ไทยเป็นหนึ่งในเป้าหมายจารกรรมข้อมูลที่ใช้ DeepSeek และ Claude Code โจมตีด้วยมัลแวร์ TencShell

เว็บไซต์ hunt.io เผยแพร่บทวิเคราะห์ภัยคุกคาม เมื่อ 14 ก.ค.69 กรณีพบการโจมตีด้วยมัลแวร์ TencShell ในไต้หวัน สหรัฐฯ อัฟกานิสถาน และไทย เมื่อห้วง มิ.ย.69 ซึ่งกลุ่มแฮกเกอร์ใช้โมเดล AI DeepSeek-v4-pro และ Claude Code ร่วมกันในปฏิบัติการดังกล่าว โดยใช้ DeepSeek กำหนดคำสั่งและขั้นตอนการโจมตี แล้วใช้ Claude Code ควบคุมการรันคำสั่งผ่านเครื่องแม่ข่ายควบคุมสั่งการ (C2) จำนวน 13 เครื่องในฮ่องกง ที่เปิดเป็นไดเรกทอรีสาธารณะ (Open Directory) สำหรับจัดเก็บไฟล์โปรแกรมต่าง ๆ ซึ่งปรากฏข้อมูลคำสั่งควบคุมผ่านเว็บไซต์ หรือ  Webshell ที่ปลอมแปลงเป็นไฟล์รูปภาพ เพื่อรักษาการเข้าถึงระบบเครือข่ายของเหยื่อในระยะยาวด้วย เบื้องต้นสันนิษฐานว่าเป็นการโจมตีจากกลุ่มแฮกเกอร์ที่เชื่อมโยงกับจีน โดยเป้าหมายการโจมตีในไต้หวันประกอบด้วยหน่วยงานภาคโทรคมนาคม หน่วยงานภาคการขนส่ง บริษัทเทคโนโลยีเซมิคอนดักเตอร์และโดรน  ส่วนเป้าหมายในสหรัฐฯ และอัฟกานิสถาน เป็นหน่วยงานภาครัฐ ขณะที่เป้าหมายในไทยเป็นหน่วยงานภาคการศึกษา แห่งหนึ่ง ซึ่งพบว่าใช้วิธีปลอมแปลงคำสั่งฐานข้อมูล หรือ SQL Injection เพื่อหลบเลี่ยงมาตรการตรวจสอบสิทธิ์(Authentication Bypass) ทำให้เข้าถึงระบบบริหารจัดการของผู้ดูแลระบบ ซึ่งสามารถเข้าถึงข้อมูลภายใน ได้แก่ รายชื่อเลขประจำตัวประชาชน และตำแหน่งของพนักงานในองค์กร รวมถึงสามารถแก้ไขและเพิ่มบัญชีผู้ใช้งานในระบบได้มัลแวร์ TencShell มีทั้งเวอร์ชั่นที่ออกแบบมาสำหรับทำงานในระบบปฏิบัติการ Windows และ Linux/ARM บ่งชี้ถึงการมุ่งโจมตีเป้าหมายที่มีความหลากหลาย ทั้งอุปกรณ์คอมพิวเตอร์ปลายทางและระบบคลาวด์

นอกจากนี้ การใช้โมเดล DeepSeek และ Claude Code ทำงานร่วมกันแบบอัตโนมัติ (Agentic) ยังทำให้แฮกเกอร์สามารถวิเคราะห์ช่องโหว่และปรับแต่งคำสั่งการโจมตีให้สอดคล้องกับเป้าหมายได้อย่างเฉพาะเจาะจงและรวดเร็ว ในระดับเรียลไทม์ ซึ่งเกินขีดความสามารถในการป้องกันและตรวจจับแบบดั้งเดิมที่ใช้มนุษย์ดำเนินการ ดังนั้น จึงต้องเร่งปรับปรุงนโยบายเพื่อสนับสนุนทรัพยากรที่จำเป็นต่อการยกระดับมาตรการรับมือภัยคุกคามขั้นสูงดังกล่าว

Reference: ศูนย์ปฏิบัติการความมั่นคงปลอดภัยไซเบอร์ – สำนักข่าวกรองแห่งชาติ