# APT29 watering hole มือถือ Sekoia พบเว็บถูกฝังสคริปต์โจมตี iOS และ Android ที่ยังไม่อัปเดต

> APT29 watering hole มือถือ: Sekoia รายงาน 4 พ.ย. 2026 พบเว็บจริงและโดเมนปลอมฝังสคริปต์ส่งชุดเจาะ iOS และ Android ที่ยังไม่อัปเดต ขโมยคุกกี้และรหัส Wi-Fi

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-11-08T04:12:28.000Z · อัปเดต: 2026-11-08T04:12:28.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/apt29-watering-hole-ios-android-sekoia-n-day/

## สรุปประเด็นสำคัญ

- **4 พฤศจิกายน 2026** ทีม TDR ของบริษัท **Sekoia** เผยแพร่รายงานแคมเปญ watering hole ที่ตรวจพบกลางเดือนตุลาคม 2026 โดยประเมินด้วยความมั่นใจปานกลางถึงสูงว่าเกี่ยวข้องกับ **APT29** กลุ่มที่เชื่อมโยงกับหน่วยข่าวกรองต่างประเทศของรัสเซีย (SVR)
- แคมเปญใช้ **3 ช่องทาง** ได้แก่ ฝังสคริปต์ในเว็บไซต์จริง โดเมนปลอมที่ทำตัวเป็นตัวกลางคั่นระหว่างผู้เข้าชมกับเว็บจริง และการเจาะบริการวิเคราะห์เว็บ **Plerdy** ของยูเครนที่ให้บริการสคริปต์ที่ถูกแก้ไขอยู่ **1 สัปดาห์** ระหว่าง **27 สิงหาคมถึง 3 กันยายน 2026**
- ชุดเจาะทั้ง **3 ชุด** ใช้ช่องโหว่ที่ผู้ผลิตแพตช์แล้วทั้งหมด ไม่มี zero-day และใช้ไม่ได้กับเครื่องที่อัปเดตครบ โดยเล็งไปที่ iOS **16.7** และ **18.5** และ Chrome บน Android รุ่น **139 ถึง 145** (ยกเว้น 143)
- สิ่งที่ถูกขโมยคือคุกกี้เบราว์เซอร์ ข้อมูลเครื่องบน iOS และรหัส Wi-Fi บน Android โดยไม่ฝังตัวถาวร Sekoia ประสานกับ CERT ของประเทศที่ได้รับผลกระทบเพื่อระบุเหยื่อ

APT29 watering hole มือถือ คือแคมเปญที่ Sekoia รายงานเมื่อ 4 พฤศจิกายน 2026 พบเว็บไซต์จริงและโดเมนปลอมใน 4 ประเทศ ได้แก่ สหรัฐฯ ยูเครน เช็ก และบัลแกเรีย ถูกฝังสคริปต์ที่ส่งชุดเจาะช่องโหว่ไปยัง iOS และ Android รุ่นเก่า เพื่อขโมยคุกกี้และรหัส Wi-Fi Sekoia เชื่อมโยงกับ APT29 ด้วยความมั่นใจปานกลางถึงสูง

ทีม Threat Detection & Research (TDR) ของ Sekoia เริ่มสืบ APT29 watering hole มือถือจากสคริปต์อันตรายบนเว็บไซต์ของบริษัทผลิตก๊าซในยูเครน แล้วพบเว็บอื่นที่เกี่ยวข้อง รายงานเน้นว่าชุดเจาะทุกชุดใช้ช่องโหว่ที่แพตช์แล้ว ผู้ใช้ที่อัปเดตเครื่องครบจึงไม่เข้าข่าย

## APT29 watering hole มือถือ ทำงานอย่างไร

Sekoia อธิบายว่า APT29 watering hole มือถือ ใช้ 3 ช่องทางนำผู้เข้าชมไปสู่สคริปต์ตัวเดียวกัน ซึ่งตรวจลักษณะเบราว์เซอร์และอุปกรณ์ แล้วเซิร์ฟเวอร์ปลายทางเลือกชุดเจาะที่ตรงกับรุ่นของเครื่อง โดยไม่ต้องให้ผู้ใช้กดอะไรเพิ่ม

