
• ผลกระทบต่อประเทศไทย: ในรายชื่อ 11 ประเทศที่ทาง GTIG ระบุว่าพบองค์กรที่ได้รับผลกระทบนั้น มีประเทศสิงคโปร์รวมอยู่ด้วย แต่ไม่มีรายชื่อของประเทศไทยปรากฏอยู่ในรายงาน อย่างไรก็ตาม GTIG ระบุชัดเจนว่าการโจมตีนี้เป็นแบบเหวี่ยงแหตามจังหวะเวลา (Opportunistic) และไม่มีใครเผยแพร่รายชื่อเหยื่อทั้งหมดอย่างสมบูรณ์ จึงมีความเป็นไปได้อย่างมากที่จำนวนผู้ได้รับผลกระทบที่แท้จริงจะกว้างขวางกว่ารายชื่อที่ระบุไว้ ตามรายงานของ Google Cloud Blog และ The Hacker News
• ที่มาของผู้โจมตี: กลุ่มผู้โจมตีที่ใช้รหัส UNC7017 ยังไม่มีการระบุตัวตนว่าเป็นกลุ่มแฮกเกอร์ของประเทศใดหรือมีความเชื่อมโยงกับกลุ่มที่เคยรู้จักมาก่อนอย่างเป็นทางการ อ้างอิงจาก The Hacker News

แล้วเราควรทำอะไร

เนื่องจากการแก้ไขเซิร์ฟเวอร์ของผู้ผลิตไม่ได้ช่วยลบมัลแวร์ออกจากเครื่องที่ถูกฝังไปแล้ว นี่คือขั้นตอนปฏิบัติที่ผมแนะนำให้แยกทำตามกลุ่มผู้อ่านครับ:

สำหรับผู้ใช้งานทั่วไปและคอมพิวเตอร์ที่บ้าน

1. ทำการสแกนเครื่องอย่างละเอียดทันที: หากเครื่องของคุณมีการติดตั้ง AOMEI Backupper หรือ AnyViewer ให้เปิดโปรแกรม Microsoft Defender หรือโปรแกรมแอนติไวรัสที่คุณใช้งานอยู่ แล้วสั่งทำการสแกนแบบเต็มระบบ (Full Scan) เพื่อตรวจหาไฟล์ต้องสงสัย
2. อย่าตัดสินความปลอดภัยจากหน้าเว็บดาวน์โหลดปัจจุบัน: อย่าดาวน์โหลดตัวติดตั้งปัจจุบันจากหน้าเว็บผู้ผลิตมาตรวจแล้วทึกทักเอาเองว่าเครื่องปลอดภัย เพราะหน้าเว็บของผู้ผลิตปล่อยไฟล์แท้ที่สะอาดอยู่เกือบตลอดเวลา ยกเว้นเฉพาะช่วง 5-10 นาทีที่คนร้ายเข้าแทรกแซงในอดีตเท่านั้น ตามคำเตือนใน The Hacker News
3. พิจารณาเรื่องหน้าต่างป๊อปอัปและการเปิดโปรแกรม: พิจารณาดูว่าจำเป็นต้องเปิดให้โปรแกรมทำงานเบื้องหลังหรือแสดงป๊อปอัปแจ้งเตือนการอัปเดตตลอดเวลาหรือไม่ หากไม่จำเป็นอาจปรับการตั้งค่าหรือถอนการติดตั้งหากไม่ได้ใช้งาน เพื่อลดโอกาสตกเป็นเป้าหมาย
4. ประสานงานหากเป็นเครื่องทำงาน: หากโปรแกรมนี้ถูกติดตั้งอยู่บนคอมพิวเตอร์สำหรับทำงาน ให้รีบแจ้งแผนกไอทีทันทีเพื่อความปลอดภัย

สำหรับทีมผู้ดูแลระบบและฝ่ายไอที (IT Teams & Admins)

