NorForge เผยรายละเอียดแผงควบคุม Cairn ที่เปิดเผยต่อสาธารณะกว่า 20 แผง ซึ่งใช้ในการบุกรุกที่ขับเคลื่อนด้วย AI

เมื่อวันที่ 19 ตุลาคม 2026 บริษัทวิจัยด้านความปลอดภัย NorForge เผยแพร่รายงาน เจาะลึก Cairn ซึ่งเป็นการสืบสวนที่ระบุแผงควบคุมของเครื่องมือแก้ปัญหาด้วย AI Cairn ซึ่งเปิดเผยต่อสาธารณะมากกว่า 20 แผง และคาดว่าเกี่ยวข้องกับกิจกรรมบุกรุกที่มีแรงจูงใจทางการเงินและเป็นอันตราย บริษัทระบุว่าแผงควบคุมที่เปิดเผยเหล่านี้เผยให้เห็นรายละเอียดว่าอาชญากรไซเบอร์เลือกเป้าหมาย มอบหมายงานให้เอเจนต์อัตโนมัติ ใช้ประโยชน์จากช่องโหว่ และสร้างช่องทางเข้าถึงระบบที่ถูกเจาะได้อย่างต่อเนื่องอย่างไร

รายงานเขียนโดย Snorre Fagerland นักวิจัยผู้ร่วมก่อตั้ง NorForge ซึ่งเป็นบริษัทที่พนักงานเป็นเจ้าของ ก่อตั้งขึ้นในปี 2026 โดยมีบริษัทแม่ในสหรัฐฯ ที่มีสำนักงานใหญ่ในเมืองพาโลอัลโต และมีบริษัทย่อยดำเนินงานในยุโรป เนื่องจากแผงควบคุมเหล่านี้เปิดเผยตัวตนของเป้าหมาย จุดอ่อนที่ค้นพบ ความลับของบัญชี คีย์ API และสถานะการถูกเจาะระบบ NorForge ระบุว่าบริษัทปกปิดข้อมูลที่ดึงออกมาอย่างเข้มงวด และจะยังไม่เปิดเผยที่อยู่ของแผงควบคุมจนกว่าจะสามารถนำแผงเหล่านั้นออกจากระบบได้ บริษัทยังระบุด้วยว่าพบปฏิบัติการทีมแดงจำนวนมากที่ดูเหมือนเป็นการดำเนินงานที่ชอบด้วยกฎหมาย แต่ถูกเปิดเผยในลักษณะเดียวกัน ซึ่งอาจทำให้ลูกค้าของปฏิบัติการเหล่านั้นตกอยู่ในความเสี่ยง

แผงควบคุมเหล่านี้ถูกค้นพบได้อย่างไร

NorForge ระบุว่าการค้นหาของบริษัทเริ่มขึ้นหลังจาก Gambit Security รายงานในเดือนกันยายน 2026 เกี่ยวกับแคมเปญบุกรุกของอาชญากรที่มุ่งเป้าไปยังตลาดออนไลน์ โดยใช้เครื่องมือ AI เช่น Hermes, Strix และ Cairn ซึ่งเว็บอินเทอร์เฟซของเครื่องมือเหล่านี้มักถูกปล่อยให้ไม่มีการรักษาความปลอดภัยบนอินเทอร์เน็ตสาธารณะ การค้นหาอย่างรวดเร็วผ่านเครื่องมือค้นหา Shodan และ Censys เผยให้เห็นโฮสต์ที่กำลังใช้งานสิ่งที่ดูเหมือนจะเป็นเครื่องมือ AI และ NorForge ระบุว่า Cairn กลายเป็นหนึ่งในแพลตฟอร์มที่ถูกละเลยมากที่สุด การสแกนต่อเนื่องพบแผงควบคุมใหม่ ๆ เปิดใช้งานขึ้นมาในเวลาไม่นาน โดยข้อมูลเป้าหมาย ภาษา และคำสั่งต่าง ๆ บ่งชี้ว่าแผงจำนวนมากเชื่อมโยงกับผู้ก่อภัยคุกคามกลุ่มเดียวกัน

