กลุ่ม Hacktivist ที่มีแรงจูงใจฝั่ง Pro-Ukraine ชื่อ Bearlyfy (หรือที่รู้จักในชื่อ Toy Ghouls, Labubu, Laboo.boo) ถูกระบุว่าใช้ Ransomware ที่พัฒนาขึ้นเองชื่อ GenieLocker โจมตีองค์กรในรัสเซียมากกว่า 70 แห่ง นับตั้งแต่กลุ่มเริ่มปรากฏตัวในเดือนมกราคม 2025 เหตุการณ์นี้สะท้อนแนวโน้มการนำ Ransomware มาใช้เป็นเครื่องมือปฏิบัติการที่มีแรงจูงใจทางภูมิรัฐศาสตร์ ไม่ใช่เพียงเพื่อผลประโยชน์ทางการเงินเท่านั้น
ความเป็นมาของกลุ่ม Bearlyfy
Bearlyfy เป็นกลุ่ม Extortion แบบ Dual-purpose ที่มีเป้าหมายทั้งด้านการเงินและการก่อกวนสร้างความเสียหาย (Extortion + Sabotage) มุ่งเป้าโจมตีธุรกิจในรัสเซียเป็นหลัก ในช่วงแรกกลุ่มนี้ใช้ Ransomware ของผู้อื่นในการโจมตี เช่น RedAlert, LockBit และ Babuk ก่อนที่จะพัฒนา GenieLocker ซึ่งเป็น Ransomware ที่สร้างขึ้นเองขึ้นมาใช้งานตั้งแต่เดือนมีนาคม 2026
รายละเอียด GenieLocker Ransomware
GenieLocker มีรูปแบบการเข้ารหัสที่ได้แรงบันดาลใจจากตระกูล Venus/Trinity Ransomware และมีความสามารถรองรับหลายแพลตฟอร์ม ครอบคลุมทั้ง:
- Windows
- VMware ESXi
- Linux
การที่ Ransomware รองรับทั้ง 3 แพลตฟอร์มทำให้ผู้โจมตีสามารถขยายผลกระทบไปยังทั้งเครื่อง Endpoint และโครงสร้างพื้นฐาน Virtualization ขององค์กรเป้าหมายได้ในคราวเดียว
กลุ่มเป้าหมายและรูปแบบการโจมตี
Bearlyfy มุ่งเป้าโจมตีองค์กรในภาคการผลิต การเงิน ค้าปลีก และเทคโนโลยีของรัสเซียเป็นหลัก โดยกระบวนการโจมตีเริ่มจากการเข้าถึงระบบของเหยื่อ จากนั้นเข้าควบคุมเครื่อง Windows และเข้ารหัสข้อมูลเพื่อเรียกค่าไถ่ พร้อมใช้เครื่องมือที่พัฒนาขึ้นเองสำหรับการแพร่กระจายภายในเครือข่ายและหลีกเลี่ยงการตรวจจับ
จากการติดตามพบว่ากลุ่มนี้มีพัฒนาการต่อเนื่องทั้งในแง่ขนาดของเป้าหมายและความซับซ้อนของเทคนิค ปัจจุบันเริ่มมุ่งเป้าองค์กรขนาดใหญ่ขึ้นและเรียกค่าไถ่ในจำนวนที่สูงขึ้นตามลำดับ
ผลกระทบที่อาจเกิดขึ้น
- ข้อมูลสำคัญขององค์กรถูกเข้ารหัสและไม่สามารถเข้าถึงได้ จนกว่าจะจ่ายค่าไถ่หรือกู้คืนจากสำรองข้อมูล
- ความเสียหายที่ขยายวงกว้างครอบคลุมทั้ง Windows, ESXi และ Linux เนื่องจาก GenieLocker รองรับหลายแพลตฟอร์มพร้อมกัน ต่างจาก Ransomware ทั่วไปที่มักมุ่งเป้าเฉพาะ Windows
- การหยุดชะงักของการดำเนินธุรกิจ โดยเฉพาะองค์กรที่พึ่งพาระบบ Virtualization เป็นโครงสร้างพื้นฐานหลัก
- แรงจูงใจแบบผสมทำให้พฤติกรรมการโจมตีคาดเดายากกว่า Ransomware Group ทั่วไป เนื่องจากกลุ่มนี้อาจให้ความสำคัญกับการสร้างความเสียหายมากกว่าผลตอบแทนทางการเงินในบางกรณี
สิ่งที่องค์กรควรทำ
