Remus สตีลเลอร์

มัลแวร์ขโมยข้อมูลตัวใหม่ที่เพิ่งถูกค้นพบ ซึ่งรู้จักกันในชื่อ REMUS ได้รับความสนใจอย่างมากในแวดวงอาชญากรรมไซเบอร์ เนื่องจากมีการพัฒนาอย่างรวดเร็ว มีฟีเจอร์ที่เพิ่มขึ้น และมีความคล้ายคลึงกับบริการมัลแวร์แบบมืออาชีพ (Malware-as-a-Service หรือ MaaS) มากขึ้นเรื่อยๆ นักวิจัยด้านความปลอดภัยและนักวิเคราะห์มัลแวร์ได้ชี้ให้เห็นถึงความคล้ายคลึงกันระหว่าง REMUS กับ Lumma Stealer ที่เป็นที่รู้จักกันอย่างแพร่หลาย โดยเฉพาะอย่างยิ่งในด้านเทคนิคการกำหนดเป้าหมายเบราว์เซอร์ กลไกการขโมยข้อมูลประจำตัว และความสามารถในการหลีกเลี่ยงการเข้ารหัส

การตรวจสอบโพสต์ใต้ดิน 128 โพสต์ที่เชื่อมโยงกับการปฏิบัติการ REMUS ระหว่างวันที่ 12 กุมภาพันธ์ถึง 8 พฤษภาคม 2569 ให้ข้อมูลเชิงลึกที่มีค่าเกี่ยวกับวิธีการทำการตลาด การบำรุงรักษา และการใช้งานมัลแวร์ภายในชุมชนอาชญากรไซเบอร์ ข้อมูลที่รวบรวมได้ประกอบด้วยโฆษณา ประกาศคุณสมบัติ บันทึกการอัปเดต การสื่อสารกับลูกค้า และการสนทนาเกี่ยวกับการดำเนินงาน ทำให้ผู้วิจัยสามารถติดตามวิวัฒนาการของแพลตฟอร์มและระบุลำดับความสำคัญที่กำหนดรูปแบบการพัฒนาได้

ผลการค้นพบเผยให้เห็นมากกว่าแค่แคมเปญขโมยข้อมูลธรรมดาๆ REMUS แสดงให้เห็นถึงการเปลี่ยนแปลงที่เกิดขึ้นในวงกว้างภายในเศรษฐกิจอาชญากรรมไซเบอร์ ซึ่งการดำเนินงานของมัลแวร์เริ่มคล้ายคลึงกับบริษัทซอฟต์แวร์ที่ถูกกฎหมายมากขึ้นเรื่อยๆ ผ่านการอัปเดตอย่างต่อเนื่อง การสนับสนุนลูกค้า การเพิ่มประสิทธิภาพการดำเนินงาน และกลยุทธ์การสร้างรายได้ในระยะยาว

วงจรการพัฒนาเชิงรุกบ่งชี้ถึงการดำเนินงาน MaaS ที่เติบโตเต็มที่

ปฏิบัติการ REMUS แสดงให้เห็นถึงช่วงเวลาการพัฒนาที่กระชับและก้าวร้าวอย่างผิดปกติ แทนที่จะส่งเสริมผลิตภัณฑ์มัลแวร์แบบคงที่ ผู้ดำเนินการได้ปล่อยการปรับปรุง การเพิ่มประสิทธิภาพการรวบรวม และคุณสมบัติการจัดการอย่างต่อเนื่องในช่วงเวลาเพียงไม่กี่เดือน

เดือนกุมภาพันธ์ 2026 เป็นจุดเริ่มต้นของการเปิดตัวมัลแวร์เชิงพาณิชย์ครั้งแรก การโปรโมทในช่วงแรกเน้นหนักไปที่ความง่ายในการใช้งาน การขโมยข้อมูลประจำตัวของเบราว์เซอร์ การเก็บรวบรวมคุกกี้ การขโมยโทเค็น Discord การส่งไปยัง Telegram และฟังก์ชันการจัดการบันทึกข้อมูล ภาษาทางการตลาดเน้นย้ำถึงความน่าเชื่อถือและการเข้าถึงได้ง่าย รวมถึงการอ้างว่ามัลแวร์นี้มีอัตราความสำเร็จในการเรียกกลับประมาณ '90%' เมื่อใช้ร่วมกับการเข้ารหัสที่มีประสิทธิภาพและโครงสร้างพื้นฐานเซิร์ฟเวอร์ตัวกลาง ผู้ดำเนินการยังโปรโมท 'การสนับสนุนตลอด 24 ชั่วโมง' และความง่ายในการใช้งาน ซึ่งบ่งชี้ว่าการทำการตลาดและประสบการณ์ของลูกค้าเป็นสิ่งสำคัญลำดับต้นๆ ตั้งแต่เริ่มต้น