ใน รายงานความคืบหน้าฉบับชั่วคราวเมื่อวันที่ 22 กันยายน 2026 ของ Gambit Security บริษัทระบุว่าผู้ปฏิบัติการที่มีแรงจูงใจทางการเงินรายหนึ่งใช้ Strix เพื่อค้นหาช่องโหว่ ใช้ Cairn เพื่อโจมตีอัตโนมัติตั้งแต่ต้นจนจบ และใช้ Hermes เพื่อประสานงาน โดยเปิดโครงการโจมตี 105 โครงการระหว่างวันที่ 10 ถึง 15 กันยายนเพียงช่วงเดียว และเจาะระบบบริษัทอย่างน้อย 27 แห่ง ในกิจกรรมที่เริ่มตั้งแต่เดือนกรกฎาคม 2026 Gambit รายงานว่ามีข้อมูลบัตรเครดิตที่ยังไม่หมดอายุมากกว่า 600,000 รายการถูกขโมยจากบริษัท 2 แห่ง พบสคริปต์ดักขโมยข้อมูลบัตรติดตั้งอยู่บนเว็บไซต์ 19 แห่ง และตรวจพบเว็บไซต์ที่ติดมัลแวร์เพิ่มเติมอีกกว่า 100 แห่งร่วมกับนักวิจัย Varys ขณะที่การตรวจสอบต้นทุนของผู้ปฏิบัติการพบว่าค่าใช้จ่ายเฉลี่ยอยู่ที่ 25.46 ดอลลาร์ต่อการสแกนที่เสร็จสิ้น 101 ครั้ง

เจาะลึกเครื่องมือ Cairn

NorForge อธิบายว่า Cairn มีลักษณะเป็นเครื่องมือแก้ปัญหาที่ทำงานตามสถานะ มากกว่าจะเป็นเครื่องมือทดสอบเจาะระบบแบบอัตโนมัติ แต่ละงานเป็นโครงการที่มีจุดเริ่มต้นเรียกว่า origin และเป้าหมายปลายทางที่กำหนดไว้ล่วงหน้า โดยเฟรมเวิร์กจะดำเนินงานเป็นรอบ ๆ ผ่าน facts (สิ่งที่เอเจนต์ค้นพบ) และ intents (สิ่งที่เอเจนต์ตัดสินใจจะทำต่อไป) ซึ่งทั้งหมดจะถูกโพสต์ลงบนกระดานกลางภายในโครงการที่ผู้ปฏิบัติงานซึ่งเป็นมนุษย์สามารถป้อนคำใบ้เพิ่มเติมได้เช่นกัน กราฟโครงการตัวอย่างหนึ่งซึ่งมุ่งเป้าไปยังร้านค้าปลีกออนไลน์รายใหญ่ในสหรัฐฯ ดำเนินจากจุดเริ่มต้นไปสู่เป้าหมาย และสิ้นสุดที่สถานะซึ่งเครื่องมือบันทึกว่าเป้าหมายสำเร็จแล้ว นั่นคือมีการฝังเว็บเชลล์ลงในเว็บไซต์ งานของผู้ปฏิบัติการที่บันทึกไว้จากแผงควบคุมที่เปิดเผยอีกแห่งเผยให้เห็นข้อมูลลับ ซึ่งรวมถึงสิ่งที่ NorForge ระบุว่าเป็นสิทธิ์ root ในพื้นที่ฝากข้อมูลของผู้โจมตีเอง