1. ย้อนตรวจสอบข้อมูลย้อนหลัง (Threat Hunting): ดำเนินการตรวจสอบประวัติการทำงานของระบบย้อนหลังครอบคลุมตั้งแต่ช่วงเดือนเมษายนถึงกรกฎาคม 2026 อย่าตรวจสอบเฉพาะช่วงเวลาสั้นๆ โดยนำกฎการตรวจจับอย่าง YARA จาก GTIG หรือ Sigma จาก ManageEngine มาประยุกต์ใช้ในการค้นหา ตามที่เผยแพร่ไว้ใน Google Cloud Blog และ ManageEngine
2. บล็อกการเชื่อมต่อขาออกที่ไม่จำเป็น: สั่งปิดกั้นการเชื่อมต่อขาออก (Outbound) ไปยังอินเทอร์เน็ตสำหรับโพรโทคอล SMB และโพรโทคอล WebDAV ที่ระดับเครือข่าย เพื่อสกัดกั้นเทคนิคการล่อส่งโทเคนยืนยันตัวตนของผู้ใช้ไปยังภายนอก ตามคำแนะนำของ The Hacker News
3. บล็อกโครงสร้างพื้นฐานของคนร้ายตามรายงาน: ให้ผู้ดูแลระบบเข้าไปดูรายการตัวบ่งชี้ภัยคุกคาม (IOCs) และโดเมนต้องสงสัยจากรายงานต้นฉบับของ Google Cloud Blog และ ManageEngine เพื่อนำไปกำหนดค่านโยบายบล็อกบนไฟร์วอลล์และระบบความปลอดภัย
4. เก็บรักษาไฟล์แคชเพื่อการตรวจสอบ: หากตรวจพบการแจ้งเตือนจากระบบ อย่าเพิ่งด่วนลบไฟล์ในโฟลเดอร์แคชของโปรแกรม AOMEI ทิ้ง เพราะไฟล์เหล่านั้นเป็นหลักฐานสำคัญที่จะช่วยยืนยันว่าเครื่องได้รับแพ็กเกจแปลกปลอมมาจากเซิร์ฟเวอร์ในช่วงเวลาดังกล่าวจริงหรือไม่ ตามคำแนะนำใน The Hacker News

ผมมองว่า…

ผมมองว่ากรณีนี้เป็นสัญญาณเตือนภัยระดับสีแดงที่น่ากลัวมากสำหรับโลกซอฟต์แวร์ยุคปัจจุบันครับ สิ่งที่เราเห็นที่นี่ไม่ใช่ความผิดพลาดของผู้ใช้งานที่ประมาท แต่คือความล้มเหลวเชิงสถาปัตยกรรมความปลอดภัยขั้นพื้นฐานของผู้พัฒนาซอฟต์แวร์

เราอยู่ในยุคที่ทุกคนรณรงค์ให้ผู้ใช้หมั่นอัปเดตโปรแกรมอย่างสม่ำเสมอ แต่เมื่อระบบอัปเดตเองกลับไม่มีระบบตรวจสอบความถูกต้องด้วยลายเซ็นดิจิทัลที่น่าเชื่อถือ ผลลัพธ์จึงกลายเป็นว่า ยิ่งผู้ใช้เชื่อฟังและเปิดระบบอัปเดตทิ้งไว้ กลับยิ่งเพิ่มความเสี่ยงให้ตัวเองโดยไม่รู้ตัว

นอกจากนี้ การที่คนร้ายเปลี่ยนกลยุทธ์จากการแฮกเซิร์ฟเวอร์แล้วฝังมัลแวร์ทิ้งไว้ยาวๆ มาเป็นการแทรกแซงช่วงสั้นๆ เพียง 5 ถึง 10 นาทีแล้วสลับกลับ ทำให้ระบบตรวจจับแบบเดิมๆ ที่แวะเข้ามาสแกนวันละครั้งหรือสแกนเป็นจุดเวลา (Point-in-time scanning) กลายเป็นเครื่องมือที่ตรวจไม่พบความผิดปกติ เพราะพอระบบอัตโนมัติวิ่งเข้ามาตรวจ ทุกอย่างก็ดูเป็นไฟล์แท้ปกติไปหมดแล้ว ผู้ดูแลระบบจึงต้องตระหนักว่า การที่เครื่องยังทำงานได้ตามปกติ ไม่ได้แปลว่าจะไม่มีสิ่งแปลกปลอมแฝงตัวอยู่ครับ