เดือนมีนาคม 2026 กลายเป็นช่วงที่มีการพัฒนาแคมเปญอย่างเข้มข้นที่สุด ในช่วงเวลานี้ มัลแวร์ได้ขยายขอบเขตจากแค่การขโมยข้อมูลประจำตัวไปสู่แพลตฟอร์มการทำงานที่กว้างขึ้น การอัปเดตได้เพิ่มความสามารถในการกู้คืนโทเค็น การติดตามผู้ปฏิบัติงาน แดชบอร์ดสถิติ การกรองบันทึกซ้ำ การปรับปรุงการมองเห็นตัวโหลด และเวิร์กโฟลว์การส่งข้อความผ่าน Telegram ที่ได้รับการปรับปรุง การประกาศหลายครั้งมุ่งเน้นไปที่การจัดการแคมเปญและการตรวจสอบการดำเนินงานโดยเฉพาะ มากกว่าการขโมยข้อมูลเพียงอย่างเดียว ซึ่งบ่งชี้ถึงการเปลี่ยนแปลงเชิงกลยุทธ์ไปสู่ความสามารถในการขยายขนาดและการบริหารจัดการ

การอัปเดตในเดือนเมษายน 2026 เผยให้เห็นถึงการให้ความสำคัญที่มากขึ้นกับการรักษาความต่อเนื่องของเซสชันและข้อมูลการตรวจสอบสิทธิ์ฝั่งเบราว์เซอร์ การดำเนินการดังกล่าวได้เพิ่มความเข้ากันได้กับพร็อกซี SOCKS5 ฟังก์ชันป้องกันเครื่องเสมือน การกำหนดเป้าหมายแพลตฟอร์มเกม การกู้คืนโทเค็นที่ได้รับการปรับปรุง และกลไกการรวบรวมข้อมูลที่เกี่ยวข้องกับโปรแกรมจัดการรหัสผ่าน การอัปเดตหนึ่งรายการได้อ้างอิงถึงการรวบรวมข้อมูล IndexedDB ที่กำหนดเป้าหมายส่วนขยายเบราว์เซอร์ที่เกี่ยวข้องกับ 1Password และ LastPass อย่างชัดเจน ในขณะที่ประกาศอื่นๆ อ้างอิงถึงการค้นหาที่เกี่ยวข้องกับ Bitwarden การพัฒนาเหล่านี้เน้นย้ำถึงการให้ความสำคัญที่เพิ่มมากขึ้นกับการรักษาการเข้าถึงที่ได้รับการตรวจสอบสิทธิ์มากกว่าการเก็บรวบรวมชื่อผู้ใช้และรหัสผ่านเพียงอย่างเดียว

ในช่วงต้นเดือนพฤษภาคม ปี 2026 แคมเปญดังกล่าวดูเหมือนจะเปลี่ยนผ่านจากการขยายตัวอย่างรวดเร็วไปสู่การสร้างเสถียรภาพในการดำเนินงาน การอัปเดตที่เหลือส่วนใหญ่มุ่งเน้นไปที่การแก้ไขข้อผิดพลาด การเพิ่มประสิทธิภาพ การปรับปรุงการกู้คืน และการปรับปรุงการจัดการ ซึ่งบ่งชี้ว่าแพลตฟอร์มได้เข้าสู่ขั้นตอนการบำรุงรักษาและการขยายขนาดแล้ว

นอกเหนือจาก Lumma: REMUS พัฒนาสู่บริการปราบปรามอาชญากรรมไซเบอร์เชิงพาณิชย์

รายงานสาธารณะหลายฉบับระบุว่า REMUS เป็นมัลแวร์ที่พัฒนาต่อยอดหรือเป็นเวอร์ชันที่พัฒนาต่อยอดมาจาก Lumma Stealer อย่างมีนัยสำคัญทางเทคนิค นักวิเคราะห์อธิบายว่ามัลแวร์นี้เป็นโปรแกรมขโมยข้อมูลแบบ 64 บิต ซึ่งมีลักษณะหลายอย่างคล้ายกับ Lumma รวมถึงการขโมยข้อมูลประจำตัวที่เน้นการใช้งานเบราว์เซอร์ การตรวจสอบต่อต้านเครื่องเสมือน (Anti-VM) และฟังก์ชันการข้ามการเข้ารหัส

