Kaspersky GReAT เผย หนึ่งในกลุ่ม APT ที่เคลื่อนไหวมากที่สุดที่มุ่งเป้าเอเชียแปซิฟิก แพร่มัลแวร์ผ่าน Claude ปลอม

ผู้ก่อคุกคามรายนี้ถูกตรวจพบโดยทีม GReAT เมื่อเดือนธันวาคม 2025 เป็นที่รู้จักกันดีในการใช้กลยุทธ์การส่งเพย์โหลดแบบหลายขั้นตอน และใช้โครงสร้างพื้นฐานแบบแบ่งส่วน โดยใช้ที่อยู่และโดเมนที่แตกต่างกันสำหรับแต่ละขั้นตอนของการโจมตี เทคนิคเหล่านี้ได้รับการออกแบบมาเพื่อลดความเสี่ยงในการถูกตรวจจับและป้องกันการปิดกั้นห่วงโซ่การโจมตีทั้งหมด

แคมเปญล่าสุดของกลุ่มแฮ็กเกอร์นี้มุ่งเป้าไปที่บริษัทต่างๆ ในอินเดีย อินโดนีเซีย แอฟริกาใต้ และรัสเซีย ในภาคอุตสาหกรรม บริการให้คำปรึกษา การค้า และการขนส่ง โดยใช้การส่งอีเมลฟิชชิงที่ปลอมตัวเป็นหนังสือแจ้งเตือนการตรวจสอบภาษีอย่างเป็นทางการ หรือกระตุ้นให้ผู้รับดาวน์โหลดไฟล์ที่อ้างว่ามี "รายการการละเมิดภาษี" โดยอาศัยความน่าเชื่อถือและความเร่งด่วนของการสื่อสารจากหน่วยงานด้านภาษี กลุ่มแฮ็กเกอร์พยายามโน้มน้าวให้เหยื่อดาวน์โหลดไฟล์และเริ่มกระบวนการโจมตี งานวิจัยของแคสเปอร์สกี้บันทึกอีเมลที่เป็นอันตรายมากกว่า 1,600 ฉบับระหว่างเดือนมกราคมถึงกุมภาพันธ์ 2026

ผลการค้นพบล่าสุดจากผู้เชี่ยวชาญ GReAT ชี้ว่า SilverFox กำลังใช้แอป Claude ปลอมเพื่อแทรกซึมเข้าไปในองค์กรเป้าหมาย Claude เป็นผู้ช่วยสนทนาขั้นสูง โมเดลภาษาขนาดใหญ่ (LLM) และแชทบอทที่พัฒนาโดย Anthropic ช่วยให้ผู้ใช้เขียนโค้ด วิเคราะห์เอกสารยาวๆ และแก้ปัญหาที่ซับซ้อนผ่านบทสนทนาที่เป็นธรรมชาติ

เย จิน (เซธ) หัวหน้านักวิจัยด้านความปลอดภัย ทีมวิจัยและวิเคราะห์ระดับโลก (GReAT) แคสเปอร์สกี้ กล่าวว่า "SilverFox เป็นหนึ่งในกลุ่มภัยคุกคามที่เคลื่อนไหวมากที่สุดในภูมิภาคเอเชียแปซิฟิก เข้าถึงเป้าหมายผ่านสามช่องทางง่ายๆ ได้แก่ เว็บไซต์ปลอม อีเมลฟิชชิง และไฟล์ที่เป็นอันตรายที่แพร่กระจายผ่านแอปพลิเคชันส่งข้อความโซเชียล พวกเขาฝังมัลแวร์ที่ใช้สำหรับการจารกรรมทางไซเบอร์ระยะยาวและการรวบรวมข้อมูลที่ละเอียดอ่อน การวิเคราะห์ล่าสุดของเราแสดงให้เห็นว่าขณะนี้แฮกเกอร์กำลังแพร่ Claude ปลอมสำหรับ Windows, macOS และ Linux โดยใช้ประโยชน์จากการใช้ AI ในบริษัทต่างๆ เพื่อเจาะระบบป้องกันความปลอดภัยของเป้าหมาย"

ในแง่ของการกระจายการโจมตี ภูมิภาคเอเชียแปซิฟิกได้รับผลกระทบหนักที่สุดจากกิจกรรมที่เป็นอันตรายของ SilverFox โดยมีปริมาณมากกว่าผลรวมของทุกภูมิภาคอื่นๆ อย่างมาก นี่แสดงให้เห็นว่าภัยคุกคามจาก SilverFox ในปัจจุบันส่วนใหญ่กระจุกตัวอยู่ในเอเชีย โดยเฉพาะอย่างยิ่งในเอเชียตะวันออกและเอเชียตะวันออกเฉียงใต้

