CISA เพิ่มช่องโหว่ CVE-2026-68820 ใน Windows Ancillary Function Driver for WinSock (AFD.sys) เข้าสู่รายการ Known Exploited Vulnerabilities (KEV) เมื่อวันที่ 11 สิงหาคม 2569 หลังยืนยันว่าช่องโหว่ดังกล่าวถูกใช้โจมตีจริง โดยเป็นช่องโหว่ประเภท Use-After-Free (CWE-416) ที่เปิดโอกาสให้ผู้ไม่ประสงค์ดีซึ่งมีสิทธิ์เข้าถึงระบบในระดับ Local สามารถยกระดับสิทธิ์บน Windows ไปสู่ระดับ SYSTEM ได้ นักวิจัยจาก Check Point Research เชื่อมโยงการโจมตีนี้กับกลุ่ม Lazarus จากเกาหลีเหนือ ในแคมเปญ Operation Dream Job
รายละเอียดช่องโหว่
CVE-2026-68820 (CVSS 7.0) อยู่ใน AFD.sys ซึ่งเป็น Kernel Driver หลักที่รองรับการทำงานของ Windows Sockets API กลไกของช่องโหว่เกิดจาก Race Condition: เมื่อ 2 Thread แข่งกันเข้าถึง Socket State โดยไม่มีการ Synchronize ที่รัดกุมเพียงพอ ผู้โจมตีสามารถจับจังหวะเวลาเพื่อทำให้หน่วยความจำที่ถูกคืนไปแล้ว (Freed Memory) เสียหาย และได้รับ Kernel Read/Write Primitive ซึ่งเป็นจุดยืนที่อยู่ต่ำกว่ากลไกป้องกันของระบบปฏิบัติการเอง นำไปสู่สิทธิ์ระดับ SYSTEM เต็มรูปแบบ
ปัจจุบันยังไม่มีการเปิดเผยรายละเอียดทางเทคนิคของการโจมตี กลุ่มผู้ไม่ประสงค์ดี มัลแวร์ หรือ IOC เช่น IP Address, Domain และ Hash ที่เกี่ยวข้องอย่างเป็นทางการ อย่างไรก็ตาม Check Point Research รายงานว่าพบความเชื่อมโยงกับแคมเปญ Operation Dream Job ของกลุ่ม Lazarus ซึ่งดำเนินการดังนี้:
- ผู้โจมตีปลอมตัวเป็น Recruiter จากบริษัทชั้นนำ บนแพลตฟอร์มเครือข่ายอาชีพอย่าง LinkedIn
- หลอกล่อเหยื่อให้ดาวน์โหลด PDF Viewer ปลอม หรือ ไฟล์ Archive ของแอปพลิเคชันที่ฝังมัลแวร์
- เมื่อรันไฟล์ผ่านเทคนิค DLL Sideloading ตัว Downloader เริ่มต้นจะติดตั้ง Backdoor ที่คงอยู่ถาวร เช่น ForestTiger หรือ Troy
- Backdoor เหล่านี้จะกระตุ้น CVE-2026-68820 เพื่อยึดครองสิทธิ์ระบบระดับลึก และเก็บเกี่ยว Credential ที่อ่อนไหว
CISA กำหนดเส้นตายการแก้ไขภายในวันที่ 25 สิงหาคม 2569 สำหรับหน่วยงานที่อยู่ภายใต้ Binding Operational Directive (BOD) 26-04
ระบบที่ได้รับผลกระทบ
- ระบบ Windows ทุกเวอร์ชันที่มี Driver AFD.sys และยังไม่ได้รับแพตช์เดือนสิงหาคม 2569
- องค์กรและบุคลากรที่มีความเสี่ยงตกเป็นเป้าหมายของแคมเปญ Social Engineering ผ่าน LinkedIn โดยเฉพาะกลุ่มที่ทำงานด้าน Defense, Technology หรือ Cryptocurrency ซึ่งเป็นเป้าหมายหลักของ Lazarus ในอดีต
ผลกระทบที่อาจเกิดขึ้น
- ผู้โจมตีที่มีสิทธิ์เข้าถึงระบบระดับ Local สามารถยกระดับเป็นสิทธิ์ SYSTEM เต็มรูปแบบได้ เปิดทางควบคุมเครื่องได้อย่างสมบูรณ์
- เมื่อผนวกกับแคมเปญ Social Engineering ของ Lazarus ความเสี่ยงครอบคลุมตั้งแต่การหลอกลวงระดับบุคคลผ่าน LinkedIn ไปจนถึงการยึดครองระบบระดับ Kernel ภายในเครื่องเดียวกัน
- การขาดรายละเอียดทางเทคนิคและ IOC สาธารณะ ทำให้ทีมความปลอดภัยตรวจจับการโจมตีที่กำลังเกิดขึ้นได้ยากกว่าปกติในขณะนี้
