สรุปสั้น

บริษัท Zscaler ThreatLabz ได้ติดตามการโจมตีแบบฟิชชิงด้วยเสียง (Voice Phishing หรือ Vishing) มาตั้งแต่เดือนมกราคม 2569 โดยผู้โจมตีจะโทรผ่าน Microsoft Teams แอบอ้างเป็นเจ้าหน้าที่ฝ่ายสนับสนุนไอที (IT Support) ของบริษัท เพื่อหลอกให้พนักงานอนุมัติเซสชัน Quick Assist ซึ่งเป็นเครื่องมือช่วยเหลือระยะไกลของ Windows เมื่อพนักงานกดอนุมัติ ผู้โจมตีก็จะมองเห็นและควบคุมเครื่องได้ทันที จากนั้นใช้คำสั่ง PowerShell เพื่อเก็บข้อมูลอุปกรณ์ ดาวน์โหลดมัลแวร์ และตั้งค่าให้มัลแวร์ทำงานทุกครั้งที่ผู้ใช้ลงชื่อเข้าใช้งาน โดยเป้าหมายหลักคือการติดตั้งแบ็กดอร์ตัวใหม่ที่ชื่อ GoGRPC

บริษัทเชื่อว่าการโจมตีบางกรณีอาจเริ่มจากการถล่มอีเมล (Email Flood) ที่ทำให้กล่องจดหมายของเหยื่อเต็มไปด้วยข้อความที่ไม่ต้องการเสียก่อน จากนั้นเจ้าหน้าที่สนับสนุนปลอมจึงโทรผ่าน Teams มาเสนอตัวช่วยแก้ปัญหาอีเมลที่ดูเหมือนกำลังเกิดขึ้น GoGRPC เป็นแบ็กดอร์ที่เขียนด้วยภาษา Go ซึ่งเปิดให้ผู้ควบคุมสั่งรันคำสั่งบนเครื่องที่ติดมัลแวร์ และใช้เครื่องนั้นเป็นพร็อกซีสำหรับกิจกรรมเครือข่ายต่อไปได้ โดย Zscaler ประเมินว่าผู้ปฏิบัติการน่าจะทำหน้าที่เป็นนายหน้าขายการเข้าถึงเครือข่ายเบื้องต้น (Initial Access Broker) ให้แก่การโจมตีด้วยแรนซัมแวร์

รายละเอียดข่าว

เว็บไซต์ HackRead รายงานเมื่อวันที่ 28 กรกฎาคม พ.ศ. 2569 อ้างอิงงานวิจัยของบริษัท Zscaler ThreatLabz ว่าเครื่องมือหลักที่ถูกบันทึกไว้คือ GoGRPC ซึ่งใช้ gRPC อันเป็นเฟรมเวิร์ก remote procedure call แบบโอเพนซอร์สที่แอปพลิเคชันทั่วไปนิยมใช้ มาเป็นช่องทางเชื่อมต่อโดยตรงระหว่างเครื่องที่ติดมัลแวร์กับเซิร์ฟเวอร์ควบคุมของผู้โจมตี เพื่อรับคำสั่งและส่งผลลัพธ์กลับ นอกจากนี้นักวิจัยยังพบมัลแวร์อีก 4 สายพันธุ์ที่ตั้งชื่อว่า Lep, Giver, Pet และ Kind โดย Lep ปรากฏครั้งแรกในเดือนมกราคม 2569 ตามด้วย Giver ในเดือนกุมภาพันธ์ Pet ในเดือนเมษายน และ Kind ในเดือนมิถุนายน แต่ละเวอร์ชันเปลี่ยนวิธีซ่อนโค้ด ระบุเครื่องที่ติดมัลแวร์ และสื่อสารกับเซิร์ฟเวอร์ควบคุม โดยเวอร์ชันหลัง ๆ เพิ่มการเชื่อมต่อแบบเข้ารหัสและการทำให้โค้ดอ่านยากขึ้น

Zscaler ยังพบเครื่องมือสนับสนุนอีกหลายตัวที่นักวิจัยตั้งชื่อว่า BlindDoor, RevSocket, PyGRPC และ RSOX โดย BlindDoor เป็นอีกช่องทางในการรันคำสั่ง ส่วน RevSocket, PyGRPC และ RSOX ทำหน้าที่เปลี่ยนเครื่องที่ถูกเจาะให้กลายเป็นพร็อกซีเครือข่าย ซึ่งช่วยให้ผู้โจมตีเข้าถึงระบบอื่นผ่านเครื่องของเหยื่อหรือซ่อนต้นทางของทราฟฟิกได้ นอกจากนี้ยังมีเครื่องมือชื่อ S3Siphon ที่ค้นหาไฟล์ในโฟลเดอร์ยอดนิยมอย่าง Desktop, Documents, Downloads, Pictures และ OneDrive ก่อนอัปโหลดไฟล์ที่เลือกไว้ขึ้นไปยัง Amazon S3 bucket ซึ่ง Zscaler ระบุว่าข้อมูลที่ถูกขโมยอาจถูกนำไปใช้กดดันให้เหยื่อจ่ายค่าไถ่ในภายหลัง โดยนักวิจัยยังไม่ได้ระบุตระกูลแรนซัมแวร์ที่รับการเข้าถึงจากแคมเปญนี้โดยเฉพาะ

