สรุปสั้น
บริษัท Microsoft ออกมาเตือนว่าตรวจพบการโจมตีด้วยมัลแวร์ ACR Stealer เพิ่มสูงขึ้นอย่างมีนัยสำคัญในกลุ่มลูกค้าองค์กรของตน โดยมัลแวร์ตัวนี้มุ่งขโมยรหัสผ่านที่เก็บไว้ในเบราว์เซอร์ โทเคนยืนยันตัวตน และเอกสารที่มีความอ่อนไหว ระหว่างช่วงปลายเดือนเมษายนถึงกลางเดือนมิถุนายน ผู้โจมตีใช้วิธีวิศวกรรมสังคมแบบ ClickFix ร่วมกับเซิร์ฟเวอร์ WebDAV และเครื่องมือ MSHTA (Microsoft HTML Application Host) เพื่อส่งเพย์โหลดขโมยข้อมูลเข้าสู่เครื่องเหยื่อ โดย ACR Stealer เป็นปฏิบัติการแบบมัลแวร์ให้เช่าใช้ (Malware-as-a-Service หรือ MaaS) ซึ่งเชื่อกันว่าเป็นการเปลี่ยนชื่อมาจากมัลแวร์ Amatera Stealer
สิ่งที่ทำให้ ACR Stealer อันตรายต่อองค์กรเป็นพิเศษคือขอบเขตของข้อมูลที่มันไล่เก็บ ไม่ได้จำกัดแค่รหัสผ่านและคุกกี้ในเบราว์เซอร์ แต่รวมถึงข้อมูลเซสชันและโทเคนยืนยันตัวตนที่ใช้ข้ามด่านการยืนยันตัวตนหลายปัจจัยได้ ตลอดจนไฟล์ PDF เอกสาร Microsoft 365 ไฟล์ในโฟลเดอร์ Desktop และ Downloads รวมถึงไดเรกทอรีของ OneDrive และ SharePoint ที่ซิงก์ข้อมูลองค์กรลงมาบนเครื่อง มัลแวร์ยังถอดรหัสข้อมูลในเบราว์เซอร์ผ่าน Windows Data Protection API (DPAPI) เพื่อเข้าถึงฐานข้อมูลของ Chrome และ Edge ได้โดยตรง โดยบริษัท Microsoft ย้ำว่าสองแคมเปญที่เปิดเผยนี้เป็นเพียงวิธีส่งมัลแวร์ที่พบบ่อยที่สุด และมีความเป็นไปได้สูงมากว่ายังมีห่วงโซ่การโจมตีรูปแบบอื่นอยู่อีก
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 18 กรกฎาคม 2569 ว่า บริษัท Microsoft เผยแพร่รายงานในสัปดาห์นี้ ระบุว่าสังเกตเห็นการโจมตีที่ใช้มัลแวร์ ACR Stealer เพิ่มสูงขึ้น เพื่อขโมยรหัสผ่านที่เก็บในเบราว์เซอร์ โทเคนยืนยันตัวตน และเอกสารอ่อนไหวจากลูกค้าองค์กรของบริษัท
แม้มัลแวร์ตัวนี้จะมีวิธีการส่งเข้าเครื่องเหยื่อหลายรูปแบบ แต่บริษัท Microsoft ชี้ว่ามีห่วงโซ่การบุกรุก 2 แบบที่พบบ่อยที่สุด แบบแรกเริ่มจากกลลวง ClickFix ที่หลอกให้ผู้ใช้รันคำสั่งเพื่อเรียกไฟล์ DLL อันตรายจากแหล่งแชร์ WebDAV ระยะไกลผ่าน rundll32.exe ซึ่งการฉวยใช้ WebDAV เป็นกลยุทธ์ที่พบได้ทั่วไป และเคยถูกใช้ในการโจมตีที่ส่งมัลแวร์ Bumblebee และ Voldemort มาก่อน โดยผู้โจมตีมักใช้โครงสร้างไดเรกทอรีและชื่อไฟล์ที่อิงกับ GUID ในเส้นทาง WebDAV เพื่อเลียนแบบทรัพยากรที่ถูกต้อง เช่น google.ct และกลมกลืนไปกับการรับส่งข้อมูลปกติในเครือข่าย
หลังจากสร้างการติดต่อกับโครงสร้างพื้นฐานสั่งการและควบคุม (C2) ได้แล้ว จะมีการรัน “สคริปต์ PowerShell ที่ถูกทำให้อ่านยากอย่างหนัก” เพื่อเปิดตัวติดตั้งมัลแวร์และสร้างกลไกฝังตัว กระบวนการนี้จะติดตั้งตัวโหลดที่เขียนด้วย Python ซึ่งพ่วงมาด้วยกัน สร้างงานตามเวลาที่อำพรางให้ดูเหมือนการอัปเดตซอฟต์แวร์ ปลอมแปลงเวลาประทับของไฟล์ ล้างประวัติคำสั่ง PowerShell และฉีดเพย์โหลดสุดท้ายเข้าไปยังกระบวนการของระบบเพื่อรันในหน่วยความจำ นอกจากนี้บางสายพันธุ์ยังใช้บริการบล็อกเชนสาธารณะเป็นจุดรับส่งข้อมูลลับ เพื่อดึงตำแหน่งเพย์โหลดหรือที่อยู่ C2 ชุดใหม่ ซึ่งเป็นเทคนิคที่รู้จักกันในชื่อ EtherHiding