อย่างไรก็ตาม การสื่อสารใต้ดินบ่งชี้ว่าการปฏิบัติการนี้ขยายวงกว้างออกไปไกลกว่าแค่เรื่องเทคโนโลยีเพียงอย่างเดียว ผู้ดำเนินการ REMUS ทำการตลาดมัลแวร์อย่างต่อเนื่องในฐานะผลิตภัณฑ์อาชญากรรมไซเบอร์ที่ได้รับการดูแลอย่างมืออาชีพ พร้อมด้วยการอัปเดตอย่างต่อเนื่อง การปรับปรุงการดำเนินงาน การช่วยเหลือลูกค้า และความสามารถในการรวบรวมข้อมูลที่ขยายวงกว้างขึ้น รูปแบบการสื่อสารนั้นคล้ายคลึงกับสภาพแวดล้อมการพัฒนาซอฟต์แวร์ที่ถูกต้องตามกฎหมาย ซึ่งการกำหนดเวอร์ชัน การแก้ไขปัญหา และแผนงานคุณสมบัติมีบทบาทสำคัญในการรักษาฐานลูกค้า

การเน้นย้ำซ้ำๆ เกี่ยวกับอัตราความสำเร็จในการส่งมอบ ความน่าเชื่อถือในการดำเนินงาน และการเพิ่มประสิทธิภาพโครงสร้างพื้นฐาน แสดงให้เห็นถึงความพยายามอย่างชัดเจนในการสร้างความไว้วางใจในหมู่ผู้ซื้อและพันธมิตรที่มีศักยภาพ แทนที่จะทำหน้าที่เป็นไฟล์ปฏิบัติการมัลแวร์แบบเดี่ยวๆ REMUS ได้วางตำแหน่งตัวเองมากขึ้นเรื่อยๆ ในฐานะแพลตฟอร์มอาชญากรรมที่ปรับขนาดได้ ซึ่งออกแบบมาเพื่อสนับสนุนกิจกรรมอาชญากรรมไซเบอร์อย่างต่อเนื่อง

การขโมยเซสชันกลายเป็นสิ่งที่มีมูลค่ามากกว่าการเก็บรวบรวมข้อมูลประจำตัวแบบดั้งเดิม

หนึ่งในประเด็นสำคัญที่สุดที่พบเห็นได้ตลอดการรณรงค์ REMUS คือ การให้ความสำคัญที่เพิ่มมากขึ้นกับการขโมยเซสชันและการรักษาความต่อเนื่องของการเข้าถึงที่ได้รับการตรวจสอบสิทธิ์

ในอดีต มัลแวร์ขโมยข้อมูลจำนวนมากมุ่งเน้นไปที่การเก็บรวบรวมชื่อผู้ใช้และรหัสผ่านเป็นหลัก อย่างไรก็ตาม REMUS ให้ความสำคัญกับการเก็บรวบรวมคุกกี้ของเบราว์เซอร์ โทเค็นการตรวจสอบสิทธิ์ เซสชันที่ใช้งานอยู่ กระบวนการกู้คืนข้อมูลโดยใช้พร็อกซี และข้อมูลการตรวจสอบสิทธิ์ที่จัดเก็บไว้ในเบราว์เซอร์มาโดยตลอด ตั้งแต่เอกสารส่งเสริมการขายชุดแรก การจัดการเซสชันที่ได้รับการตรวจสอบสิทธิ์ดูเหมือนจะเป็นจุดขายหลักอย่างหนึ่งของมัลแวร์นี้

แนวโน้มนี้สะท้อนให้เห็นถึงการเปลี่ยนแปลงในวงกว้างของตลาดอาชญากรรมไซเบอร์ใต้ดิน เซสชันการเข้าสู่ระบบที่ถูกขโมยไปนั้นมีมูลค่าเพิ่มมากขึ้นเรื่อยๆ เนื่องจากสามารถหลีกเลี่ยงการตรวจสอบสิทธิ์แบบหลายปัจจัย การตรวจสอบอุปกรณ์ การแจ้งเตือนการเข้าสู่ระบบ และระบบการตรวจสอบสิทธิ์ตามความเสี่ยงได้ แทนที่จะพึ่งพาข้อมูลประจำตัวที่ถูกขโมยไปเพียงอย่างเดียวสำหรับการเข้าสู่ระบบในอนาคต ผู้โจมตีจึงแสวงหาการเข้าถึงโดยตรงไปยังสภาพแวดล้อมที่ได้รับการตรวจสอบสิทธิ์แล้วมากขึ้น

