สรุปสั้น
นักวิจัยจากบริษัท ReliaQuest เปิดเผยว่า มีแฮ็กเกอร์กำลังเปลี่ยนการตั้งค่า DNS บนอุปกรณ์ Wi-Fi ตามโรงแรมและศูนย์ประชุม เพื่อเปลี่ยนเส้นทางผู้ใช้ไปยังหน้าล็อกอิน Microsoft 365 ปลอม แคมเปญนี้ดำเนินมาตั้งแต่อย่างน้อยเดือนมิถุนายนและกระทบองค์กรในหลายภาคส่วน ทั้งบริการทางการเงิน บริการมืออาชีพ กฎหมาย สาธารณสุข พลังงาน และค้าปลีก โดยบริษัท ReliaQuest ตรวจพบเกตเวย์ Wi-Fi ที่ถูกเจาะในหลายเมืองของสหรัฐฯ รวมถึงภูมิภาคอื่นอย่างอินเดียและซาอุดีอาระเบีย เนื่องจากอุปกรณ์เหล่านี้ให้บริการงานอีเวนต์ขององค์กร การยึดบัญชี Microsoft 365 จึงอาจเปิดทางให้ผู้โจมตีเข้าถึงข้อมูลธุรกิจอ่อนไหว การสื่อสาร และเอกสารส่วนตัวได้
บริษัท ReliaQuest ระบุว่าเห็นทราฟฟิกวิ่งไปยังเกตเวย์ที่ถูกเจาะจากองค์กรหลากหลายอุตสาหกรรม ซึ่งยืนยันว่านี่ไม่ใช่การเจาะจงเฉพาะภาคส่วน แต่เป็นแคมเปญที่มุ่งเป้าพนักงานที่เดินทางไม่ว่าจะเชื่อมต่อจากที่ใด และเชื่อว่ากิจกรรมนี้คล้ายกับแคมเปญที่อาศัยเราเตอร์ในชื่อ FrostArmada ซึ่งถูกโยงกับกลุ่มจารกรรมรัสเซีย APT28 (หรือ Fancy Bear, Forest Blizzard) จุดที่อันตรายเป็นพิเศษคือ การโจมตีนี้สามารถข้ามการยืนยันตัวตนหลายปัจจัย (MFA) ได้โดยไม่ต้องขโมยรหัสผ่านหรือดักโทเคนเลย
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 24 กรกฎาคม พ.ศ. 2569 ว่า แฮ็กเกอร์กำลังเปลี่ยนการตั้งค่า DNS บนอุปกรณ์ Wi-Fi ในโรงแรมและศูนย์ประชุมเพื่อเปลี่ยนเส้นทางผู้ใช้ไปยังหน้า Microsoft 365 ปลอม ยังไม่ชัดเจนว่าผู้โจมตีเข้าถึงอุปกรณ์ Wi-Fi ได้อย่างไร แต่บริษัท ReliaQuest ระบุว่าผู้ก่อภัยอาจใช้ประโยชน์จากอินเทอร์เฟซการจัดการที่เปิดออกสู่ภายนอกและป้องกันอ่อน (เช่น SSH, SNMP, แดชบอร์ดผู้ดูแลผ่านเว็บ) หรือช่องโหว่ต่าง ๆ
เมื่อผู้โจมตีได้สิทธิ์ผู้ดูแลระบบแล้ว จะสามารถแก้ไขการตั้งค่า DNS ของเกตเวย์เพื่อเปลี่ยนเส้นทางการเชื่อมต่อที่มุ่งไปยังโดเมนที่ถูกต้อง ให้ไปยังโครงสร้างพื้นฐานที่ผู้โจมตีควบคุมแทน โดยบริษัท ReliaQuest ระบุว่าผู้โจมตีจดทะเบียนโดเมนอย่างน้อย 4 รายการสำหรับตั้งพอร์ทัลล็อกอิน Microsoft ปลอม เมื่อการตั้งค่า DNS ถูกเปลี่ยน ผู้ใช้ที่พยายามเข้าพอร์ทัลล็อกอิน Microsoft ที่ถูกต้องก็จะไปโผล่ที่หน้าฟิชชิงของแฮ็กเกอร์และกรอกข้อมูลรับรองลงไป
ในบางกรณี นักวิจัยพบการใช้กระบวนการยืนยันตัวตนแบบ device-code ที่เป้าหมายถูกเปลี่ยนเส้นทางไปยังหน้า Microsoft ปลอมพร้อมข้อความแจ้ง สิ่งที่ผู้ใช้มองไม่เห็นคือ การอนุมัติคำขอนั้นเท่ากับอนุญาตเซสชันที่ผู้โจมตีเป็นผู้เริ่ม ทำให้โทเคน OAuth ที่ถูกต้องถูกออกให้กับไคลเอนต์ของผู้โจมตี ซึ่งเป็นการข้ามการป้องกัน MFA โดยไม่ต้องขโมยข้อมูลรับรองหรือดักโทเคนการเข้าถึงเลย
วิธีการโจมตี
