Kimsuky ใช้ opencode สร้างเอกสารหลอก: เมทาดาทา creator=opencode
วันนี้เปิดอีเมลแล้วเจอไฟล์ชื่อคล้ายบิลประกันหรือประกาศกองทุน ผมอยากรู้ก่อนว่าไฟล์นั้นมาจากเครื่องมืออะไร ไม่ใช่แค่ชื่อเรื่องสวยครับ
รายงานของ Yonhap วันที่ 7 กันยายน 2026 อ้าง Genians ว่ากลุ่มแฮ็กที่เชื่อมกับเกาหลีเหนือชื่อ Kimsuky ใช้ AI coding agent แบบโอเพนซอร์สชื่อ opencode ช่วยสร้างเอกสารหลอก วิเคราะห์จากไฟล์มัลแวร์ 13 ไฟล์ที่เก็บได้เมื่อเดือนที่แล้ว
สัญญาณในเมทาดาทา
รายงานระบุว่าอีเมลแนบไฟล์บีบอัดที่มีเอกสารชื่อประมาณ insurance bills หรือ policy fund notice เมื่อผู้ใช้คลิก ไฟล์จะเปิดทางให้มัลแวร์ทำงาน
ใน PDF บางไฟล์ ช่อง creator และ producer ในเมทาดาทาถูกใส่เป็น opencode ซึ่งไม่ใช่ค่าปกติจากโปรแกรมสร้างเอกสารทั่วไป Genians มองว่าชี้ไปที่การสร้างผ่าน AI agent ด้วยการเขียนโปรแกรมมากกว่าทำมือทีละไฟล์ และบอกว่านี่เป็นครั้งแรกที่บริษัทตรวจพบร่องรอย Kimsuky ใช้ AI coding agent ในแคมเปญ (ก่อนหน้านี้เคยพบการใช้ LLM ช่วยร่าง decoy และวางแผน)
บทความนี้สรุปเฉพาะสิ่งที่แหล่งข่าวรายงาน ไม่มีขั้นตอนสร้างไฟล์หลอกหรือรันเพย์โหลด
สิ่งที่ผมทำกับอีเมลแปลก ๆ
- อย่าเปิดไฟล์แนบจากคนที่ไม่คาดว่าจะส่งบิล/ประกาศมา
- ถ้าต้องตรวจ PDF ให้ดูเมทาดาทาในเครื่องมืออ่านอย่างปลอดภัย ไม่ใช่ดับเบิลคลิกบนเครื่องงาน
- ส่งต่อให้ทีม security เมื่อชื่อไฟล์กับผู้ส่งไม่สัมพันธ์กัน
- อ่านรายละเอียดจาก Yonhap โดยตรงถ้าต้อง escalate
Recap
- ตรวจชื่อผู้ส่งและบริบทก่อนเปิดไฟล์แนบที่คล้ายเอกสารราชการหรือบิล
- creator/producer = opencode เป็นสัญญาณที่ Genians รายงาน ไม่ใช่หลักฐานเดียว
- อย่ารันไฟล์เพื่อ “ลองดู” บนเครื่องที่มีบัญชีงาน
- อ้างอิงแหล่งต้นทางเมื่อแจ้งทีม ไม่เดาเครื่องมืออื่นที่รายงานไม่พูดถึง