ส่วนห่วงโซ่การส่งแบบที่สอง ผู้โจมตีใช้ ClickFix เพื่อเรียก MSHTA ให้ดึงเนื้อหาอันตรายจากเซิร์ฟเวอร์ของผู้โจมตีมารัน ซึ่งจะเป็นตัวดาวน์โหลด PowerShell ที่ถูกทำให้อ่านยาก จากนั้นมัลแวร์จะดึงเพย์โหลดที่เข้ารหัสไว้ออกจากภาพ JPEG ที่ซ่อนข้อมูลด้วยเทคนิค Steganography ซึ่งโฮสต์อยู่บนอินเทอร์เน็ตแบบสาธารณะ แล้วรันเพย์โหลดนั้นในหน่วยความจำโดยตรง จุดร่วมของทั้งสองแบบคือเพย์โหลดไม่เคยถูกเขียนลงดิสก์ในรูปแบบที่ตรวจจับได้ง่าย
วิธีการโจมตี
แม้ห่วงโซ่การส่งจะต่างกัน แต่เป้าหมายของ ACR Stealer ยังคงเหมือนเดิมคือการขโมยข้อมูลอ่อนไหว โดยความสามารถหลักประกอบด้วยการขโมยรหัสผ่าน คุกกี้ ข้อมูลเซสชัน และโทเคนยืนยันตัวตนที่เก็บอยู่ในเว็บเบราว์เซอร์ การถอดรหัสข้อมูลในเบราว์เซอร์ผ่าน Windows Data Protection API (DPAPI) การเข้าถึงฐานข้อมูลของเบราว์เซอร์ตระกูล Chromium ทั้ง Chrome และ Edge การค้นหาไฟล์ PDF และเอกสาร Microsoft 365 การเก็บไฟล์จากโฟลเดอร์ Desktop และ Downloads รวมถึงการมุ่งเป้าไปที่ไดเรกทอรีของ OneDrive และ SharePoint ที่ซิงก์ข้อมูลขององค์กรลงมาบนเครื่อง เมื่อรวบรวมข้อมูลครบแล้ว มัลแวร์จะบีบอัดเป็นไฟล์เก็บถาวรเพื่อเตรียมส่งออกไปยังผู้โจมตี
จุดที่ควรเข้าใจคือการขโมยโทเคนเซสชันนั้นอันตรายกว่าการขโมยรหัสผ่านมาก เพราะโทเคนที่ถูกออกมาแล้วหมายความว่าผู้ใช้ผ่านการยืนยันตัวตนหลายปัจจัยไปเรียบร้อย ผู้โจมตีที่ได้โทเคนไปจึงสวมรอยเข้าใช้บัญชีได้ทันทีโดยไม่ต้องผ่านด่าน MFA อีก และการเปลี่ยนรหัสผ่านเพียงอย่างเดียวก็ไม่ช่วยตัดการเข้าถึง ต้องเพิกถอนเซสชันทั้งหมดด้วย ส่วนการที่มัลแวร์เจาะจงไปที่ไดเรกทอรี OneDrive และ SharePoint ที่ซิงก์ลงเครื่อง สะท้อนว่าผู้โจมตีเข้าใจดีว่าเอกสารสำคัญขององค์กรจำนวนมากอยู่บนเครื่องพนักงานในรูปสำเนาที่ซิงก์มา ไม่ได้อยู่แค่บนคลาวด์
ในแง่การหลบเลี่ยงการตรวจจับ ห่วงโซ่ทั้งสองแบบอาศัยเครื่องมือที่มีอยู่แล้วในระบบปฏิบัติการ Windows ทั้ง rundll32.exe, mshta.exe และ PowerShell ซึ่งเป็นเทคนิคที่เรียกว่าการอยู่รอดด้วยของที่มีในบ้าน (Living off the Land) ทำให้กิจกรรมของผู้โจมตีกลืนไปกับการทำงานปกติของระบบ ประกอบกับการซ่อนเพย์โหลดในภาพ JPEG การใช้บล็อกเชนสาธารณะเป็นจุดชี้ตำแหน่ง C2 และการรันเพย์โหลดในหน่วยความจำ ทำให้การตรวจจับด้วยการสแกนไฟล์บนดิสก์แบบดั้งเดิมแทบไม่ได้ผล บริษัท Microsoft เตือนว่า “สองแคมเปญนี้เป็นตัวแทนของแคมเปญส่ง ACR Stealer ที่พบบ่อยที่สุดโดยทีม Defender Experts เท่านั้น ไม่ได้ครอบคลุมวิธีการส่งทั้งหมดที่มัลแวร์ตระกูลนี้ใช้”