วิธีการโจมตี

จุดเริ่มต้นของการโจมตีคือการสร้างสถานการณ์ทางวิศวกรรมสังคม (Social Engineering) โดยผู้โจมตีอาจถล่มอีเมลใส่เหยื่อจนกล่องจดหมายเต็มไปด้วยข้อความรบกวน แล้วจึงโทรผ่าน Microsoft Teams เข้ามาแอบอ้างเป็นฝ่ายไอทีที่จะช่วยแก้ปัญหา เมื่อสร้างความไว้ใจได้แล้วก็หลอกให้พนักงานเปิดและอนุมัติเซสชัน Quick Assist ซึ่งเป็นเครื่องมือช่วยเหลือระยะไกลที่ติดตั้งมากับ Windows อยู่แล้ว ทำให้ผู้โจมตีได้สิทธิ์ควบคุมเครื่องแบบเต็มรูปแบบโดยไม่ต้องเจาะช่องโหว่ใด ๆ จากนั้นจึงใช้ PowerShell สำรวจระบบ ดาวน์โหลด GoGRPC มาติดตั้ง และตั้งค่าให้ทำงานอัตโนมัติทุกครั้งที่ผู้ใช้ลงชื่อเข้าใช้ เพื่อคงการเข้าถึงระยะยาว (Persistence)

Zscaler ประเมินว่าผู้ปฏิบัติการน่าจะทำหน้าที่เป็นนายหน้าขายการเข้าถึงเบื้องต้น (Initial Access Broker) กล่าวคือเจาะเครือข่ายองค์กรแล้วขายการเข้าถึงนั้นให้อาชญากรรายอื่นที่อาจนำไปขโมยข้อมูลหรือปล่อยแรนซัมแวร์ต่อ ข้อสรุปนี้อ้างอิงจากรูปแบบการเลือกเหยื่อที่เป็นองค์กร ความสามารถในการขโมยข้อมูล และการพัฒนาเครื่องมือที่มุ่งเป้าเครือข่ายบริษัทอย่างต่อเนื่อง แม้จะยังไม่ระบุตระกูลแรนซัมแวร์ปลายทางได้แน่ชัดก็ตาม

ผลกระทบต่อไทย

เทคนิคการหลอกผ่าน Microsoft Teams และ Quick Assist เป็นภัยที่ตรงกับบริบทองค์กรไทยอย่างยิ่ง เพราะ Microsoft Teams เป็นเครื่องมือสื่อสารหลักที่องค์กรไทยจำนวนมากใช้งาน และ Quick Assist ก็เป็นฟีเจอร์ที่ติดตั้งมากับ Windows โดยปริยาย พนักงานที่ไม่ทันระวังอาจถูกหลอกให้มอบสิทธิ์ควบคุมเครื่องได้ง่าย โดยเฉพาะเมื่อผู้โจมตีแอบอ้างเป็นฝ่ายไอทีที่ดูน่าเชื่อถือและอาศัยจังหวะที่เหยื่อกำลังสับสนจากอีเมลที่ถูกถล่ม การที่ผู้โจมตีทำหน้าที่เป็นนายหน้าขายการเข้าถึงยังหมายความว่าองค์กรไทยที่ถูกเจาะอาจกลายเป็นเป้าของการโจมตีแรนซัมแวร์ในลำดับถัดไป องค์กรไทยจึงควรตั้งค่านโยบายจำกัดการติดต่อจากบัญชี Teams ภายนอกและควบคุมการใช้เครื่องมือช่วยเหลือระยะไกลอย่างเข้มงวด

คำแนะนำ

องค์กรที่ไม่ได้ใช้งาน Quick Assist ควรบล็อกหรือถอนการติดตั้งออกจากเครื่องพนักงาน ตามที่ Microsoft เคยแนะนำให้จำกัดแอปพลิเคชันช่วยเหลือระยะไกลเมื่อไม่จำเป็น และจำกัดการติดต่อผ่าน Teams จากบัญชีภายนอกที่ไม่รู้จัก พนักงานไม่ควรยอมรับคำขอควบคุมเครื่องระยะไกลจากผู้ที่ติดต่อเข้ามาผ่าน Teams อย่างไม่คาดคิด และควรตรวจสอบยืนยันตัวตนของเจ้าหน้าที่ helpdesk ผ่านหมายเลขโทรศัพท์ภายใน พอร์ทัลสนับสนุน หรือช่องทางติดต่อที่บริษัทรับรองก่อนอนุมัติเซสชัน Quick Assist ทุกครั้ง นอกจากนี้ทีมความปลอดภัยควรเฝ้าระวังการใช้ PowerShell ที่ผิดปกติ การสร้าง persistence ในรีจิสทรี และทราฟฟิก gRPC ที่ออกไปยังเซิร์ฟเวอร์ที่ไม่รู้จัก รวมถึงเฝ้าระวังการอัปโหลดข้อมูลออกไปยังบริการคลาวด์อย่าง Amazon S3 ที่ผิดปกติ

แหล่งอ้างอิง