กิจกรรมสามกลุ่ม

กลุ่มที่ใหญ่ที่สุดซึ่งกำหนดรหัสว่า AIA0001 ใช้ภาษาจีนและมีแผงควบคุม 14 แผงที่โฮสต์ผ่าน AS56594, Cgi Global Limited โดย NorForge ประเมินด้วยความเชื่อมั่นสูงว่ากลุ่มนี้เป็นอันตราย กลุ่มนี้มีโครงการโจมตีมากกว่า 1,100 โครงการ ทำให้เป็นผู้ก่อภัยคุกคามที่เปิดเผยต่อสาธารณะที่มีความเคลื่อนไหวมากที่สุดเท่าที่บริษัทพบอย่างทิ้งห่าง และมุ่งเป้าไปยังองค์กรส่วนใหญ่ในสหรัฐฯ ญี่ปุ่น และออสเตรเลีย โดยมีเป้าหมายที่ดูเหมือนจะเป็นการเข้าถึงโครงสร้างพื้นฐานด้านอีคอมเมิร์ซและการชำระเงินอย่างต่อเนื่อง เพื่อนำไปสร้างรายได้ในภายหลัง ตามรายงานของ NorForge บริษัทระบุว่ากิจกรรมจากแผงควบคุมทั้งหมดที่เปิดเผยดูเหมือนมีแรงจูงใจทางการเงิน และไม่พบกิจกรรมบุกรุกที่ได้รับการสนับสนุนจากรัฐอย่างชัดเจน

งานอัตโนมัติทั่วไปของ AIA0001 ซึ่ง NorForge แปลไว้ ระบุรายชื่อเว็บไซต์ชอปปิงจริงที่ยืนยันแล้วใน 4 ประเทศ ได้แก่ สหรัฐฯ แคนาดา ญี่ปุ่น และออสเตรเลีย โดยมีปริมาณการเข้าชมระหว่าง 200,000 ถึง 1.5 ล้านครั้ง และผ่านการตรวจสอบล่วงหน้าด้วย Playwright ซึ่งเป็นเฟรมเวิร์กของ Microsoft สำหรับควบคุมเบราว์เซอร์อัตโนมัติ เพื่อยืนยันว่าผู้ใช้สามารถสั่งซื้อได้ วัตถุประสงค์ที่ระบุไว้คือค้นหาช่องโหว่การสั่งรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน โดยให้ความสำคัญกับการโจมตี SQL injection ในหน้าเข้าสู่ระบบ จุดเชื่อมต่อที่ไม่ต้องยืนยันตัวตน การอัปโหลดไฟล์ การดีซีเรียลไลซ์ การหลีกเลี่ยงการยืนยันตัวตน และการยึดบัญชี พร้อมส่งเพย์โหลดเชลล์สำหรับอัปโหลดไฟล์แทนเว็บเชลล์ที่ใช้รันคำสั่ง NorForge ระบุว่ากระบวนการป้อนข้อมูลอาศัยระบบอัตโนมัติอย่างมาก รวมถึงตัวปรับมาตรฐานโดเมนที่ใช้ร่วมกันซึ่งมีข้อผิดพลาด โดยตัดตัวอักษร w จากคำนำหน้า www มากเกินไปหนึ่งตัว ทำให้ wholesale กลายเป็น holesale ซึ่งช่วยให้สังเกตเห็นแผงควบคุมที่เกี่ยวข้องกันได้ง่าย

