603/69 (IT) ประจำวันพุธที่ 4 พฤศจิกายน 2569
บริษัท Bitdefender เปิดเผยรายงานการโจมตีทางไซเบอร์ต่อเครือข่ายระบบ IT ของโรงเรียนแห่งหนึ่งในสหราชอาณาจักร โดยผู้โจมตีที่เกี่ยวข้องกับกลุ่ม 3AM Ransomware สามารถเข้าถึงเครื่องคอมพิวเตอร์เกือบ 50 เครื่องผ่านอุปกรณ์ที่ไม่ได้อยู่ภายใต้การบริหารจัดการขององค์กร (Unmanaged Host) และเข้ารหัสข้อมูลบนเครื่องได้สำเร็จประมาณ 37 เครื่อง โดยพบกิจกรรมการโจมตีระหว่างวันที่ 10–19 กันยายน 2569 ทั้งนี้ นักวิจัยตั้งข้อสังเกตว่าผู้โจมตีอาจใช้ Artificial Intelligence (AI) ช่วยสร้างคำสั่งและดำเนินการโจมตีในลักษณะ Agentic Loop เนื่องจากพบการส่งคำสั่งซ้ำหลายครั้ง โดยมีการปรับเปลี่ยนรายละเอียดเล็กน้อยในแต่ละครั้ง และมีช่วงเวลาห่างกันประมาณ 40–100 วินาที อย่างไรก็ตาม Bitdefender ระบุว่ายังไม่สามารถยืนยันได้ว่ามีการใช้ AI จริงหรือไม่ เนื่องจากไม่สามารถเข้าถึงเครื่องต้นทางของผู้โจมตี จึงไม่สามารถระบุโมเดล AI หรือรูปแบบการใช้งานที่แน่ชัดได้
จากการตรวจสอบพฤติกรรมการโจมตีพบว่า ผู้โจมตีใช้ PowerShell Tool ที่ดัดแปลงจากเครื่องมือสาธารณะเพื่อดึงและถอดรหัส Credential ที่จัดเก็บอยู่บน Veeam Backup Server จำนวน 3 เครื่อง พร้อมคัดลอกฐานข้อมูล Chrome ที่มี Credential และใช้เครื่องมือ Mimikatz รวมถึง LSASS Memory Dumping เพื่อรวบรวมข้อมูลยืนยันตัวตนเพิ่มเติม จากนั้นดำเนินการสำรวจความสัมพันธ์ระหว่าง Domain และค้นหาข้อมูลใน Logon Script Folder ที่เชื่อมโยงกับโรงเรียนอื่น ก่อนสร้างบัญชี Domain Administrator สำหรับใช้เป็น Backdoor จำนวน 2 บัญชี ได้แก่ library และ svc_bkpmon นอกจากนี้ ผู้โจมตียังขโมยข้อมูลทางการเงินจากเครื่องที่ถูก Compromise และกำหนด Two-way Trust ระหว่าง Active Directory Domain จำนวน 3 Domain ที่เดิมแยกจากกัน เพื่อขยายขอบเขตการเข้าถึงระบบภายในเครือข่าย
ในขั้นตอนสุดท้าย ผู้โจมตีพยายามถอนการติดตั้งระบบป้องกัน Sophos และ Bitdefender บนเครื่องที่เข้าถึงได้ รวมถึงลบ System-state Backup ก่อนติดตั้ง 3AM Ransomware ซึ่งเป็นมัลแวร์เข้ารหัสข้อมูลที่พัฒนาด้วยภาษา Rust โดยสามารถเข้ารหัสเครื่องเป้าหมายได้ประมาณ 37 เครื่อง ทั้งนี้ กลุ่ม 3AM Ransomware เริ่มปรากฏตัวตั้งแต่ปี 2566 และเคยมีรายงานความเชื่อมโยงกับกลุ่ม Conti และ Royal Ransomware รวมถึงมีประวัติใช้เทคนิค Email Bombing และการโทรศัพท์แอบอ้างเป็นเจ้าหน้าที่ IT Support เพื่อเข้าถึงเครือข่ายองค์กร Bitdefender ระบุว่ารูปแบบการโจมตีครั้งนี้สะท้อนให้เห็นว่าผู้โจมตีอาจกำลังทดลองนำ AI มาใช้สนับสนุนกระบวนการโจมตีมากขึ้น ขณะที่ National Cyber Security Centre (NCSC) ของสหราชอาณาจักรได้เตือนให้องค์กรโครงสร้างพื้นฐานสำคัญเตรียมความพร้อมรับมือการโจมตี Ransomware ที่อาศัย AI ภายในปี 2571