การอัปเดต REMUS หลายครั้งเน้นย้ำถึงฟังก์ชันการกู้คืน ความเข้ากันได้กับพร็อกซี และการรองรับพร็อกซีหลายประเภทในระหว่างขั้นตอนการกู้คืนโทเค็น คุณสมบัติเหล่านี้บ่งชี้อย่างชัดเจนว่าการคงสถานะเซสชันเป็นองค์ประกอบสำคัญของกลยุทธ์การทำงานของมัลแวร์

แคมเปญนี้ยังมุ่งเป้าไปที่แพลตฟอร์มที่การใช้งานจริงมีมูลค่าสูงเป็นพิเศษ รวมถึง Discord, Steam, Riot Games และบริการที่เชื่อมโยงกับ Telegram เมื่อรวมกับฟังก์ชันการรวบรวมและกู้คืนคุกกี้อย่างครอบคลุม มัลแวร์นี้ดูเหมือนจะถูกออกแบบมาไม่เพียงแต่เพื่อขโมยข้อมูลประจำตัวเท่านั้น แต่ยังเพื่อรักษาและใช้งานการเข้าถึงที่ได้รับการยืนยันตัวตนอีกด้วย

โปรแกรมจัดการรหัสผ่านและพื้นที่จัดเก็บข้อมูลในเบราว์เซอร์กลายเป็นเป้าหมายสำคัญ

หนึ่งในพัฒนาการที่สำคัญที่สุดในช่วงท้ายของแคมเปญเกี่ยวข้องกับการจัดเก็บข้อมูลฝั่งเบราว์เซอร์ที่เชื่อมโยงกับระบบนิเวศการจัดการรหัสผ่าน ภายในเดือนเมษายน 2026 ผู้ดำเนินการ REMUS ได้โฆษณาฟังก์ชันการทำงานที่เชื่อมต่อกับ Bitwarden, 1Password, LastPass และกลไกการจัดเก็บข้อมูลเบราว์เซอร์ IndexedDB

โปรแกรมจัดการรหัสผ่านสมัยใหม่เป็นแหล่งเก็บข้อมูลประจำตัว โทเค็นการตรวจสอบสิทธิ์ และข้อมูลบัญชีที่ละเอียดอ่อนจำนวนมาก ทำให้เป็นเป้าหมายที่น่าดึงดูดใจสำหรับปฏิบัติการของอาชญากรไซเบอร์ การอ้างอิงถึง IndexedDB มีความสำคัญเป็นพิเศษ เนื่องจากส่วนขยายเบราว์เซอร์และแอปพลิเคชันเว็บสมัยใหม่มักใช้พื้นที่จัดเก็บข้อมูลในเบราว์เซอร์เพื่อเก็บรักษาข้อมูลเซสชันและข้อมูลแอปพลิเคชัน

แม้ว่าโพสต์ที่นำมาวิเคราะห์จะไม่สามารถยืนยันการถอดรหัสคลังรหัสผ่านหรือการรั่วไหลของระบบจัดการรหัสผ่านได้โดยตรง แต่ก็แสดงให้เห็นอย่างชัดเจนว่าการพัฒนา REMUS ได้เปลี่ยนไปสู่การรวบรวมข้อมูลที่จัดเก็บในฝั่งเบราว์เซอร์ซึ่งเชื่อมโยงกับสภาพแวดล้อมการจัดการรหัสผ่าน

REMUS เน้นย้ำถึงความเป็นมืออาชีพของอาชญากรรมไซเบอร์สมัยใหม่

แคมเปญ REMUS นำเสนอตัวอย่างที่ชัดเจนว่าระบบนิเวศ MaaS สมัยใหม่มีความคล้ายคลึงกับองค์กรซอฟต์แวร์ที่มีโครงสร้างมากขึ้นเรื่อยๆ อย่างไร

จากการวิเคราะห์การสื่อสารใต้ดิน พบว่าผู้ปฏิบัติงานได้เผยแพร่ข้อมูลอัปเดตเวอร์ชัน คำแนะนำในการแก้ไขปัญหา การแก้ไขข้อผิดพลาด การปรับปรุงคุณสมบัติ การปรับปรุงสถิติ และการปรับปรุงการมองเห็นการดำเนินงานอย่างสม่ำเสมอ การอ้างอิงถึงคนงาน แดชบอร์ด การจัดหมวดหมู่บันทึก การตรวจสอบรถตัก และการมองเห็นการจัดการ ยังบ่งชี้ถึงสภาพแวดล้อมที่มีผู้ปฏิบัติงานหลายราย โดยแต่ละรายมีบทบาทการปฏิบัติงานเฉพาะด้าน

