STAC4749 โทรผ่าน Microsoft Teams อ้างเป็นฝ่ายไอที ยึดเครื่องด้วย Quick Assist/RemSupp แล้วปล่อยแรนซัมแวร์ Chaos ใน 17 ชั่วโมง

สรุปสั้น

บริษัท Sophos ได้เปิดเผยแคมเปญโจมตีที่ติดตามภายใต้ชื่อ STAC4749 ซึ่งผู้โจมตีแอบอ้างเป็นเจ้าหน้าที่ฝ่ายไอทีหรือ helpdesk ขององค์กร แล้วโทรหาพนักงานผ่าน Microsoft Teams เพื่อหลอกให้เปิดเซสชันควบคุมเครื่องจากระยะไกล ก่อนจะใช้สิทธิ์นั้นวางแบ็กดอร์และลงท้ายด้วยการปล่อยแรนซัมแวร์ Chaos โดยบริษัทระบุว่าแคมเปญนี้เล่นงานองค์กรหลายสิบแห่งในช่วงเดือนกุมภาพันธ์ถึงมิถุนายน 2569 และราว 95% ของการโจมตีพุ่งเป้าไปที่องค์กรในแคนาดา (50%) และสหรัฐอเมริกา (45%) ครอบคลุมหลายภาคส่วน โดยกลุ่มที่ถูกโจมตีมากที่สุดคือธุรกิจบริการ การผลิต พลังงาน และงานก่อสร้างและวิศวกรรม

สิ่งที่ทำให้แคมเปญนี้ต่างจากการโจมตีผ่าน Teams รุ่นก่อน ๆ คือวิธีสร้างตัวตนปลอม จากเดิมที่ผู้โจมตีมักสร้าง tenant ของตัวเองบนโดเมน onmicrosoft.com ของ Microsoft คราวนี้กลับหันไปจดโดเมนที่ตั้งชื่อให้ดูเป็นงานไอทีภายใต้โดเมนระดับบนสุด .top แทน พร้อมจับคู่กับตัวละครสมมติที่ใช้ชื่อคนแบบตะวันตกอย่าง Anthony Brooks, Dylan Harper, Ethan Parker และ Jason Mitchell ซึ่งแต่ละชื่อผูกกับโดเมนเฉพาะของตัวเอง เป้าหมายของสายโทรคือโน้มน้าวให้พนักงานเปิดเซสชันช่วยเหลือระยะไกลด้วย Microsoft Quick Assist หรือติดตั้งเครื่องมือ remote monitoring and management ตัวอื่น โดยสายที่ Sophos พบมีความยาวตั้งแต่ 90 วินาทีจนถึงกว่า 20 นาที แต่ส่วนใหญ่จบภายในประมาณ 2 ถึง 2 นาทีครึ่ง

ความน่ากลัวของแคมเปญนี้อยู่ที่ความเร็ว บริษัท Sophos ระบุว่าอย่างน้อย 3 กรณีของ STAC4749 จบลงด้วยการปล่อยแรนซัมแวร์ Chaos และในกรณีหนึ่งมีเวลาห่างจากการติดต่อผ่าน Microsoft Teams ครั้งแรกจนถึงการปล่อยแรนซัมแวร์ไม่ถึง 17 ชั่วโมง อย่างน้อยหนึ่งกรณีผู้โจมตีน่าจะขโมยข้อมูลออกไปก่อนเข้ารหัสด้วย เมื่อถึงขั้นตอนเรียกค่าไถ่ ไฟล์จะถูกเข้ารหัสพร้อมกันทุกเครื่องที่ถูกยึด และทิ้งจดหมายเรียกค่าไถ่ชื่อ readme.chaos.txt ไว้บนระบบที่ได้รับผลกระทบ นักวิเคราะห์ของ Sophos ประเมินด้วยความเชื่อมั่นสูงว่า STAC4749 เป็นปฏิบัติการที่มีแรงจูงใจทางการเงิน ซึ่งอาจปล่อยแรนซัมแวร์เองโดยตรงหรือประสานงานกับ affiliate