ในช่วงเวลาสั้น ๆ ที่โฮสต์ AIA0001 แห่งหนึ่งเปิดเว็บเซิร์ฟเวอร์บนพอร์ตหมายเลขสูงเพื่อทดสอบนอกช่องทาง NorForge ได้สำรวจไดเรกทอรีของเวิร์กเกอร์เอเจนต์ และจัดทำรายการเครื่องมือที่พบ ซึ่งรวมถึง Playwright และ Chromium, เพย์โหลดแบบ gadget chain ของ PHPGGC, proof-of-concept และแล็บตรวจสอบความถูกต้องที่ใช้ Docker สำหรับช่องโหว่ StyleSmuggler ใน Magento ซึ่งติดตามในชื่อ CVE-2026-75650, OWASP Amass, dnsrecon, เครื่องมือ fuzzing เว็บ ffuf, Nmap และรายการรหัสผ่าน rockyou การอัปเดตงานของเอเจนต์รายการหนึ่งระบุว่า มีการนำชุดคอนเทนเนอร์ Kali ที่ดัดแปลงมาจากเฟรมเวิร์กการแข่งขันทดสอบเจาะระบบ Tencent tsec มาใช้ใหม่ NorForge ระบุว่าเรื่องนี้แทบจะแน่นอนว่าเป็นกรณีที่อาชญากรนำเครื่องมือเดิมมาใช้ซ้ำ และไม่มีเหตุผลให้เชื่อว่า Tencent มีส่วนเกี่ยวข้องกับปฏิบัติการนี้ งาน AIA0001 ทั้งหมดที่สังเกตพบดำเนินการโดยเวิร์กเกอร์ชื่อ claudecode_deepseek-v4.1-flash ซึ่งบริษัทระบุว่าอาจหมายถึงฮาร์เนส Claude Code ที่ใช้โมเดล DeepSeek 4.1 Flash ของจีน ซึ่งเปิดตัวในเดือนกันยายน 2026

หากไม่มีข้อมูลการใช้โทเค็นจริง NorForge ประเมินว่าต้นทุนเฉลี่ยของงาน AIA0001 อยู่ที่ประมาณ $5 ซึ่งรวมโครงการที่ไม่สำเร็จและจบลงตั้งแต่เนิ่น ๆ ด้วย ส่วนโครงการที่มี intents และ facts มากกว่า 1,000 รายการอาจมีต้นทุนเกิน $100 บริษัทเน้นย้ำว่าตัวเลขเหล่านี้มีความไม่แน่นอนสูงมาก และอาจคลาดเคลื่อนไปอย่างเห็นได้ชัด แต่สรุปว่าแม้จะเป็นเช่นนั้น ปฏิบัติการเหล่านี้ก็มีต้นทุนค่อนข้างต่ำ

คลัสเตอร์ที่สอง AIA0002 ใช้ภาษาอังกฤษในแผงควบคุม 10 แห่ง ซึ่งโฮสต์ผ่าน AS20473 ของ The Constant Company โดยส่วนใหญ่เป็นอินสแตนซ์ Vultr VPS และได้รับการประเมินด้วยความเชื่อมั่นสูงว่าเป็นอันตราย แม้จะยังไม่แน่ใจนักเกี่ยวกับลิงก์ของแผงควบคุมบางแห่ง และหลายแห่งก็ออฟไลน์ไปแล้วนับตั้งแต่เริ่มการสืบสวน ผู้ปฏิบัติการพูดคุยกันอย่างเปิดเผยถึงการขโมยบัตรเครดิตและคริปโทเคอร์เรนซี รวมถึงการอัปโหลดข้อมูลที่ขโมยมาไปยังโฮสต์ที่ตนควบคุม พวกเขาเปิดเผยข้อมูลเข้าสู่ระบบ SSH ของโฮสต์ staging แบ็กเอนด์ไว้ในงานที่มอบหมาย และมักไม่ให้คำแนะนำทางเทคนิคเบื้องต้นใด ๆ นอกเหนือจากคำสั่งอย่างเช่น “ดึงข้อมูลบัตรเครดิต” หรือ “ดึงคริปโต” บันทึกโครงการแสดงชื่อเวิร์กเกอร์ว่า pi_openrouter_deepseek ซึ่งบ่งชี้ว่าอาจใช้เฟรมเวิร์กเอเจนต์เขียนโค้ด Pi ที่เรียกใช้โมเดล DeepSeek ผ่าน OpenRouter ซึ่งเป็นเกตเวย์ API ของโมเดลจากบุคคลที่สาม NorForge รายงานว่า เป้าหมายหลักคือบริการชำระเงินของร้านค้า เว็บไซต์ชำระเงินในตลาดสีเทา และเว็บไซต์เภสัชกรรม ซึ่งรวมถึงเว็บไซต์ซื้อขายบัตรที่เป็นอาชญากรรมอย่างชัดเจน ขณะที่เว็บไซต์พาณิชย์ในแอฟริกาหลายแห่งบ่งชี้ว่าผู้ก่อเหตุอาจตั้งอยู่ในทวีปดังกล่าว ผู้ก่อเหตุยังใช้ Cairn เป็นเครื่องมือให้บริการอเนกประสงค์ เช่น ใช้โอนเงินระหว่างกระเป๋าคริปโต

