596/69 (IT) ประจำวันจันทร์ที่ 2 พฤศจิกายน 2569
นักวิจัยด้านความมั่นคงปลอดภัยทางไซเบอร์จาก Kaspersky เปิดเผยรายงานการค้นพบการโจมตีที่มีความซับซ้อนสูง ซึ่งพุ่งเป้าไปยังหน่วยงานภาครัฐในภูมิภาคเอเชียโดยเฉพาะ มีรายงานว่าการโจมตีครั้งนี้ใช้เฟรมเวิร์กมัลแวร์รูปแบบใหม่ที่ชื่อว่า NetamLoader เพื่อเจาะระบบปฏิบัติการ Windows 10 รุ่นปรับแต่งพิเศษสำหรับใช้งานในหน่วยงานรัฐ เบื้องต้นคาดว่าอาจเป็นการโจมตีแบบ Supply Chain Attack โดยผู้ไม่ประสงค์ดีอาจเจาะระบบผ่านผู้ให้บริการภายนอกที่น่าเชื่อถือ เพื่อเข้าถึงผู้ใช้งานปลายทาง เหตุการณ์นี้แสดงให้เห็นถึงความเสี่ยงสำคัญต่อระบบโครงสร้างพื้นฐานด้านซอฟต์แวร์ของภาครัฐ แม้จะยังไม่สามารถระบุกลุ่มผู้โจมตีที่แน่ชัดหรือยืนยันความเสียหายของข้อมูลได้ในขณะนี้
จากการวิเคราะห์การทำงานของมัลแวร์พบว่า กระบวนการโจมตีถูกแบ่งออกเป็นสองระยะ โดยเริ่มต้นจากการซ่อนไฟล์บีบอัดประเภท CAB ไว้ในไดเรกทอรีสำหรับดาวน์โหลดอัปเดตของ Windows ในระยะแรกมัลแวร์จะใช้เทคนิค AppDomainManager Injection ผ่านการเรียกใช้งานไฟล์ที่ดูเหมือนถูกต้องอย่าง PatchMyPC-ScriptRunner.exe เพื่อหลอกให้ระบบประมวลผลไฟล์ PatchMyPC-ScriptRunner.exe.config ที่ถูกดัดแปลง จากนั้นระบบจะทำการโหลดไฟล์ Microsoft.HostIntegration.Connectors.dll เพื่ออ่านค่าจาก fabric.config และดึงโค้ดอันตรายที่ซ่อนอยู่ในไฟล์ Resources.resx ออกมาเพื่อเข้าสู่ระยะที่สอง ซึ่งเป็นกระบวนการถอดรหัสเพย์โหลดที่ซ้อนทับกันหลายชั้น โดยมัลแวร์มีการใช้ไฟล์ XAML (XAML-2-1) เพื่อทำการแพตช์และข้ามผ่านระบบตรวจจับมัลแวร์ของ Windows (AMSI) และมีการส่งต่อข้อมูลผ่าน .NET 1 Loader เพื่อเตรียมค่าคอนฟิกูเรชันสำหรับเชื่อมต่อกับเซิร์ฟเวอร์ควบคุม (C2 Server) โดยมัลแวร์จะอาศัยโปรเซสปกติของระบบอย่าง dllhost.exe ในการรัน .NET 2 Plugin เพื่อซ่อนพฤติกรรม ซุ่มรอเวลาอย่างแนบเนียน และลบร่องรอยการโจมตีทิ้งทั้งหมด
เหตุการณ์นี้เน้นย้ำให้เห็นถึงความท้าทายของการพัฒนาระบบปฏิบัติการใช้เองภายในประเทศ ที่แม้จะช่วยลดการพึ่งพาเทคโนโลยีจากต่างชาติ แต่ก็แลกมาด้วยความรับผิดชอบในการรักษาความมั่นคงปลอดภัยของระบบนิเวศทั้งหมดด้วยตนเอง สำหรับผู้ดูแลระบบและหน่วยงานที่เกี่ยวข้อง ขอแนะนำให้เพิ่มความเข้มงวดในการเฝ้าระวังระบบ โดยเฉพาะการตรวจสอบไฟล์แปลกปลอมในไดเรกทอรี C:\Windows\SoftwareDistribution\Download\ และพฤติกรรมการทำงานที่ผิดปกติของโปรเซส dllhost.exe นอกจากนี้ ควรตรวจสอบความถูกต้องของไฟล์ที่เกี่ยวข้องกับซอฟต์แวร์จัดการปลายทางภายในองค์กร และเฝ้าระวังการเชื่อมต่อเครือข่ายไปยังโดเมนอันตรายที่อาจเป็นเซิร์ฟเวอร์ควบคุม เพื่อลดความเสี่ยงและป้องกันการตกเป็นเหยื่อของการโจมตีในลักษณะนี้ในก้าวต่อไป
แหล่งข่าว : https://thehackernews.com/2026/11/netamloader-malware-targets-government.html