ตัวชี้วัดสำคัญของโครงสร้าง MaaS ระดับมืออาชีพของ REMUS ได้แก่:

• การพัฒนาฟีเจอร์อย่างต่อเนื่องและวงจรการอัปเดตตามเวอร์ชัน
• การสนับสนุนที่มุ่งเน้นลูกค้าและการปรับปรุงด้านการใช้งาน
• แดชบอร์ดการดำเนินงาน การติดตามพนักงาน และการตรวจสอบสถิติ
• เวิร์กโฟลว์การกู้คืนเซสชันที่ออกแบบมาสำหรับการเข้าถึงอย่างต่อเนื่อง
• การกำหนดเป้าหมายการจัดเก็บข้อมูลฝั่งเบราว์เซอร์ที่เชื่อมโยงกับระบบนิเวศการจัดการรหัสผ่าน

REMUS สะท้อนให้เห็นถึงทิศทางในอนาคตของการปฏิบัติการขโมยข้อมูล

ปฏิบัติการ REMUS แสดงให้เห็นว่ากลุ่มผู้ขโมยข้อมูลสมัยใหม่กำลังพัฒนาอย่างรวดเร็วเกินกว่าการขโมยข้อมูลประจำตัวขั้นพื้นฐาน ไปสู่แพลตฟอร์มปฏิบัติการที่ครอบคลุม ซึ่งสร้างขึ้นเพื่อความต่อเนื่อง การทำงานอัตโนมัติ ความสามารถในการขยายขนาด และการสร้างรายได้ในระยะยาว

ภายในระยะเวลาเพียงไม่กี่เดือน แคมเปญดังกล่าวได้เปลี่ยนจากการโปรโมตมัลแวร์แบบตรงไปตรงมา ไปสู่ระบบนิเวศ MaaS ที่ครบวงจร ซึ่งเน้นความน่าเชื่อถือในการปฏิบัติงาน การรักษาเซสชันที่ได้รับการตรวจสอบสิทธิ์ และความสามารถในการรวบรวมข้อมูลที่ปรับขนาดได้ การให้ความสำคัญมากขึ้นกับการกู้คืนโทเค็น การกู้คืนเซสชันโดยใช้พร็อกซี และสิ่งประดิษฐ์การตรวจสอบสิทธิ์ฝั่งเบราว์เซอร์ เน้นย้ำถึงการเปลี่ยนแปลงที่กว้างขึ้นภายในปฏิบัติการอาชญากรรมไซเบอร์ ที่หันเหจากการขโมยรหัสผ่านเพียงอย่างเดียว ไปสู่การรักษาการเข้าถึงสภาพแวดล้อมที่ได้รับการตรวจสอบสิทธิ์อย่างต่อเนื่อง

การรณรงค์ REMUS ก่อให้เกิดผลกระทบในวงกว้างหลายประการ:

• การเข้าใช้งานผ่านระบบยืนยันตัวตนกำลังมีค่ามากกว่าการใช้ข้อมูลประจำตัวแบบเดี่ยวๆ
• ระบบจัดเก็บข้อมูลฝั่งเบราว์เซอร์และระบบจัดการรหัสผ่านกำลังตกเป็นเป้าหมายของการโจมตีมากขึ้นเรื่อยๆ
• ปัจจุบัน การดำเนินงานของ MaaS มีโครงสร้างและขั้นตอนการทำงานที่คล้ายคลึงกับธุรกิจซอฟต์แวร์ที่ถูกต้องตามกฎหมาย
• ความสามารถในการขยายขนาดและการคงอยู่ในการปฏิบัติงานกำลังกลายเป็นเป้าหมายสำคัญสำหรับกลุ่มอาชญากรไซเบอร์

ท้ายที่สุดแล้ว แคมเปญ REMUS ตอกย้ำความเป็นจริงที่สำคัญในด้านความปลอดภัยทางไซเบอร์ นั่นคือ การทำความเข้าใจว่าผู้ก่อภัยคุกคามนำมัลแวร์มาใช้ในเชิงพาณิชย์ ดำเนินการ และขยายขนาดได้อย่างไร กำลังมีความสำคัญไม่แพ้การวิเคราะห์รหัสของมัลแวร์เอง