คลัสเตอร์ที่สาม AIA0003 เปิดให้เข้าถึงแผงควบคุมเพียงแห่งเดียว ซึ่งแสดงรายการโครงการ 59 รายการ โฮสต์อยู่บน AS200019 ของ AlexHost และใช้ภาษาอังกฤษทั้งหมด เป้าหมายมีทั้งเว็บไซต์อีคอมเมิร์ซขนาดเล็กและแพลตฟอร์มเชิงพาณิชย์ขนาดใหญ่มากในสหรัฐฯ โดยช่วงแรกโครงการต่าง ๆ อ้างว่าเป็นการประเมินที่ได้รับอนุญาต ก่อนจะค่อย ๆ ระบุอย่างชัดเจนขึ้นว่าต้องการเข้าถึงเชลล์ แผงผู้ดูแลระบบ หรือฐานข้อมูล NorForge ประเมินด้วยความเชื่อมั่นต่ำว่าผู้ก่อเหตุรายนี้มีเจตนาร้าย และอธิบายว่าเป็นการสำรวจหาช่องทางมากกว่า

การบุกรุกที่ยืนยันแล้วและอัตราความสำเร็จ

NorForge ยืนยันการบุกรุกที่มีการกล่าวอ้างหนึ่งกรณี โดยเรียกดู URL ของเชลล์ที่บันทึกไว้ในงานที่เสร็จสมบูรณ์ ซึ่งมุ่งเป้าไปยังผู้จำหน่ายชิ้นส่วนฮาร์ดแวร์รายใหญ่ URL ดังกล่าวให้บริการเว็บเชลล์สำหรับอัปโหลดที่ยังทำงานอยู่ ตามคำอธิบายของเอเจนต์เอง การบุกรุกครั้งนี้เกิดขึ้นได้จากการเข้าถึงเพื่อเขียนข้อมูลในที่เก็บเซสชัน memcached โดยไม่ได้รับอนุญาต ประกอบกับการดีซีเรียลไลซ์ออบเจ็กต์ PHP อย่างไม่ปลอดภัย และ gadget chain ที่ใช้โจมตีได้ในคอมโพเนนต์ Zend Framework รุ่นเก่า

NorForge ประเมินว่าอัตราความสำเร็จเฉลี่ยของแคมเปญที่สังเกตพบอยู่ที่ประมาณ 10% โดยงานที่เหลือจำนวนมากบรรลุเป้าหมายได้เพียงบางส่วนหรือรวบรวมข้อมูลที่นำไปใช้ในการพยายามครั้งต่อไปได้ สำหรับงาน AIA0001 ที่บรรลุเป้าหมาย เวลาตั้งแต่เริ่มโครงการจนถึงบรรลุเป้าหมายเฉลี่ยอยู่ที่ไม่ถึง 23 ชั่วโมงเล็กน้อย และสร้าง facts เฉลี่ย 140 รายการต่อโครงการ แม้จะมีโครงการหนึ่งดำเนินอยู่นานกว่า 5 วัน บริษัทเตือนว่าตัวเลขเหล่านี้เป็นเพียงภาพ ณ ช่วงเวลาหนึ่ง เนื่องจากโมเดลและฮาร์เนสพัฒนาเปลี่ยนแปลงอย่างรวดเร็วมาก