ผลกระทบต่อไทย
องค์กรไทยจำนวนมากใช้ Microsoft 365 เป็นระบบหลักในการทำงานประจำวัน ทั้งอีเมล เอกสาร และการจัดเก็บไฟล์ผ่าน OneDrive และ SharePoint ซึ่งเป็นเป้าหมายที่ ACR Stealer เจาะจงไล่เก็บโดยตรง เมื่อพนักงานเพียงคนเดียวติดมัลแวร์ ผู้โจมตีจึงไม่ได้แค่รหัสผ่านของคนนั้น แต่ได้เอกสารองค์กรที่ซิงก์อยู่บนเครื่องไปทั้งชุด พร้อมโทเคนที่ใช้เข้าระบบคลาวด์ต่อได้ทันที
กลลวง ClickFix ที่เป็นจุดเริ่มต้นของการโจมตีนี้ยังเป็นภัยที่คนไทยรับมือได้ยากเป็นพิเศษ เพราะหลอกให้เหยื่อลงมือเองด้วยการคัดลอกคำสั่งไปวางในหน้าต่างรัน โดยอ้างว่าเป็นการแก้ปัญหาที่หน้าเว็บแสดงผลผิดพลาด หรือเป็นการยืนยันว่าไม่ใช่หุ่นยนต์ ซึ่งดูสมเหตุสมผลสำหรับผู้ใช้ทั่วไปที่ไม่ได้มีพื้นฐานทางเทคนิค และเนื่องจากเหยื่อเป็นผู้รันคำสั่งด้วยตัวเอง ระบบป้องกันจึงมองว่าเป็นการกระทำที่ผู้ใช้อนุญาต ทำให้ผ่านด่านหลายชั้นไปได้ นอกจากนี้ ACR Stealer ยังเป็นบริการให้เช่าใช้ หมายความว่าผู้โจมตีระดับล่างที่ไม่มีทักษะสูงก็สามารถซื้อมาใช้โจมตีองค์กรไทยได้ ต้นทุนการโจมตีจึงต่ำและปริมาณมีแนวโน้มเพิ่มขึ้น
คำแนะนำ
หลักป้องกันพื้นฐานที่สุดสำหรับการโจมตีแบบ ClickFix คือ ผู้ใช้ไม่ควรคัดลอกคำสั่งไปวางและรันในหน้าต่างรับคำสั่งใดๆ โดยเด็ดขาด โดยเฉพาะเมื่อคำสั่งนั้นอ้างว่าจะแก้ปัญหาข้อผิดพลาดหรือใช้ยืนยันว่าไม่ใช่หุ่นยนต์ องค์กรควรสื่อสารกฎข้อนี้ให้พนักงานทุกคนเข้าใจตรงกัน เพราะเป็นจุดตัดสินที่ขวางการโจมตีได้ตั้งแต่ก้าวแรก
บริษัท Microsoft แนะนำให้องค์กรลดพื้นที่เสี่ยงจากห่วงโซ่การส่งมัลแวร์ผ่านเว็บ ด้วยการบังคับใช้ตัวกรองเนื้อหา ปิดกั้นโดเมนที่มีชื่อเสียงต่ำหรือเพิ่งจดทะเบียนใหม่ และจำกัดการเข้าถึงทรัพยากรออนไลน์ที่ไม่จำเป็นต่อการดำเนินธุรกิจ ควบคู่กับการใช้กฎควบคุมแอปพลิเคชันเพื่อจำกัดการเปิดเนื้อหาจากแหล่งระยะไกลด้วยเครื่องมืออย่าง PowerShell, Python, mshta.exe หรือ rundll32.exe โดยเฉพาะจากเส้นทางที่ผู้ใช้เขียนไฟล์ได้ นอกจากนี้ควรพิจารณาปิดกั้นการเชื่อมต่อ WebDAV ออกสู่ภายนอกหากองค์กรไม่ได้ใช้งานจริง
หากพบว่าเครื่องใดติดมัลแวร์ตัวนี้ ต้องถือว่าข้อมูลรับรองทุกชุดบนเครื่องนั้นรั่วไหลแล้ว และการเปลี่ยนรหัสผ่านอย่างเดียวไม่เพียงพอ ต้องเพิกถอนเซสชันและโทเคนยืนยันตัวตนทั้งหมดของผู้ใช้รายนั้นด้วย เพราะผู้โจมตีสามารถใช้โทเคนที่ขโมยไปข้ามด่าน MFA ได้ พร้อมทั้งตรวจสอบว่ามีการเข้าถึงบัญชีจากอุปกรณ์หรือตำแหน่งที่ผิดปกติหรือไม่ และทบทวนว่าเอกสารใดบ้างที่ซิงก์อยู่บนเครื่องนั้น เพื่อประเมินขอบเขตข้อมูลที่อาจรั่วไหล สุดท้ายควรเปิดใช้การเฝ้าระวังพฤติกรรมของกระบวนการระบบ โดยตั้งการแจ้งเตือนเมื่อ rundll32.exe หรือ mshta.exe เรียกทรัพยากรจากภายนอก และเมื่อมีการสร้างงานตามเวลาที่อ้างว่าเป็นการอัปเดตซอฟต์แวร์แต่ไม่ตรงกับรายการซอฟต์แวร์ที่องค์กรใช้จริง