- เฝ้าระวังการเข้าถึงระบบที่ผิดปกติและการเคลื่อนย้ายภายในเครือข่าย (Lateral Movement) โดยเฉพาะสัญญาณที่นำไปสู่การเข้าควบคุมเครื่อง Windows
- สำรองข้อมูลอย่างสม่ำเสมอและเก็บสำเนาแยกออกจากเครือข่ายหลัก ในรูปแบบ Offline หรือ Immutable Backup เพื่อป้องกันไม่ให้สำรองข้อมูลถูกเข้ารหัสไปพร้อมกับระบบหลัก
- ตรวจสอบว่าระบบ ESXi และ Linux Server มีมาตรการป้องกัน Ransomware ครอบคลุมเทียบเท่า Windows หรือไม่ เนื่องจาก GenieLocker ออกแบบมาให้โจมตีได้ทั้ง 3 แพลตฟอร์ม
- อัปเดตระบบรักษาความปลอดภัยและ Patch ช่องโหว่ที่ทราบแล้วอย่างสม่ำเสมอ เพื่อลดพื้นผิวการโจมตีเบื้องต้นที่กลุ่มนี้อาจใช้เข้าถึงระบบ
แนวทางลดความเสี่ยงระยะยาว
1. ทำ Network Segmentation แยกระบบ Virtualization ออกจากเครือข่ายทั่วไป
ลดโอกาสที่ Ransomware จะแพร่กระจายจากเครื่อง Endpoint ไปยังโครงสร้างพื้นฐาน ESXi ได้ง่าย
2. ทดสอบแผน Disaster Recovery และ Backup Restoration เป็นประจำ
เพื่อให้มั่นใจว่าองค์กรสามารถกู้คืนระบบได้จริงภายในเวลาที่เหมาะสมหากถูกโจมตีด้วย Ransomware ที่รองรับหลายแพลตฟอร์ม
3. ติดตามข่าวกรองด้าน Threat Intelligence เกี่ยวกับกลุ่ม Hacktivist ที่มีแรงจูงใจทางภูมิรัฐศาสตร์
เนื่องจากกลุ่มลักษณะนี้อาจขยายเป้าหมายไปยังภูมิภาคอื่นตามสถานการณ์ความขัดแย้งที่เปลี่ยนแปลงไป
4. เสริมความแข็งแกร่งของการป้องกัน ESXi และ Hypervisor โดยเฉพาะ
เนื่องจาก Ransomware ที่มุ่งเป้า Virtualization Infrastructure มีแนวโน้มเพิ่มขึ้น และมักสร้างผลกระทบรุนแรงกว่าการโจมตีเครื่อง Endpoint เดี่ยวๆ
วิเคราะห์ในมุมมองจาก TXEC
กรณีของ Bearlyfy เป็นตัวอย่างที่ชัดเจนของแนวโน้มที่ Ransomware กำลังถูกนำมาใช้เป็นเครื่องมือในปฏิบัติการที่มีแรงจูงใจทางภูมิรัฐศาสตร์มากขึ้นเรื่อยๆ ไม่ใช่เพียงเครื่องมือหาผลประโยชน์ทางการเงินแบบดั้งเดิม การที่กลุ่มพัฒนา Ransomware ของตนเองแทนการใช้บริการ Ransomware-as-a-Service ทั่วไป และขยายความสามารถให้ครอบคลุมทั้ง Windows, ESXi และ Linux สะท้อนถึงศักยภาพทางเทคนิคที่เพิ่มขึ้นของกลุ่มลักษณะนี้
แม้เป้าหมายหลักของ Bearlyfy จะเป็นองค์กรในรัสเซีย แต่ TXEC มองว่าองค์กรในภูมิภาคอื่นไม่ควรมองข้ามความเสี่ยงนี้ เนื่องจากรูปแบบการโจมตีที่รองรับหลายแพลตฟอร์มพร้อมกันเป็นเทคนิคที่มีแนวโน้มถูกกลุ่มอื่นนำไปปรับใช้ต่อ โดยเฉพาะองค์กรที่พึ่งพา Virtualization Infrastructure อย่าง ESXi เป็นหลักในการดำเนินธุรกิจ ควรทบทวนมาตรการป้องกัน Ransomware ให้ครอบคลุมทุกแพลตฟอร์มที่ใช้งานจริง ไม่ใช่มุ่งเน้นเฉพาะ Windows Endpoint เพียงอย่างเดียวเหมือนที่ผ่านมา
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: The Hacker News, Securelist, The Record, OpenText Cybersecurity ]