"จากข้อมูลภัยคุกคามที่เรามีอยู่ในปัจจุบัน ภูมิภาคจีนแผ่นดินใหญ่เป็นเป้าหมายหลักของ SilverFox โดยกว่า 90% ของการโจมตีทั้งหมดมุ่งเป้าไปที่ภูมิภาคนี้ เฉพาะจีนแผ่นดินใหญ่เพียงแห่งเดียวคิดเป็น 71% นอกจากนี้ เมียนมาร์ กัมพูชา และสิงคโปร์ก็ถูกโจมตีเป็นจำนวนมากเช่นกัน ประเทศเหล่านี้คือจุดเสี่ยงต่อไปที่เราต้องจับตาดู" เย จิน กล่าวเสริม

เมื่อพูดถึงอุตสาหกรรม ภาคการผลิตคิดเป็นสัดส่วนมากกว่าหนึ่งในสามของการโจมตีทั้งหมด ทำให้เป็นอุตสาหกรรมเป้าหมายสูงสุดสำหรับ SilverFox ตามด้วยภาคไอทีและบริการต่าง ๆ นอกจากนี้นักวิจัย GReAT พบว่ามีฟิชชิงจำนวนมากที่มุ่งเป้าไปที่คนงานด้านเทคโนโลยี การดูแลสุขภาพและการเงินยังเผชิญกับความเสี่ยงใหญ่จากกลุ่มที่ทราบดีว่าติดตามเป้าหมายที่มีมูลค่าสูง

การโจมตีของ AI: ความเร็ว การซ่อนตัว และการเข้าถึง

เย จิน ยังได้พูดคุยเกี่ยวกับ JADEPUFFER ซึ่งเป็นแรนซัมแวร์ที่ขับเคลื่อนด้วย LLM ตัวแรกของโลก ซึ่งถือเป็นจุดเปลี่ยนสำคัญในภัยคุกคามทางไซเบอร์ ต่างจากการโจมตีก่อนหน้านี้ที่ AI เพียงเพิ่มผู้ปฏิบัติงานของมนุษย์เท่านั้น มันแสดงให้เห็นว่า AI ทำหน้าที่เป็นทั้งผู้มีอำนาจตัดสินใจและผู้ดำเนินการ

ในฐานะเอเจนต์แรนซัมแวร์ตัวแรก JADEPUFFER ได้ให้คำจำกัดความใหม่ทั้งความเร็วและความซับซ้อนของการโจมตีทางไซเบอร์โดยใช้ความสามารถของ AI แตกต่างจากการโจมตีทั่วไปที่ยังคงต้องอาศัยผู้ปฏิบัติงานในการตัดสินใจหรือปรับกลยุทธ์ การโจมตีนี้แสดงให้เห็นตัวอย่างในชีวิตจริงถึงวิธีการที่ภัยคุกคามที่ขับเคลื่อนด้วย AI สามารถวิเคราะห์ ปรับเปลี่ยน และดำเนินการโจมตีแบบเรียลไทม์

"ในกรณีนี้ ซึ่งเปิดเผยโดย Sysdig ของเรา AI agent ที่เป็นอันตรายได้ดำเนินการครบวงจรตั้งแต่การวินิจฉัยความพยายามที่ล้มเหลว การแก้ไขวิธีการ และการเปิดการโจมตีใหม่ในเวลาเพียง 31 วินาที ซึ่งเร็วกว่าความสามารถในการตอบสนองของผู้ป้องกันที่เป็นมนุษย์ส่วนใหญ่มาก นอกจากความเร็วแล้ว JADEPUFFER ยังแสดงให้เห็นถึงระดับความเป็นอิสระที่ไม่เคยมีมาก่อน มันแสดงให้เห็นว่า AI agent สามารถตัดสินใจได้อย่างอิสระตลอดกระบวนการโจมตี โดยจำลองการใช้เหตุผลของผู้โจมตีที่เป็นมนุษย์ที่มีประสบการณ์ได้อย่างมีประสิทธิภาพโดยไม่ต้องมีการกำกับดูแลโดยตรง" เย จิน อธิบาย

นอกเหนือจากความเร็วและความเป็นอิสระแล้ว การเพิ่มขึ้นของการใช้ AI ในการโจมตีทางไซเบอร์ยังสร้างกฎใหม่ในแง่ของการพรางตัวและการเข้าถึงอีกด้วย

เย จิน ได้อธิบายรายละเอียดกรณีของ ChatGPhish ซึ่งเป็นเทคนิคการแทรกข้อความแจ้งเตือนทางอ้อมที่เปลี่ยนคุณสมบัติการสรุปเว็บด้วย AI ที่เชื่อถือได้ (เช่น ChatGPT) ในการโจมตีเหล่านี้ อาชญากรไซเบอร์จะซ่อนคำสั่งที่เป็นอันตรายไว้ในหน้าเว็บและหลอกให้ผู้ใช้ขอให้ผู้ช่วย AI สรุปเนื้อหา จากนั้น AI จะส่งต่อคำสั่งหรือลิงก์ที่เป็นอันตรายโดยไม่รู้ตัว ทำให้มันกลายเป็นส่วนหนึ่งของการโจมตีโดยไม่ได้ตั้งใจ

