แฮกเกอร์จีนใช้ Zero-Day บน Chrome โจมตีต่อเนื่อง 3 ช่องโหว่ ปล่อยมัลแวร์ GRIMWEDGE

29 Oct 2026

กลุ่มแฮกเกอร์ที่เชื่อมโยงกับประเทศจีน ซึ่งถูกติดตามในชื่อ UTA0560 ถูกพบว่าอยู่เบื้องหลังแคมเปญโจมตีทางไซเบอร์ BlueMoon ที่ใช้ช่องโหว่ Zero-Day บน Google Chrome และ Windows เพื่อแพร่กระจายมัลแวร์ Backdoor ชื่อ GRIMWEDGE โดยมุ่งเป้าไปยังองค์กร NGO เป็นหลัก ตามรายงานของ The Hacker News ที่อ้างอิงข้อมูลจากทีมวิจัยด้านความปลอดภัย Volexity

ใช้ 3 ช่องโหว่โจมตีต่อเนื่อง หลบ Sandbox และยกระดับสิทธิ์

การโจมตีเริ่มจากอีเมล Spear-Phishing ที่หลอกให้เหยื่อคลิกลิงก์เว็บไซต์มหาวิทยาลัยในสหรัฐฯ ก่อนอาศัยช่องโหว่ Reflected Cross-Site Scripting (XSS) เพื่อเปลี่ยนเส้นทางไปยังเว็บไซต์อันตราย ซึ่งออกแบบมาเพื่อโจมตีผู้ใช้ Google Chrome โดยเฉพาะ

แคมเปญดังกล่าวใช้ช่องโหว่ 3 รายการต่อเนื่องกัน ได้แก่

CVE-2026-85046: เปิดทางให้อ่านหรือเขียนข้อมูลภายใน V8 Sandbox โดยพลการ

CVE-2026-87491: ช่วยให้หลบหนีออกจาก Chrome Sandbox

CVE-2026-85880: ช่องโหว่ Windows ALPC ที่ใช้ยกระดับสิทธิ์เป็น SYSTEM

หลังเจาะระบบสำเร็จ ผู้โจมตีจะใช้ Shellcode จำนวน 3 ชุดเพื่อสำรวจเครื่องเหยื่อ ยกระดับสิทธิ์ และแทรกโค้ดเข้าสู่ Process ของเบราว์เซอร์ ก่อนดาวน์โหลดไฟล์ msgbox.exe และ DLL อันตราย wsc.dll มาใช้เทคนิค DLL Sideloading เพื่อซ่อนการทำงานของมัลแวร์

GRIMWEDGE ควบคุมเครื่องเหยื่อผ่านเซิร์ฟเวอร์ C2

เมื่อ GRIMWEDGE ติดตั้งสำเร็จ มัลแวร์จะเชื่อมต่อกับเซิร์ฟเวอร์ Command and Control (C2) ที่โดเมน ocr.opusaccel[.]top เพื่อรอรับคำสั่งจากผู้โจมตี โดยสามารถสำรวจระบบ แสดงรายการไฟล์ สร้างหรือลบโฟลเดอร์ ตรวจสอบและยุติ Process อ่านไฟล์ รวมถึงเรียกใช้คำสั่งจากระยะไกลและรับส่งข้อมูลเป็นส่วน ๆ

ความสามารถเหล่านี้เปิดโอกาสให้ผู้โจมตีควบคุมเครื่องที่ถูกบุกรุกและเข้าถึงข้อมูลภายในระบบได้อย่างต่อเนื่อง

แนะองค์กรเร่งอัปเดตระบบและเฝ้าระวังภัยคุกคาม

กรณี BlueMoon สะท้อนให้เห็นถึงความเสี่ยงจากการนำช่องโหว่หลายรายการมาใช้โจมตีเป็นทอด ๆ ตั้งแต่การเจาะเบราว์เซอร์ไปจนถึงการยกระดับสิทธิ์บนระบบปฏิบัติการ องค์กรควรอัปเดต Google Chrome และ Windows ให้เป็นเวอร์ชันที่ได้รับการแก้ไขช่องโหว่แล้ว พร้อมตรวจสอบอีเมลและลิงก์ที่น่าสงสัย รวมถึงเฝ้าระวังการโหลด DLL ที่ผิดปกติและการเชื่อมต่อไปยังเซิร์ฟเวอร์ C2 ที่ไม่รู้จัก

ที่มา: thehackernews.com