- Backdoor ที่ติดตั้งไว้ (ForestTiger/Troy) มีลักษณะคงอยู่ถาวร แม้จะแพตช์ช่องโหว่แล้ว แต่หากเครื่องติดมัลแวร์ไปก่อนหน้า อาจยังคงมีการเข้าถึงที่หลงเหลืออยู่
สิ่งที่องค์กรควรทำ
- ติดตั้งแพตช์ของ Microsoft สำหรับ CVE-2026-68820 โดยเร็วที่สุด โดยเฉพาะหน่วยงานภาครัฐที่อยู่ภายใต้กำหนดเส้นตายของ CISA (25 สิงหาคม 2569)
- อบรมพนักงานให้ตระหนักถึงความเสี่ยงจากข้อเสนองานปลอมบน LinkedIn โดยเฉพาะการถูกชักชวนให้ดาวน์โหลด PDF Viewer หรือไฟล์ Archive จากแหล่งที่ไม่คุ้นเคยหรือไม่ผ่านช่องทางที่ตรวจสอบได้
- ตรวจสอบ Log การรัน DLL Sideloading และพฤติกรรมผิดปกติของ Process ที่ไม่รู้จัก โดยเฉพาะบนเครื่องของพนักงานที่เพิ่งเปิดไฟล์แนบหรือดาวน์โหลดโปรแกรมจากภายนอกเมื่อเร็วๆ นี้
- ตรวจสอบสัญญาณของ Backdoor ที่อาจติดตั้งไว้แล้ว เช่น ForestTiger หรือ Troy โดยเฉพาะในเครื่องของบุคลากรกลุ่มเป้าหมายของ Lazarus
แนวทางลดความเสี่ยงระยะยาว
1. จัดกระบวนการ Patch Kernel Driver ให้รวดเร็วเป็นพิเศษเมื่อ CISA เพิ่มเข้า KEV Catalog
ช่องโหว่ที่ยืนยันว่าถูกใช้โจมตีจริงและเชื่อมโยงกับกลุ่ม Nation-State ควรได้รับการแก้ไขเร่งด่วนกว่าช่องโหว่ทั่วไป
2. เสริมความรู้ด้าน Social Engineering ให้ครอบคลุมแพลตฟอร์มเครือข่ายอาชีพ ไม่ใช่แค่อีเมล
เนื่องจาก LinkedIn กลายเป็นช่องทางโจมตีที่กลุ่ม Nation-State ใช้บ่อยครั้งขึ้นในการเข้าหาเป้าหมายที่มีมูลค่าสูง
3. ใช้ Application Control หรือ Allowlist จำกัดการรันไฟล์ Executable จากแหล่งที่ไม่ผ่านการตรวจสอบ
ลดความเสี่ยงจากเทคนิค DLL Sideloading ที่ใช้ในแคมเปญ Operation Dream Job
4. ติดตามรายงานภัยคุกคามจากกลุ่ม Lazarus และ Nation-State อื่นอย่างต่อเนื่อง
เนื่องจากกลุ่มเหล่านี้มักปรับเปลี่ยนเทคนิคและใช้ช่องโหว่ Zero-Day ใหม่อย่างต่อเนื่องเพื่อคงการเข้าถึงเป้าหมายระยะยาว
วิเคราะห์ในมุมมองจาก TXEC
กรณีนี้เป็นตัวอย่างที่ชัดเจนของการผสมผสานระหว่างการโจมตีทางเทคนิคระดับ Kernel กับเทคนิค Social Engineering ที่ซับซ้อน กลุ่ม Lazarus ใช้ความน่าเชื่อถือของแพลตฟอร์มเครือข่ายอาชีพอย่าง LinkedIn เป็นจุดเริ่มต้น ก่อนไต่ระดับไปสู่การยึดครองระบบด้วยช่องโหว่ Zero-Day ระดับ Kernel ซึ่งสะท้อนว่าการป้องกันเพียงชั้นเดียว ไม่ว่าจะเป็นการแพตช์ซอฟต์แวร์หรือการอบรมพนักงาน ไม่เพียงพอต่อภัยคุกคามระดับนี้
TXEC มองว่าจุดที่องค์กรควรให้ความสำคัญเป็นพิเศษคือการขาดรายละเอียดทางเทคนิคและ IOC สาธารณะในขณะนี้ ทำให้การตรวจจับเชิงรุกทำได้จำกัด องค์กรจึงควรเน้นมาตรการป้องกันเชิงป้องกันไว้ก่อน (Preventive) เช่น การแพตช์ทันทีและการจำกัดการรันไฟล์จากแหล่งที่ไม่น่าเชื่อถือ มากกว่าที่จะรอสัญญาณการตรวจจับที่ยังไม่มีรายละเอียดเพียงพอในตอนนี้
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CyberSecurityNews, The Hacker News, Tenable, GBHackers ]