สรุปสั้น

นักวิจัยด้านความปลอดภัยจาก FortiGuard Labs ของบริษัท Fortinet ตรวจพบ TrickBot สายพันธุ์ใหม่ที่ใช้เทคนิค “DNS tunneling” ในการแลกเปลี่ยนคำสั่งกับผู้ควบคุม แทนการเชื่อมต่อผ่าน HTTP แบบที่เห็นในเวอร์ชันก่อนหน้า มัลแวร์ตัวนี้ทำงานบน Windows และสามารถดาวน์โหลดโมดูลเพิ่มเติม รันโค้ด PowerShell ฉีดโค้ดเข้าไปในกระบวนการอื่น และสั่งรันคำสั่งบนเครื่องที่ติดมัลแวร์ได้ ทีมวิจัยเริ่มสังเกตเห็นตัวอย่างนี้หลังพบคำขอ DNS ที่มีรูปแบบผิดปกติ (malformed DNS queries) เมื่อวิเคราะห์ต่อจึงยืนยันว่าเป็นทราฟฟิกของ TrickBot ที่หันมาใช้ DNS แทนช่องทาง HTTP

โดยปกติ DNS มีหน้าที่แปลงชื่อเว็บไซต์ให้เป็นหมายเลข IP แต่ DNS tunneling เป็นการนำข้อมูลที่ไม่ใช่ DNS ยัดใส่ในคำขอและคำตอบ ทำให้มัลแวร์สื่อสารผ่านบริการที่แทบทุกเครือข่ายจำเป็นต้องเปิดไว้ ในกรณีนี้ TrickBot อำพรางการสื่อสารให้เหมือนการค้นหาชื่อเว็บทั่วไป โดยแตกคำสั่งออกเป็นชิ้นเล็กๆ แล้วสอดเข้าไปในคำขอที่ยิงไปยังโดเมน westurn.in ผ่านบริการ DNS สาธารณะของ Google ที่หมายเลข 8.8.8.8 ฝั่งเซิร์ฟเวอร์จะตอบกลับด้วยข้อมูลที่ทำให้ดูเหมือนหมายเลข IP ปกติ แล้ว TrickBot จะเก็บคำตอบเหล่านั้นมาประกอบกลับเป็นคำสั่งหรือไฟล์ที่ดาวน์โหลด ในการทดสอบของ Fortinet มัลแวร์สามารถถ่ายโอนไฟล์ขนาด 1.2 MB ได้ในเวลาราว 40 วินาที

รายละเอียดข่าว

เว็บไซต์ HackRead รายงานเมื่อวันที่ 23 กรกฎาคม 2569 ว่านักวิจัยของ FortiGuard Labs ระบุตัวอย่าง TrickBot ที่ใช้ DNS tunneling ในการติดต่อกับเซิร์ฟเวอร์ควบคุม (C2) ในช่วงที่ Fortinet ตรวจสอบ เซิร์ฟเวอร์ควบคุมต้นทางของมัลแวร์ถูกปิดไปแล้ว นักวิจัยจึงสร้างเซิร์ฟเวอร์จำลองที่ปลอดภัยขึ้นมาเพื่อยืนยันว่า TrickBot รับคำสั่งและโมดูลเพิ่มเติมอย่างไร

ตามบล็อกเชิงเทคนิคของ FortiGuard Labs เมื่อเครื่องติดมัลแวร์ TrickBot จะสร้าง scheduled task ของ Windows ที่ทำงานตอนเปิดเครื่องและวนซ้ำทุก 5 นาที โดยตั้งชื่องานให้ดูเหมือนการอัปเดตซอฟต์แวร์ทั่วไป เช่น “Wireshark autoupdate” ตามด้วยตัวเลขสุ่ม เพื่อให้กลมกลืน นอกจากนี้มัลแวร์ยังเก็บชื่องานและ path ของไฟล์ปฏิบัติการไว้ใน NTFS Alternate Data Streams (ADS) ซึ่งเป็นฟีเจอร์ของ Windows ที่อนุญาตให้แนบข้อมูลเพิ่มเข้าไปกับไฟล์โดยไม่ปรากฏเป็นไฟล์แยกต่างหาก ทำให้การตั้งค่าดังกล่าวสังเกตเห็นได้ยากในการตรวจสอบตามปกติ เมื่อมัลแวร์ทำงาน มันจะอ่านค่าที่เก็บไว้เหล่านั้นและสร้าง scheduled task ขึ้นใหม่หากถูกลบ อีกทั้งยังเข้ารหัสสตริงภายในและ resolve ฟังก์ชันของ Windows ตอนรันไทม์ เพื่อทำให้การวิเคราะห์แบบสถิต (static analysis) ยุ่งยากขึ้น

