ในช่วงปลายปี 2025 ถึงต้นปี 2026 วงการไอทีโลกต้องเผชิญกับคลื่นการโจมตีครั้งใหญ่ที่มุ่งเป้าไปที่สภาพแวดล้อม Cloud-Native โดยเฉพาะ นักวิจัยด้านความปลอดภัยตรวจพบแคมเปญระบาดรุนแรงที่นำโดยกลุ่มภัยคุกคามหน้าใหม่แต่ฝีมือฉกาจที่ชื่อว่า TeamPCP (หรือที่รู้จักในนาม DeadCatx3 และ ShellForce)
ความน่ากลัวของกลุ่มแฮกเกอร์รายนี้ ไม่ได้อยู่ที่การใช้เทคนิคชั้นสูงที่ไม่มีใครรู้จัก แต่คือการใช้ "เวิร์มอัจฉริยะ" (Worm-driven) ที่สามารถแพร่กระจายตัวเองได้โดยอัตโนมัติผ่านช่องโหว่และจุดอ่อนที่องค์กรมักมองข้าม เพื่อเปลี่ยนระบบคลาวด์คุณภาพสูงให้กลายเป็นฐานทัพในการส่งต่อภัยคุกคาม (C2 Relay), การขุดเหรียญคริปโต และการเรียกค่าไถ่ข้อมูลอย่างเป็นระบบ
เจาะลึกวิถีการโจมตีของ DeadCatx3 ใครคือเหยื่อรายต่อไป?
ปฏิบัติการของ ShellForce เริ่มต้นอย่างชัดเจนในช่วงคริสต์มาสปี 2025 โดยมุ่งเป้าไปที่บริการยอดนิยมบน Cloud ที่มักถูกตั้งค่าผิดพลาด (Misconfiguration) หรือไม่ได้อัปเดตแพตช์ความปลอดภัย ช่องทางหลักที่เวิร์มตัวนี้ใช้เจาะเข้าสู่หัวใจของธุรกิจประกอบด้วย
- Exposed Docker & Kubernetes APIs: การเปิดพอร์ต API ทิ้งไว้โดยไม่มีการควบคุมการเข้าถึงที่รัดกุม
- Ray Dashboards & Redis Servers: แพลตฟอร์มจัดการข้อมูลและ AI ที่มักเปิดเป็นสาธารณะโดยไม่ตั้งใจ
- React2Shell (CVE-2025-55182): ช่องโหว่ระดับวิกฤต (CVSS 10.0) ในเฟรมเวิร์ก React/Next.js ที่ช่วยให้แฮกเกอร์รันคำสั่งจากระยะไกลได้ทันที
จากข้อมูลการสำรวจพบว่า ผู้ไม่หวังดีกลุ่มนี้ มักพุ่งเป้าไปที่สภาพแวดล้อมบน Amazon Web Services (AWS) และ Microsoft Azure เป็นหลัก โดยการโจมตีมีลักษณะเป็นแบบฉวยโอกาส (Opportunistic) หมายความว่าหากระบบของคุณมีช่องโหว่ คุณจะกลายเป็น "เหยื่อโดยบังเอิญ" ที่แฮกเกอร์จะยึดเครื่องไปใช้งานทันที
วงจรของเวิร์ม จากช่องโหว่เล็กๆ สู่การยึดครองระดับคลัสเตอร์
สิ่งที่ทำให้ ภัยคุกคามสายพันธุ์นี้ โดดเด่นและอันตรายคือการรวมศูนย์เครื่องมือ (Operational Integration) ที่ทำงานสอดประสานกันอย่างลงตัว
1. การแพร่กระจายและฝังตัว (Infection & Persistence)
เมื่อเจาะเข้าสู่ระบบได้แล้ว เวิร์มจะส่งสคริปต์ "proxy.sh" เข้าไปทำงาน ความฉลาดของมันคือการตรวจสอบสภาพแวดล้อม (Fingerprinting) หากพบว่ารันอยู่ใน Kubernetes มันจะเปลี่ยนโหมดการทำงานและใช้ payload เฉพาะทางที่ชื่อว่า "kube.py" เพื่อเก็บข้อมูล Credential ของคลัสเตอร์ และสร้างพ็อด (Pod) พิเศษที่ได้รับสิทธิ์สูง (Privileged Pod) ฝังตัวอยู่ทุก Node เพื่อเป็นประตูลับ (Backdoor) ถาวร
2. การขยายอาณาจักร (Self-Propagation)
เวิร์มจะรันสคริปต์ "scanner.py" และ "pcpcat.py" เพื่อสแกนหาช่วง IP (CIDR lists) ขนาดใหญ่บนอินเทอร์เน็ต เพื่อค้นหาเครื่องใหม่ๆ ที่มีช่องโหว่ Docker หรือ Ray และทำซ้ำกระบวนการเดิมเพื่อขยายฐานทัพอาชญากรรมออกไปเรื่อยๆ
3. การทำเงิน (Monetization)
เมื่อยึดเครื่องได้จำนวนมาก TeamPCP จะเริ่มกระบวนการทำเงินผ่าน 3 ช่องทางหลัก คือ
- Proxy & C2 Relays: ใช้เครื่องของเหยื่อเป็นทางผ่านในการโจมตีผู้อื่น เพื่อปกปิดตัวตนของแฮกเกอร์
- Cryptojacking: รันสคริปต์ขุดเหรียญคริปโต (mine.sh) โดยใช้ทรัพยากร CPU/GPU ขององค์กรคุณ
- Extortion & Data Theft: ขโมยฐานข้อมูลบริษัทและนำไปประกาศขายหรือเรียกค่าไถ่ผ่านช่องทาง Telegram ของกลุ่มที่มีสมาชิกกว่า 700 คน
ทำไมความปลอดภัยแบบเดิมถึง "เอาไม่อยู่"?
นักวิจัยจาก Flare ระบุว่า TeamPCP ไม่ได้เน้นความแปลกใหม่ทางเทคนิค แต่เน้นที่ "ขนาดและความเร็ว" (Scale & Speed) การนำเครื่องมือ Open-source มาดัดแปลงเพียงเล็กน้อยแต่ทำงานร่วมกันได้อย่างสมบูรณ์ ทำให้ระบบป้องกันแบบ Signature-based ทั่วไปตรวจจับได้ยาก เพราะพฤติกรรมของเวิร์มดูเหมือนการทำงานของ Admin ปกติที่เข้ามาจัดการ Container หรือสแกนเครือข่าย
นอกจากนี้ การที่แฮกเกอร์เปลี่ยนโครงสร้างพื้นฐานที่ถูกยึดให้กลายเป็น "ระบบนิเวศอาชญากรรมที่ขยายตัวได้เอง" (Self-propagating ecosystem) ทำให้การกำจัดทำได้ยาก หากคุณจัดการที่ Node หนึ่ง เวิร์มจาก Node อื่นในคลัสเตอร์อาจจะกลับมาฝังตัวใหม่ได้ทันที