1. **ฝังสคริปต์ในเว็บไซต์จริง** เริ่มจากเว็บของบริษัทผลิตก๊าซในยูเครน และพบเว็บอื่น เช่น สมาคมอุตสาหกรรมเคมีในสหรัฐฯ พรรคการเมืองฝ่ายขวาจัดในยุโรป และองค์กรด้านการทหารในบัลแกเรีย รวมถึงคลินิกในออสเตรเลียที่ Sekoia ประเมินด้วยความมั่นใจต่ำว่าอาจใช้เล็งคนเฉพาะราย
2. **โดเมนปลอมแบบตัวกลาง** เมื่อเจาะเว็บจริงไม่ได้ ผู้โจมตีจดโดเมนที่คล้ายกันแล้วดึงหน้าเว็บจริงมาแก้ HTML ทันที โดยพบ 2 เว็บคือ america250 ซึ่งเป็นโครงการครบรอบ 250 ปีของสหรัฐฯ และหน้าของโรงแรม Raffles London at The OWO
3. **เจาะบริการ Plerdy** ในแคมเปญ APT29 watering hole มือถือ บริการวิเคราะห์เว็บของยูเครนถูกแก้สคริปต์ติดตามให้ส่งโค้ดของผู้โจมตีเป็นเวลา 1 สัปดาห์ ตั้งแต่ 27 สิงหาคมถึง 3 กันยายน 2026 สคริปต์นี้รันบนเว็บไซต์หลายพันแห่ง ส่วนใหญ่เป็นเว็บยูเครน รวมทั้งเว็บของกองทัพและผู้ผลิตอุปกรณ์ทางทหาร

![แผนภาพของ Sekoia แสดงการทำงานของ APT29 watering hole มือถือ ตั้งแต่ผู้ใช้เข้าเว็บ สคริปต์ตรวจเครื่อง ชุดเจาะช่องโหว่ และการส่งข้อมูลออก](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/apt29-watering-hole-ios-android-sekoia-n-day/sekoia-apt29-infographic.webp?v=99a4c46e) _(ภาพ: Sekoia)_

![สรุปตัวเลขของ APT29 watering hole มือถือ ตามรายงาน Sekoia](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/apt29-watering-hole-ios-android-sekoia-n-day/apt29-campaign-facts.webp?v=1523028f) _(ภาพ: THAI DATA (ข้อมูล: Sekoia TDR))_

## ชุดเจาะ 3 ชุดที่ใช้ช่องโหว่แพตช์แล้ว

| ชุด | ช่องโหว่ที่ใช้ | เป้าหมาย | สิ่งที่ขโมย |
| --- | --- | --- | --- |
| A | CVE-2025-43529, CVE-2024-27834 | iOS 16.7 | คุกกี้บน iOS |
| B | CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520 | iOS 18.5 | ข้อมูลเครื่องทั้งหมด |
| C | CVE-2026-3910, CVE-2025-27038 | Chrome บน Android รุ่น 139 ถึง 145 (ยกเว้น 143) | คุกกี้ Chrome และรหัส Wi-Fi |

Sekoia ระบุว่าใน APT29 watering hole มือถือ ผู้ผลิตแก้ทุกช่องโหว่ก่อนแคมเปญเริ่ม ชุดหนึ่งในนั้นคือ DarkSword ชุดเจาะ iOS ที่สงสัยว่าพัฒนาโดยผู้ขายซอฟต์แวร์สอดแนมเชิงพาณิชย์ และมีผู้อัปโหลดขึ้น VirusTotal เมื่อเดือนกันยายน 2026 ข้อมูลที่ขโมยไปอาจใช้ซ้ำเซสชันที่ล็อกอินไว้เพื่อเข้าบริการบนเบราว์เซอร์ เช่น เว็บเมล หนึ่งในช่องโหว่ในตาราง คือ CVE-2024-27834 ของ Apple อยู่ในรายการ KEV ของ CISA แล้ว ดู[ข่าวช่องโหว่ Apple CVE-2024-27834](/security/apple-cve-2024-27834-cisa-kev-pointer-authentication/)

## APT29 watering hole มือถือ กับผลต่อองค์กรไทย

รายงาน APT29 watering hole มือถือ นี้เน้นเหยื่อในยูเครนและสหรัฐฯ แต่ Sekoia ยังไม่ทราบว่าผู้โจมตีเล็งเว็บใดเป็นพิเศษหรือต้องการเครื่องที่ไม่อัปเดตให้ได้มากที่สุด จึงไม่อาจตัดความเสี่ยงของผู้ใช้ทั่วไป บทเรียนสำหรับองค์กรไทยคือ APT29 watering hole มือถือ ใช้เฉพาะเครื่องที่ค้างรุ่น ซึ่งองค์กรควบคุมได้