Fortinet พบตัวอย่างหลายไฟล์ที่มีค่าแฮชต่างกันแต่มีโค้ดตอนเริ่มทำงานและพฤติกรรมเหมือนกัน บ่งชี้ว่าเป็นแคมเปญเดียวกัน ผลิตภัณฑ์แอนตี้ไวรัสของบริษัทตรวจจับไฟล์เหล่านี้ในชื่อ W64/TrickBot.WC!tr ส่วนโดเมนของเซิร์ฟเวอร์ควบคุมถูกจัดว่าเป็นอันตราย ทั้งนี้ TrickBot ปรากฏตัวครั้งแรกในปี 2559 ในฐานะโทรจันธนาคาร (banking trojan) ก่อนพัฒนาเป็นแพลตฟอร์มมัลแวร์แบบโมดูลที่ใช้ขโมยข้อมูลประจำตัวและปล่อยแรนซัมแวร์ ต่อมาในปี 2563 บริษัท Microsoft ร่วมกับหลายบริษัทด้านความปลอดภัยได้ทลายโครงสร้างพื้นฐานส่วนใหญ่ของมัน แต่งานวิจัยในเวลาต่อมายังพบกิจกรรมที่เกี่ยวข้องกับ TrickBot อย่างต่อเนื่อง

วิธีการโจมตี

คำสั่งที่สายพันธุ์นี้รองรับเปิดทางให้ผู้ควบคุมดาวน์โหลดโมดูลที่เป็นไฟล์ปฏิบัติการหรือ DLL แล้วสั่งรันได้หลายวิธี ทั้งการเรียกผ่าน rundll32.exe การฉีดเข้าไปในกระบวนการอื่น หรือรันภายในหน่วยความจำของ TrickBot เองโดยตรง นอกจากนี้ยังมีคำสั่งที่เปิดการเข้าถึง command prompt และ PowerShell ของ Windows ซึ่งให้ผู้ควบคุมสามารถรันคำสั่ง ติดตั้งมัลแวร์เพิ่ม และควบคุมเครื่องที่ถูกเจาะได้เต็มรูปแบบ จุดสำคัญที่ทำให้สายพันธุ์นี้ตรวจจับยากคือการซ่อนช่องทางสื่อสารไว้ในทราฟฟิก DNS ซึ่งเป็นบริการที่เครือข่ายส่วนใหญ่จำเป็นต้องเปิดใช้งานและมักไม่ได้ตรวจสอบเนื้อหาอย่างละเอียด

ผลกระทบต่อไทย

องค์กรในไทยจำนวนมากใช้ระบบ Windows เป็นเครื่องปลายทางหลัก และมักตั้งกฎไฟร์วอลล์ให้ทราฟฟิก DNS ผ่านออกได้อย่างเสรีเพื่อไม่ให้กระทบการใช้งาน จุดนี้เองที่ TrickBot สายพันธุ์ใหม่อาศัยเป็นช่องหลบเลี่ยง เพราะการสื่อสารกับเซิร์ฟเวอร์ควบคุมถูกอำพรางเป็นการค้นชื่อเว็บปกติ ทำให้เครื่องมือรักษาความปลอดภัยที่จับเฉพาะทราฟฟิก HTTP/HTTPS อาจมองไม่เห็น องค์กรที่พึ่งพาการกรองที่เว็บพร็อกซีเพียงอย่างเดียวจึงมีความเสี่ยง อีกทั้ง TrickBot มีประวัติเป็นบันไดพาแรนซัมแวร์เข้าองค์กร การปล่อยให้มันฝังตัวได้จึงอาจนำไปสู่การเข้ารหัสเรียกค่าไถ่ในภายหลัง

คำแนะนำ

สำหรับผู้ดูแลระบบ Windows ควรเฝ้าระวังคำขอ DNS ที่ยาวผิดปกติ คำขอที่ยิงซ้ำไปยังซับโดเมนแปลกๆ ที่ไม่คุ้นเคย และ scheduled task ที่ปลอมชื่อเป็นตัวอัปเดตซอฟต์แวร์ ควรพิจารณาบังคับให้เครื่องภายในสอบถาม DNS ผ่านเซิร์ฟเวอร์ภายในองค์กรเท่านั้น และบล็อกไม่ให้เครื่องปลายทางเรียก DNS สาธารณะ(เช่น 8.8.8.8) ออกไปตรงๆ พร้อมเปิดการบันทึกและวิเคราะห์ log ของ DNS เพื่อตรวจหา tunneling นอกจากนี้ควรเฝ้าติดตามกิจกรรม PowerShell การสร้างบริการใหม่ การฉีดโค้ดเข้ากระบวนการ (process injection) และทราฟฟิก DNS ที่ไม่ได้รับอนุญาต ซึ่งช่วยให้ระบุเครื่องที่ถูกเจาะได้ ควรบล็อกโดเมนและตัวบ่งชี้ที่ Fortinet เผยแพร่ และตรวจสอบ NTFS Alternate Data Streams บนเครื่องต้องสงสัยเพิ่มเติม

แหล่งอ้างอิง