เนื่องจากเนื้อหาที่เป็นอันตรายถูกนำเสนอผ่านอินเทอร์เฟซ AI ที่น่าเชื่อถือ ผู้ใช้จึงมีแนวโน้มที่จะเชื่อว่าปลอดภัยและคลิกที่ลิงก์ที่เป็นอันตรายหรือปฏิบัติตามคำสั่งที่เป็นอันตราย ในขณะเดียวกัน การโจมตีเหล่านี้ตรวจจับได้ยากสำหรับเครื่องมือรักษาความปลอดภัยแบบดั้งเดิม เนื่องจากดูเหมือนจะเป็นการโต้ตอบที่ถูกต้องตามกฎหมายระหว่างผู้ใช้และบริการ AI มากกว่าการโจมตีทางไซเบอร์แบบทั่วไป

มัลแวร์ AI ที่เป็นอันตรายยังช่วยลดความจำเป็นในการใช้ความรู้ทางเทคนิคในการโจมตีทางไซเบอร์ เรื่องนี้ได้รับการพิสูจน์แล้วจากการค้นพบเฟรมเวิร์กมัลแวร์ AI และคลาวด์เนทีฟ VoidLink ในเดือนมกราคม 2026

ต่างจากมัลแวร์แบบดั้งเดิมที่ส่วนใหญ่เขียนโดยนักพัฒนาที่เป็นมนุษย์ VoidLink ถูกพัฒนาขึ้นเกือบทั้งหมดด้วยความช่วยเหลือของ AI ซึ่งแสดงให้เห็นว่า AI แบบสร้างสรรค์กำลังเปลี่ยนแปลงวิธีการสร้างมัลแวร์ที่ซับซ้อนและทำให้เข้าถึงได้ง่ายขึ้น

ความจำเป็นในการป้องกันด้วย AI-Native

คุณต้องสู้กับไฟด้วยไฟ และในกรณีนี้ ผู้เชี่ยวชาญของแคสเปอร์สกี้แนะนำว่าผู้ป้องกันสามารถใช้ความสามารถของ AI เพื่อปกป้องเครือข่ายองค์กรและเครือข่ายที่สำคัญจากการโจมตีทางไซเบอร์ที่ขับเคลื่อนด้วย AI ได้เช่นกัน

แคสเปอร์สกี้ขอแนะนำ 4 วิธีที่องค์กรสามารถรับมือกับภัยคุกคามที่ซับซ้อนซึ่งขับเคลื่อนด้วย AI ดังนี้

1. การป้องกันเชิงรุก - ก้าวข้ามการตอบสนองแบบตั้งรับ และใช้การล่าภัยคุกคาม (threat hunting) ที่ขับเคลื่อนด้วย AI เพื่อค้นหาภัยคุกคามที่ไม่รู้จักอย่างเชิงรุก

2. สถาปัตยกรรม Zero Trust - นำสถาปัตยกรรม Zero Trust มาใช้ ตรวจสอบคำขอการเข้าถึงทุกรายการอย่างเข้มงวดเพื่อกำจัดความเสี่ยงด้านความน่าเชื่อถือของเครือข่ายภายใน

3. การป้องกันอย่างเป็นระบบ - สร้างระบบป้องกันที่ครอบคลุมทั้งเอ็นด์พอยต์ เน็ตเวิร์ก แอปพลิเคชัน และข้อมูล

4. AI ปะทะ AI - ใช้โมเดลขนาดใหญ่และเทคโนโลยี AI แบบใช้งานได้สองทางเพื่อเพิ่มประสิทธิภาพการตรวจจับและการตอบสนอง และปรับปรุงแบบเรียลไทม์ร่วมกับผู้โจมตี

"เมื่อผู้โจมตีสามารถใช้ AI เพื่อทำให้การตัดสินใจเป็นไปโดยอัตโนมัติและเร่งทุกขั้นตอนของการโจมตี ผู้ป้องกันต้องตอบโต้ด้วยความชาญฉลาดในระดับเดียวกัน โซลูชันด้านความปลอดภัยทางไซเบอร์ที่เสริมด้วยข้อมูลข่าวกรองภัยคุกคามที่อัปเดตอย่างต่อเนื่องจึงไม่ใช่เพียงแค่ข้อได้เปรียบในการแข่งขันอีกต่อไป แต่เป็นข้อกำหนดที่สำคัญสำหรับการก้าวล้ำหน้าภัยคุกคามที่พัฒนาอย่างรวดเร็ว" เย จิน กล่าวเสริม

• ข่าวเอเชียแปซิฟิก
• ข่าวแคสเปอร์สกี้
• ข่าวการโจมตีแบบ
• ข่าวอุตสาหกรรม
• ข่าวo:member