ปิดท้าย: สิ่งที่ต้องจับตา

สิ่งที่ชุมชนความปลอดภัยและผู้ใช้งานต้องติดตามต่อจากนี้มีอยู่ 3 ประเด็นหลักครับ:

ประเด็นแรกคือ ผู้พัฒนาซอฟต์แวร์ AOMEI จะปล่อยอัปเดตเวอร์ชันใหม่ที่ยกเครื่องระบบตรวจสอบความถูกต้องของไฟล์ตั้งค่าและแพ็กเกจด้วยลายเซ็นดิจิทัลทางคณิตศาสตร์อย่างเป็นทางการเมื่อใด เพราะตราบใดที่ตัวโปรแกรมไคลเอนต์ยังยอมรับไฟล์ข้อความธรรมดาที่ไม่มีลายเซ็น ช่องทางนี้ก็ยังคงเป็นจุดเสี่ยงอยู่เสมอ

ประเด็นที่สองคือ กลุ่มแฮกเกอร์ UNC7017 จะนำเทคนิคการแทรกแซงช่วงสั้นแบบชั่วคราว (Ephemeral Tampering) ไปใช้กับโครงสร้างพื้นฐานของโปรแกรมยอดนิยมรายอื่นๆ อีกหรือไม่ เพราะเมื่อเทคนิคนี้พิสูจน์แล้วว่าหลบหลีกการตรวจจับของนักวิจัยได้นานหลายเดือน แฮกเกอร์กลุ่มอื่นย่อมพร้อมที่จะลอกเลียนแบบพฤติกรรมนี้

ประเด็นสุดท้ายคือ การเฝ้าระวังการรั่วไหลของข้อมูลยืนยันตัวตนผ่าน WebDAV จากหน้าต่างแจ้งเตือน 1 พิกเซล ซึ่งแสดงให้เห็นว่าผู้โจมตีสามารถดึงข้อมูลสำคัญออกไปได้โดยไม่ต้องรันไฟล์โปรแกรมแปลกปลอมบนเครื่องเป้าหมายเลย

Recap

• แฮกเกอร์กลุ่ม UNC7017 แทรกแซงเซิร์ฟเวอร์อัปเดตของ AOMEI Backupper รอบละ 5–10 นาที เพื่อปล่อยมัลแวร์
• เครื่องที่เชื่อมต่อตรวจสอบอัปเดตตรงกับช่วงเวลาที่ถูกแทรกแซง จะถูกสั่งดาวน์โหลดและติดตั้งมัลแวร์ประตูลับ SHINYROAD ทันที
• การโจมตีไม่ได้ใช้ช่องโหว่ซอฟต์แวร์ แต่ใช้ช่องทางการรับไฟล์แจ้งเตือนตามปกติของโปรแกรมที่ขาดการตรวจสอบลายเซ็นดิจิทัล
• วันที่ 20 กรกฎาคม มีการใช้ทริกหน้าต่างป๊อปอัปขนาด 1x1 พิกเซล ดึงข้อมูลยืนยันตัวตน NetNTLMv2 ออกจากเครื่องโดยไม่ต้องรันไฟล์โปรแกรม
• พบองค์กรที่ได้รับผลกระทบใน 11 ประเทศ และคาดว่าจำนวนเหยื่อที่แท้จริงมีมากกว่าที่ตรวจพบ
• การที่ผู้พัฒนาแจ้งว่าแก้ไขเซิร์ฟเวอร์แล้ว ไม่ได้ช่วยลบมัลแวร์ออกจากเครื่องคอมพิวเตอร์ที่ถูกฝังไปก่อนหน้านั้น
• ผู้ใช้และผู้ดูแลระบบควรทำการสแกนเครื่องอย่างละเอียด และบล็อกการเชื่อมต่อขาออกสำหรับ SMB และ WebDAV ไปยังภายนอกทันที