1. **ตรวจรุ่น iOS และ Android ของเครื่องพนักงาน** โดยเฉพาะเครื่องส่วนตัวที่ใช้เช็กอีเมลงาน และกำหนดรุ่นขั้นต่ำผ่านระบบจัดการอุปกรณ์มือถือ
2. **อัปเดต Chrome บน Android** ไม่ให้ค้างรุ่น เพราะชุดเจาะ C เล็ง Chrome 139 ถึง 145
3. **ทบทวนสคริปต์ภายนอกบนเว็บขององค์กร** เหตุ Plerdy แสดงว่าสคริปต์ติดตามของบุคคลที่สามเป็นช่องทางส่งโค้ดไปยังผู้เข้าชมได้ ควรจำกัดสคริปต์ที่โหลดด้วย Content Security Policy และตรวจการเปลี่ยนแปลง
4. **ตั้งนโยบายเมื่อเครื่องถูกสงสัย** เพราะคุกกี้ที่ถูกขโมยใช้ซ้ำเซสชันได้ ให้เพิกถอนเซสชันและเปลี่ยนรหัสผ่านของบัญชีที่ใช้บนเครื่องนั้น

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

การดูแลให้เครื่องพนักงานทุกเครื่องอัปเดตครบเป็นงานที่ฝ่ายไอทีขนาดเล็กตามไม่ทัน เมื่อแคมเปญแบบนี้เล็งเฉพาะเครื่องที่ค้างรุ่น [IT Support](https://thaidata.cloud/it-support/) ของ THAI DATA CLOUD ดูแลเครื่องพนักงาน เซิร์ฟเวอร์ และเครือข่าย แจ้งผ่าน Ticket ที่ตรวจสอบได้ โดยทีมไทย 24x7 (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าวภัยไซเบอร์ได้ที่หมวด[ความปลอดภัยไซเบอร์](/security/)

## คำถามที่พบบ่อย

### APT29 watering hole มือถือ คืออะไร?

APT29 watering hole มือถือ คือแคมเปญที่ Sekoia รายงานเมื่อ 4 พฤศจิกายน 2026 โดยฝังสคริปต์ในเว็บที่ผู้ใช้เข้าอยู่แล้ว สคริปต์ตรวจดูรุ่นเบราว์เซอร์และอุปกรณ์ แล้วส่งชุดเจาะช่องโหว่ที่แพตช์แล้วไปยัง iOS หรือ Android ที่ยังไม่อัปเดต

### อุปกรณ์ที่อัปเดตแล้วเสี่ยงต่อ APT29 watering hole มือถือ นี้หรือไม่?

ตามรายงานของ Sekoia ชุดเจาะทั้งสามชุดใช้ช่องโหว่ที่ผู้ผลิตแพตช์แล้วก่อนแคมเปญเริ่ม และไม่มี zero-day จึงใช้ไม่ได้กับอุปกรณ์ที่อัปเดตระบบปฏิบัติการและเบราว์เซอร์ครบ ความเสี่ยงอยู่ที่เครื่องที่ค้างรุ่นเก่า

### ข้อมูลอะไรถูกขโมยในแคมเปญนี้?

Sekoia ระบุว่าตัวขโมยข้อมูลดึงคุกกี้เบราว์เซอร์ ซึ่งอาจใช้ซ้ำเซสชันที่ล็อกอินไว้เพื่อเข้าเว็บเมลได้ บน iOS บางชุดดึงข้อมูลเครื่องทั้งหมด และบน Android ดึงข้อมูล Chrome กับรหัส Wi-Fi โดยไม่ฝังตัวถาวร

### ใครอยู่เบื้องหลังแคมเปญนี้?

Sekoia ประเมินด้วยความมั่นใจปานกลางถึงสูงว่าเป็น APT29 หรือกลุ่มย่อยของกลุ่มนี้ ซึ่งมีชื่ออื่นว่า Midnight Blizzard หรือ Cozy Bear และเชื่อมโยงกับ SVR ของรัสเซีย เป็นการประเมินจากหลักฐานทางเทคนิค ไม่ใช่การยืนยันจากหน่วยงานรัฐ


## แหล่งอ้างอิง

- [Poisoned Source: APT29 watering holes target mobile devices with n-day exploits](https://www.sekoia.com/blog/poisoned-source-apt29-watering-holes-targets-mobile-devices-with-n-day-exploits) — Sekoia Threat Detection & Research
- [Russian hackers target iOS and Android users with n-day exploits](https://www.helpnetsecurity.com/2026/11/04/apt29-watering-hole-mobile-devices-n-day-exploits/) — Help Net Security