สรุปสั้น
บริษัท Proofpoint เปิดเผยบริการหุ้มมัลแวร์ (crypter) ตัวใหม่ชื่อ Cruciferra ที่กลุ่มอาชญากรไซเบอร์เชื่อมโยงจีนใช้อยู่เบื้องหลังแคมเปญฟิชชิงธีมภาษีเงินได้ที่มุ่งเป้าผู้เสียภาษี ผู้เชี่ยวชาญด้านภาษี และทีมการเงินองค์กรในอินเดีย โดย crypter เป็นเครื่องมือที่ทำหน้าที่ห่อหุ้มและอำพรางเพย์โหลดมัลแวร์เพื่อหลบการตรวจจับ เพิ่มโอกาสส่งมัลแวร์เข้าเครื่องเหยื่อได้สำเร็จ จุดน่ากังวลคือ Cruciferra ไม่ได้ถูกใช้โดยกลุ่มเดียว แต่ถูกกลุ่มอาชญากรที่ไม่เกี่ยวข้องกันหลายกลุ่มนำไปใช้ปล่อยมัลแวร์หลากหลายทั้งโทรจันควบคุมระยะไกล (RAT) และมัลแวร์ขโมยข้อมูล (infostealer) เครื่องมือนี้เขียนด้วย Mono และอัดแน่นด้วยเทคนิคหลบเลี่ยงการตรวจจับ การวิเคราะห์ และการตอบสนองต่อเหตุการณ์จำนวนมาก
ในบรรดาเทคนิคที่ใช้มีทั้งการเรียกใช้ระบบทางอ้อม (indirect system calls), การถอดเบ็ด (unhooking) ฟังก์ชัน Windows API และตาราง Import Address Table (IAT), การนำไดรเวอร์ที่มีช่องโหว่มาใช้เอง (BYOVD — Bring Your Own Vulnerable Driver) เพื่อปิดการทำงานของ EDR, การยกระดับสิทธิ์ การฝังตัวคงอยู่ในระบบ และเทคนิค Process Ghosting เวอร์ชันดัดแปลงที่รันเพย์โหลดโดยทิ้งร่องรอยหลักฐานให้น้อยที่สุด Cruciferra ถูกโฆษณาขายในตลาดใต้ดินว่าเป็น “crypter ที่ร้ายกาจที่สุด” ราคา 450 ถึง 2,000 ดอลลาร์ต่อเดือน เปิดขายครั้งแรกช่วงปลายปี 2568 และไม่ว่าจะเป็นแคมเปญไหนก็ล้วนรันผ่านเทคนิค DLL side-loading เสมอ ปัจจุบันยังไม่มีรายงานการโจมตีองค์กรไทยโดยตรง แต่ด้วยลักษณะเป็นบริการเช่าที่หลายกลุ่มนำไปใช้ต่อ ความเสี่ยงจึงกระจายกว้าง
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 กรกฎาคม 2569 ว่า บริษัท Proofpoint ได้เผยแพร่บทวิเคราะห์ชิ้นใหม่ (เมื่อสัปดาห์ก่อน) เกี่ยวกับบริการ crypter ชื่อ Cruciferra (บางครั้งสะกด cryptor) ซึ่งมีบทบาทสำคัญในระบบนิเวศอาชญากรรมไซเบอร์ เพราะช่วยให้ผู้ไม่หวังดีอำพรางเพย์โหลด หลบการตรวจจับ และเพิ่มอัตราความสำเร็จในการส่งมัลแวร์ นักวิจัยของบริษัท Proofpoint ได้แก่ นาย Chris Wakelin, นาย Georgi Mladenov และนาย Kyle Cucci ระบุว่าจุดเด่นของ Cruciferra ไม่ได้อยู่แค่การป้องกันเพย์โหลด แต่อยู่ที่รูทีนการเข้ารหัสแบบกำหนดเอง (custom encryption) ที่ดูเหมือนถูกสร้างและประกอบขึ้นแบบไดนามิกจากอัลกอริทึมเข้ารหัสที่รู้จักกันดี ทำให้ตัวอย่างมัลแวร์แต่ละชุดแตกต่างกัน ยากต่อการวิเคราะห์แบบสถิต (static analysis) และการตรวจจับด้วยลายเซ็น (signature-based detection)
