กลุ่มโจมตีนี้ใช้โมเดล AI หลากหลาย เช่น Gemini, Mistral, Nemotron, Llama, Claude, GPT-5.x, Grok, Kimi, GLM, DeepSeek, MiniMax, Qwen และอื่นๆ อีกมากมาย ซึ่งบางตัวถูกนำออกการฝึกด้านความปลอดภัยหรือวางตลาดว่าเป็นโมเดลที่ “ไม่มีการเซ็นเซอร์”
นักล่าภัยคุกคามของ SOCRadar พบพื้นที่ทำงานของกลุ่มนี้เมื่อเดือนที่แล้ว ซึ่งเป็นเซิร์ฟเวอร์ไฟล์ Python HTTP ที่เปิดเผยต่อสาธารณะในสวีเดน และได้บันทึกไดเรกทอรีที่เปิดเผยไว้ในภาพถ่ายเมื่อวันที่ 25 และ 26 กันยายน
กลุ่มนี้ซึ่งเป็นผู้เล่นหน้าใหม่ในธุรกิจการขโมยข้อมูลและการข่มขู่ ได้อ้างว่ามีเหยื่อถึง 108 ราย นับตั้งแต่เริ่มปฏิบัติการเมื่อเดือนที่แล้ว และเมื่อวันที่ 12 ตุลาคม ได้เพิ่มองค์กรด้านการเดินเรือ ท่าเรือ และโลจิสติกส์ 38 แห่งใน 18 ประเทศเข้ามาในเว็บไซต์ข้อมูลรั่วไหลของตน
ทุกกรณีที่เซิร์ฟเวอร์ที่เปิดเผยบันทึกไว้มีวงจรเดียวกัน คือ เริ่มจากการเข้าถึงครั้งแรก ไปจนถึงการสร้างความคงอยู่และการเก็บข้อมูลรับรองผ่านบัญชีผู้ดูแลระบบที่ซ่อนอยู่, พร็อกซีลับ, การขโมยข้อมูลรับรองและโทเค็นเซสชัน, กล่องจดหมาย และรหัสยืนยันตัวตนแบบมัลติแฟกเตอร์ทางอีเมล
ศัพท์ที่ควรรู้
- AI – ปัญญาประดิษฐ์ที่ถูกนำมาใช้เป็นเครื่องมือในการโจมตีและสร้างการข่มขู่
- SOCKS5 proxy pool – กลุ่มของเซิร์ฟเวอร์พร็อกซีที่อยู่อาศัยซึ่งถูกใช้เพื่อซ่อนและทดสอบการเข้าถึง
- FortiGate portals – พอร์ทัลรักษาความปลอดภัยที่ใช้เป็นเป้าหมายในการทดสอบข้อมูลรับรอง
- ChiBiTek – ผู้ให้บริการด้าน IT ที่ตั้งอยู่ในสหรัฐอเมริกาซึ่งตกเป็นเป้าหมายของการโจมตี
ที่มา: The Register