ในราวหนึ่งในสามของกรณีที่สอบสวน ผู้โจมตียังพยายามฉวยกลไก Web Proxy Auto-Discovery (WPAD) ด้วยการตอบกลับการค้นหา WPAD อัตโนมัติของ Windows ด้วยไฟล์ proxy auto-configuration (PAC) ที่เป็นอันตราย ซึ่งในทางทฤษฎีจะทำให้ทราฟฟิกจากแอปพลิเคชัน Windows รวมถึง Chrome ถูกส่งผ่านพร็อกซีที่ผู้โจมตีควบคุม แต่บริษัท ReliaQuest ยืนยันไม่ได้ว่าการโจมตีส่วนนี้สำเร็จหรือไม่
นักวิจัยเน้นย้ำว่า การใช้เซิร์ฟเวอร์ DNS สาธารณะอย่าง 8.8.8.8 ของ Google ไม่สามารถป้องกันการโจมตีนี้ได้ เพราะเกตเวย์จะปลอมคำขอที่เป็น plain-text ตั้งแต่ก่อนที่มันจะไปถึง resolver ปลายทาง นี่จึงเป็นการโจมตีที่ระดับโครงสร้างพื้นฐานเครือข่ายที่ผู้ใช้ปลายทางแทบไม่มีทางสังเกตเห็น
Indicators of Compromise (IoCs)
หมายเหตุ: โดเมนด้านล่างถูก defang (แทน . ด้วย [.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ
| ประเภท | Indicator | รายละเอียด |
|---|---|---|
| Domain | m365-owa[.]com | โดเมนพอร์ทัลล็อกอิน Microsoft 365 ปลอม |
| Domain | owa-ms365[.]com | โดเมนพอร์ทัลล็อกอิน Microsoft 365 ปลอม |
| Domain | ms365-device[.]com | โดเมนพอร์ทัลล็อกอิน Microsoft 365 ปลอม |
| Domain | ms365-live[.]com | โดเมนพอร์ทัลล็อกอิน Microsoft 365 ปลอม |
ผลกระทบต่อไทย
การโจมตีนี้มุ่งเป้าพนักงานที่เดินทางและใช้ Wi-Fi สาธารณะตามโรงแรมและศูนย์ประชุมโดยตรง ซึ่งเป็นสถานการณ์ที่พบได้ทั่วไปกับผู้บริหารและพนักงานไทยที่เดินทางไปประชุมหรือสัมมนาทั้งในและต่างประเทศ เมื่อโครงสร้างพื้นฐานที่ถูกโจมตีอยู่ในเมืองใหญ่หลายแห่งทั่วโลกรวมถึงในภูมิภาคเอเชียอย่างอินเดีย ความเสี่ยงที่คนไทยจะเชื่อมต่อเข้ากับเกตเวย์ที่ถูกเจาะจึงมีจริง โดยเฉพาะเมื่อ Microsoft 365 เป็นระบบอีเมลและเอกสารหลักขององค์กรไทยจำนวนมาก
จุดที่ทำให้การโจมตีนี้อันตรายเป็นพิเศษคือ ความสามารถในการข้าม MFA ผ่านกลไก device-code ซึ่งหลายองค์กรเข้าใจผิดว่า MFA คือเกราะป้องกันที่เพียงพอ การที่ผู้โจมตีได้โทเคน OAuth ที่ถูกต้องไปเลยหมายความว่าสามารถเข้าถึงบัญชีได้โดยไม่ต้องรู้รหัสผ่านและไม่กระตุ้นการแจ้งเตือนตามปกติ องค์กรไทยที่มีพนักงานเดินทางบ่อยจึงควรทบทวนนโยบายการเชื่อมต่อเครือข่ายนอกสำนักงานอย่างจริงจัง
คำแนะนำ
บริษัท ReliaQuest แนะนำให้ใช้ VPN แบบ full-tunnel ที่เปิดตลอดเวลา (always-on) ร่วมกับ DNS ที่เข้ารหัสในโหมด strict เป็นมาตรการป้องกันที่มั่นคง เพราะจะทำให้ทราฟฟิกและการ resolve DNS ไม่ผ่านเกตเวย์ที่ถูกเจาะ นอกจากนี้ควรปิดใช้ WPAD ตรวจสอบ log เพื่อหากิจกรรมที่น่าสงสัย และปิดกระบวนการยืนยันตัวตนแบบ Device Code ใน Microsoft Entra ID เมื่อไม่จำเป็นต้องใช้ เพื่อตัดช่องทางที่ผู้โจมตีใช้ข้าม MFA องค์กรควรอบรมพนักงานที่เดินทางให้ระวังการกรอกข้อมูลล็อกอินและอนุมัติคำขอ device-code เมื่อเชื่อมต่อ Wi-Fi สาธารณะ และตรวจสอบใบรับรอง (certificate) ของหน้าเว็บก่อนกรอกข้อมูลเสมอ