นักวิจัยอธิบายว่าอัลกอริทึมที่ใช้เข้ารหัสเพย์โหลดและสตริงในตัวอย่างแต่ละชุดต่างกันมาก จนน่าจะถูกสร้างขึ้นแบบสุ่ม (polymorphically) จากองค์ประกอบของอัลกอริทึมแฮช, PRNG และไซเฟอร์ที่รู้จักกันทั่วไป ตระกูลมัลแวร์สำเร็จรูปที่ถูกกระจายผ่าน Cruciferra มีทั้ง Agent Tesla, AsyncRAT, DarkCloud Stealer, Formbook, Phantom Stealer, Remcos RAT, Snake Keylogger, ValleyRAT, XLoader, XWorm และ zgRAT แคมเปญที่ใช้ crypter นี้อาศัยฟิชชิงเป็นช่องทางเข้าถึงหลัก โดยเครื่องมือรองรับทั้งการวางเพย์โหลดที่เข้ารหัสลงดิสก์ หรือดาวน์โหลดจากเซิร์ฟเวอร์พักไฟล์ กิจกรรมนี้ประเมินว่าเป็นการโจมตีแบบฉวยโอกาส ส่งข้อความตั้งแต่หลักร้อยถึงหลักพันข้อความต่อแคมเปญ มุ่งเป้าภาคบริการการเงิน สาธารณสุข หน่วยงานรัฐ การศึกษา และการผลิต โดยแคมเปญหนึ่งถูกโยงกับกลุ่มอาชญากรไซเบอร์ที่พูดภาษาจีนชื่อ TA4922 ซึ่งมีส่วนทับซ้อนกับอีกกลุ่มที่เคลื่อนไหวหนักชื่อ Silver Fox
วิธีการโจมตี
แคมเปญของ TA4922 ใช้เหยื่อล่อธีมภาษีเพื่อดึงเหยื่อไปยังหน้า landing page ที่ผู้โจมตีควบคุม ซึ่งโฮสต์ไฟล์ ZIP ไว้ปล่อยมัลแวร์ พบทั้งสิ้น 4 แคมเปญในลักษณะนี้ระหว่างเดือนเมษายนถึงต้นมิถุนายน 2569 ทั้งนี้การโจมตีดังกล่าวเคยถูกบันทึกรายละเอียดไว้ก่อนหน้าในเดือนเดียวกันโดย Seqrite Labs และ Cyderes Howler Cell ซึ่ง Seqrite Labs ติดตามกิจกรรมนี้ในชื่อ Operation DragonReturn นอกจากนี้ยังพบแคมเปญอื่นที่ใช้ Cruciferra เช่น อีเมลปลอมเป็นสำนักงานประกันสังคมสหรัฐฯ (SSA) เพื่อปล่อย XWorm และ AdaptixC2 (พฤษภาคม 2569) และอีเมลที่ใช้ธีมเรื่องตัวเรือด (bed bugs) และเรื่องร้องเรียนของแขก มุ่งเป้าองค์กรในอุตสาหกรรมโรงแรมและการท่องเที่ยวเพื่อปล่อย zgRAT (ปลายมิถุนายน 2569)
ไม่ว่าจะเป็นแคมเปญใด Cruciferra จะถูกรันผ่าน DLL side-loading เสมอ พร้อมใช้เทคนิคหลบเลี่ยงและต่อต้านการวิเคราะห์หลายชั้น ทั้งการซ่อนหน้าต่างคอนโซล การถอดเบ็ดฟังก์ชัน Windows API เพื่อลดการมองเห็น การเรียกใช้ระบบทางอ้อม การปิดการแจ้งเตือนของผู้ใช้ และการนำไดรเวอร์ “GoFlyDrv.sys” มาใช้ในการโจมตีแบบ BYOVD เพื่อสังหารโปรเซสด้านความปลอดภัย มัลแวร์จะตรวจสอบว่าตัวเองรันด้วยสิทธิ์ผู้ดูแลระบบ (Administrator) หรือไม่ หากไม่มีก็จะพยายามยกระดับสิทธิ์ด้วยการข้าม UAC ผ่านเทคนิค COM Elevation Moniker จากนั้นฝังตัวคงอยู่ด้วยการเขียนลงรีจิสทรีคีย์ Software\Microsoft\Windows\CurrentVersion\Run ด้วยค่าเริ่มต้นชื่อ “putty” เพื่อให้ทำงานอีกครั้งหลังรีบูตเครื่อง
