แฮกเกอร์ใช้ Gemini CLI ช่วยสร้างเซิร์ฟเวอร์มัลแวร์พร้อมใช้ใน 6 นาที

นักวิจัยด้านความปลอดภัยไซเบอร์เปิดเผยกรณีศึกษาที่สะท้อนบทบาทของ AI ในโลกอาชญากรรมไซเบอร์ เมื่อแฮกเกอร์ที่ใช้ชื่อว่า “bandcampro” สามารถใช้ Google Gemini CLI เป็นผู้ช่วยในการ สร้างและเปิดใช้งานเซิร์ฟเวอร์ควบคุมมัลแวร์ (Command-and-Control หรือ C2) ตั้งแต่ติดตั้งเซิร์ฟเวอร์ใหม่ ตั้งค่าเครือข่าย ไปจนถึงกู้คืนการเชื่อมต่อของเครื่องที่ติดมัลแวร์ได้ภายในเวลาเพียง 6 นาที

รายงานจาก TrendAI ระบุว่า การวิเคราะห์บันทึกการใช้งาน Gemini CLI ระหว่างวันที่ 19 มีนาคม ถึง 21 เมษายน 2026 เผยให้เห็นกระบวนการทำงานของผู้โจมตีที่อาศัย AI ในการดำเนินงานแทบทุกขั้นตอน โดยผู้โจมตีเพียงสั่งงานเป็นภาษารัสเซียในระดับภาพรวม ส่วน AI รับหน้าที่วางโครงสร้างระบบ เขียนโค้ด รันคำสั่ง แก้ไขปัญหา และเสนอแนวทางดำเนินการโดยอัตโนมัติ

แฮกเกอร์แค่สั่ง AI ทำให้เกือบทั้งหมด

เมื่อผู้โจมตีต้องการ สร้างเซิร์ฟเวอร์ C2 ขึ้นบน VPS เครื่องใหม่ เขาเพียงพิมพ์คำสั่งสั้น ๆ ว่า “Study the C2 migration” จากนั้น Gemini CLI ก็เริ่มอ่านคู่มือ แตกไฟล์สำหรับติดตั้ง สร้าง VPS เปิดใช้งานบริการ C2 และตั้งค่า Cloudflare Tunnel ให้โดยอัตโนมัติ ทั้งหมดนี้เกิดขึ้นโดยแทบไม่ต้องให้ผู้โจมตีลงมือแก้ปัญหาทางเทคนิคเอง ทำให้ เซิร์ฟเวอร์มัลแวร์เครื่องใหม่พร้อมใช้งานภายในเวลาเพียง 6 นาที

ระหว่างกระบวนการติดตั้ง AI ยังสามารถวิเคราะห์และแก้ไขข้อผิดพลาดได้เอง เช่น เมื่อเซิร์ฟเวอร์ส่งกลับข้อความผิดพลาด 502 Bad Gateway ระบบ AI ตรวจพบสาเหตุและปรับแต่งการตั้งค่าการเชื่อมต่อจนใช้งานได้ ต่อมาเมื่อ Cloudflare ปฏิเสธการรับส่งข้อมูล AI ยังวิเคราะห์ว่าคำขอไม่มี User-Agent Header จึงแก้ไขรูปแบบการส่งข้อมูลจนสามารถเชื่อมต่อได้สำเร็จ

ทั้งหมดนี้เกิดขึ้นโดยแทบไม่ต้องให้ผู้โจมตีลงมือแก้ปัญหาทางเทคนิคเอง

สร้างโครงสร้างมัลแวร์ใหม่ได้ง่ายเพียงมีไฟล์ไม่กี่ไฟล์

โครงสร้างของ C2 Framework มีขนาดเล็กมาก โดยสามารถสร้างระบบทั้งหมดขึ้นใหม่ได้จากไฟล์ข้อความธรรมดาเพียง 3 ไฟล์ รวมขนาดประมาณ 555 KB ได้แก่

• ไฟล์คำสั่งสำหรับหลีกเลี่ยงข้อจำกัดของ AI (Jailbreak Prompt)
• คู่มือการปฏิบัติงานของระบบ C2
• คู่มือการย้ายระบบ (Migration Guide)

ไฟล์เหล่านี้บันทึกทุกขั้นตอนของระบบ ตั้งแต่วิธีติดตั้ง การรักษาการเชื่อมต่อ วิธีแก้ไขปัญหา ไปจนถึงการกู้คืนระบบบนเซิร์ฟเวอร์ใหม่ ทำให้ผู้โจมตีสามารถให้ AI สร้างโครงสร้างพื้นฐานขึ้นใหม่ได้แทบทุกที่

นักวิจัยมองว่านี่คือความเปลี่ยนแปลงสำคัญ เพราะการยึดหรือปิดเซิร์ฟเวอร์ของผู้โจมตีอาจไม่ใช่อุปสรรคเหมือนในอดีตอีกต่อไป หากผู้โจมตีสามารถใช้ AI สร้างระบบขึ้นใหม่ได้ภายในไม่กี่นาที

AI ไม่ได้ช่วยแค่เขียนโค้ด แต่กลายเป็นผู้ช่วยของอาชญากรไซเบอร์

การวิเคราะห์บันทึกการใช้งานกว่า 200 เซสชัน พบว่า ผู้โจมตีเป็นผู้พิมพ์ข้อความเพียง 11% ของเนื้อหาทั้งหมด ขณะที่ 89% เป็นข้อความที่ AI สร้างขึ้น รวมถึงข้อเสนอแนะเพิ่มเติมที่ AI เสนอเองถึง 59 ครั้ง ระหว่างการย้ายระบบ

นอกจากการบริหาร Botnet แล้ว ผู้โจมตียังใช้ Gemini CLI เพื่อช่วยเปลี่ยนแปลงข้อมูลรับรองบัญชีผู้ใช้ วิเคราะห์ข้อมูลที่ขโมยมา สำรวจเป้าหมาย ตั้งค่า Residential Proxy พยายามเดารหัสผ่านผู้ดูแลระบบ WordPress และแม้แต่ช่วยวางแผนการหลอกลวงเกี่ยวกับคริปโทเคอร์เรนซีที่มุ่งเป้าผู้สูงอายุในสหรัฐฯ และแคนาดา

รายงานระบุว่า Gemini CLI ปฏิเสธคำขอหนึ่งที่เกี่ยวข้องกับการสร้างมัลแวร์ที่สามารถแพร่กระจายตัวเองได้ แต่กรณีศึกษานี้แสดงให้เห็นว่า หากผู้โจมตีสามารถหลีกเลี่ยงข้อจำกัดของ AI หรือใช้เทคนิค Jailbreak ได้ AI ก็อาจถูกนำมาใช้สนับสนุนการก่ออาชญากรรมไซเบอร์ได้อย่างมีประสิทธิภาพ

TrendAI จึงแนะนำให้องค์กรปรับแนวทางการตรวจจับภัยคุกคาม โดยเน้นพฤติกรรมที่ผิดปกติ เช่น การเชื่อมต่อ HTTPS ไปยังเซิร์ฟเวอร์ภายนอกเป็นระยะ การรัน PowerShell ที่น่าสงสัย การใช้งาน Cloudflare Tunnel อย่างผิดปกติ รวมถึงการสร้าง WMI Event และ Scheduled Task ที่ใช้รักษาการทำงานของมัลแวร์

ที่มา