ข้อมูลลับที่เปิดเผยและความพยายามในการปิดระบบ

NorForge รายงานว่า เมื่อนำเครื่องมือสแกนข้อมูลลับ Trufflehog ไปตรวจข้อมูลจากอินสแตนซ์ Cairn ที่เปิดเผยต่อสาธารณะ พบข้อมูลลับหลากหลายประเภทหลายร้อยรายการอย่างแท้จริง ตั้งแต่รายการที่มีความสำคัญไม่มากไปจนถึงร้ายแรงอย่างยิ่ง โดยยืนยันได้ว่า 11% ยังใช้งานได้ แผงควบคุมเหล่านี้ยังดูเหมือนไม่มีการป้องกันใด ๆ โดยเปิดเผยฟังก์ชันการดูแลระบบทั้งหมดของฮาร์เนสเท่าที่เห็น ซึ่งรวมถึงการควบคุมเพื่อเริ่มและหยุดโครงการ แทรกแซงปฏิบัติการที่กำลังดำเนินอยู่ เพิ่มข้อมูลใหม่ เปลี่ยนเส้นทางเอเจนต์ไปยังเป้าหมายอื่น และเริ่มโครงการเก่าขึ้นใหม่ NorForge ระบุว่าไม่ได้ทดสอบว่าควบคุมเหล่านั้นใช้งานได้โดยไม่ได้รับอนุญาตหรือไม่

ในบทสรุป NorForge ระบุว่า ผู้โจมตีกำลังบั่นทอนความปลอดภัยในการปฏิบัติการของตนเองเพราะเร่งหวังผลลัพธ์อย่างรวดเร็ว และทำให้เป้าหมายเผชิญพื้นที่โจมตีที่กว้างกว่าที่ตั้งใจไว้มาก ขณะเดียวกัน ทีม red team ที่ปฏิบัติงานโดยชอบด้วยกฎหมายก็เสี่ยงรวบรวมข้อมูลลับของลูกค้าและเผยแพร่ข้อมูลดังกล่าวบนอินเทอร์เน็ตสาธารณะ รายงานปิดท้ายด้วยกรณีศึกษาที่ปกปิดรายละเอียด 6 กรณี ครอบคลุมเว็บไซต์อีคอมเมิร์ซในออสเตรเลีย การเจาะระบบจุดขายของร้านอาหาร ผู้ค้าปลีกในสหรัฐฯ 3 ราย และผู้ค้าปลีกในญี่ปุ่น NorForge ระบุว่าได้ตรวจสอบยืนยันกรณีหนึ่ง ซึ่งเป็นการเจาะระบบผู้ค้าปลีกรายใหญ่มากในสหรัฐฯ โดยเอเจนต์พบการตั้งค่าคุกกี้เพียงรายการเดียวที่ใช้เลือกเซิร์ฟเวอร์แบ็กเอนด์ซึ่งมีช่องโหว่

NorForge ระบุว่ากำลังร่วมมือกับ Reuters เพื่อแจ้งผู้เสียหายที่ดูเหมือนว่าจะถูกบุกรุก และกำลังพยายามทำให้แผงควบคุม Cairn ที่ก่อปัญหาถูกถอดออก โดยระบุว่าความพยายามนี้ขึ้นอยู่กับการตอบสนองของผู้ให้บริการโฮสต์ต่อคำขอให้ถอดเนื้อหาเป็นอย่างมาก บริษัทเผยแพร่ตัวบ่งชี้การบุกรุกของแผงควบคุมและเซิร์ฟเวอร์ staging ในรูปแบบที่ปกปิดข้อมูลบางส่วน พร้อมระบุว่าจะมอบรายชื่อฉบับไม่ปกปิดข้อมูลให้แก่นักวิจัยด้านความปลอดภัยที่น่าเชื่อถือเมื่อร้องขอ