รายละเอียดช่องโหว่
เพย์โหลดตัวสุดท้ายจะถูกโหลดเข้าสู่หน่วยความจำโดยใช้เทคนิค Process Ghosting เวอร์ชันดัดแปลง ซึ่งกล่าวโดยสรุปคือเทคนิคหลบเลี่ยงขั้นสูงบน Windows ที่โค้ดอันตรายจะถูกรันจากไฟล์ชั่วคราวที่ถูกลบออกจากดิสก์ไปแล้วก่อนที่โปรเซสจะเริ่มทำงาน ผลคือทำให้ผลิตภัณฑ์ด้านความปลอดภัยมองไม่เห็น เพราะไม่มี “ไฟล์” ให้สแกน Cruciferra ยังเพิ่มความซับซ้อนอีกชั้นด้วยการแพตช์เบ็ด (hooks) ของฟังก์ชัน ZwQueryVirtualMemory และพยายามแทรกแซงรูทีน NtManageHotPatch เพื่อซ่อนการลบไฟล์และปิดการทำงานของกลไกตรวจสอบความสมบูรณ์ (integrity checks) ปัจจัยที่ทำให้ Cruciferra โดดเด่นกว่า crypter ทั่วไปคือความสามารถหลบเลี่ยงที่กว้างและไม่ซ้ำใคร การออกแบบเป็นโมดูล และวิธีป้องกันเพย์โหลดที่ปรับแต่งเฉพาะและหลากหลายในแต่ละตัวอย่าง
ผลกระทบต่อไทย
แม้รายงานจะระบุเป้าหมายหลักอยู่ที่ผู้เสียภาษีในอินเดียและองค์กรในสหรัฐฯ เป็นหลัก แต่ Cruciferra เป็นบริการ “crypter-as-a-service” ที่เปิดให้เช่า จึงไม่ผูกกับพื้นที่หรือกลุ่มใดกลุ่มหนึ่ง องค์กรไทยที่ตกเป็นเป้าฟิชชิงธีมภาษี ธีมประกันสังคม หรือธีมร้องเรียนบริการ มีโอกาสได้รับมัลแวร์ที่ถูกหุ้มด้วย crypter ตัวนี้เช่นกัน โดยเฉพาะภาคการเงิน สาธารณสุข การศึกษา และการผลิตซึ่งเป็นเป้าหมายที่ระบุไว้ในรายงาน ที่น่ากังวลเป็นพิเศษคือเทคนิค BYOVD ที่ปิดการทำงานของ EDR และ Process Ghosting ที่ไม่ทิ้งไฟล์บนดิสก์ ทำให้เครื่องมือป้องกันปลายทาง (endpoint) แบบใช้ลายเซ็นเพียงอย่างเดียวมองไม่เห็นการโจมตี องค์กรที่ยังพึ่งการตรวจจับแบบ signature-based เป็นหลักจึงมีความเสี่ยงสูงที่จะถูกเจาะโดยไม่รู้ตัว
คำแนะนำ
ผู้ดูแลระบบควรเฝ้าระวังอีเมลฟิชชิงที่ใช้ธีมภาษี ประกันสังคม หรือเรื่องร้องเรียน โดยเฉพาะที่แนบไฟล์ ZIP และควรอบรมพนักงานให้ระวังลิงก์และไฟล์แนบที่ไม่คาดคิด ในเชิงเทคนิคควรเปิดใช้ระบบป้องกันแบบตรวจพฤติกรรม (behavior-based/EDR) แทนการพึ่งลายเซ็นอย่างเดียว เพราะ Cruciferra สร้างตัวอย่างแบบ polymorphic ที่ต่างกันทุกชุด ควรเปิดใช้กลไกป้องกันการโหลดไดรเวอร์ที่มีช่องโหว่ (เช่น Microsoft Vulnerable Driver Blocklist) เพื่อสกัดการโจมตี BYOVD ผ่านไดรเวอร์อย่าง GoFlyDrv.sys ตรวจสอบและเฝ้าระวังการเขียนรีจิสทรีคีย์ Run ที่มีค่าผิดปกติเช่น “putty” รวมถึงพฤติกรรมการ side-load DLL ที่ผิดที่ผิดทาง และเฝ้าดูการแทรกแซงฟังก์ชันระบบอย่าง ZwQueryVirtualMemory และ NtManageHotPatch ซึ่งเป็นสัญญาณของการซ่อนตัวขั้นสูง