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 30 กรกฎาคม 2569 ว่า ผู้โจมตีกำลังแอบอ้างเป็นเจ้าหน้าที่ฝ่ายสนับสนุนไอทีในสายสนทนาผ่าน Microsoft Teams เพื่อขอสิทธิ์เข้าถึงเครื่องขององค์กรจากระยะไกล แล้วนำไปสู่การปล่อยแรนซัมแวร์ Chaos ในการโจมตีที่พุ่งเป้าองค์กรในภูมิภาคอเมริกาเหนือ

การโจมตีเริ่มจากบัญชี Microsoft Teams ภายนอกที่แอบอ้างเป็นฝ่าย helpdesk หรือฝ่ายสนับสนุนไอที เข้ามาแชตและโทรหาพนักงานที่เป็นเป้าหมาย โดยแคมเปญ STAC4749 เลือกใช้โดเมนธีมไอทีภายใต้ .top ตัวอย่างที่ Sophos เปิดเผยได้แก่ sequrityupdate[.]top, scan-security[.]top, system-connect[.]top, corp-connect[.]top และ supportsoft[.]top ซึ่งชื่อเหล่านี้ออกแบบมาให้พนักงานที่กำลังเร่งรีบอ่านผ่าน ๆ แล้วเชื่อว่าเป็นระบบภายในของบริษัทตัวเอง

เมื่อโน้มน้าวสำเร็จ ผู้โจมตีจะให้พนักงานเปิดเซสชันช่วยเหลือระยะไกล โดยช่วงแรกนิยมใช้ Microsoft Quick Assist ซึ่งเป็นเครื่องมือที่ติดมากับ Windows อยู่แล้ว และหันไปใช้เครื่องมือบริหารจัดการระยะไกลบนคลาวด์ชื่อ RemSupp เมื่อ Quick Assist ใช้ไม่ได้หรือถูกบล็อก อย่างไรก็ตามตั้งแต่เดือนเมษายนเป็นต้นมา ผู้โจมตีเริ่มหันมาใช้ RemSupp เป็นหลัก ซึ่งบริษัท Sophos มองว่าอาจเป็นเพราะมันมีโอกาสน้อยกว่าที่จะถูกใส่ไว้ในบัญชีดำแอปพลิเคชันขององค์กร

หลังได้สิทธิ์ควบคุมเครื่องของพนักงาน ผู้โจมตีจะใช้ PowerShell ดาวน์โหลดแบ็กดอร์ลงในโฟลเดอร์ %AppData% ของผู้ใช้ที่ถูกยึด มัลแวร์ตัวนี้จะเก็บข้อมูลระบบ สร้างกลไกฝังตัว และเปิดช่องให้ผู้โจมตีเข้าถึงเครื่องได้ต่อเนื่อง โดยเพื่อให้กลไกฝังตัวดูเหมือนของถูกกฎหมาย ค่ารีจิสทรีอันตรายจะถูกอำพรางเป็นคอมโพเนนต์เสียงของ Realtek และ Windows ด้วยชื่ออย่าง “Realtek HD Audio”, “Realtek Audio UHD” และ “WinAudio life2”

ในเหตุการณ์ที่ลงเอยด้วยแรนซัมแวร์ Chaos ผู้โจมตียังติดตั้งซอฟต์แวร์เข้าถึงระยะไกลเพิ่มเติมอย่าง DWAgent หรือ AnyDesk ไว้เป็นช่องทางสำรองสำหรับเข้าถึงระบบอื่นในเครือข่าย และพยายามเปิด Remote Desktop Protocol บนเครื่องที่ถูกยึดเพื่อเคลื่อนตัวไปยังเครื่องอื่น รายงานของ Sophos ยังระบุว่าผู้โจมตีปรับเปลี่ยนลูกโซ่การโจมตีอย่างต่อเนื่องระหว่างเดือนกุมภาพันธ์ถึงพฤษภาคม ทั้งชื่อไฟล์มัลแวร์ กลไกฝังตัว และวิธีการติดตั้ง เพื่อหลบการตรวจจับ

วิธีการโจมตี

จุดที่ควรเข้าใจคือแคมเปญนี้แทบไม่ใช้ช่องโหว่ทางเทคนิคเลย ทุกขั้นตอนตั้งแต่ต้นจนถึงการเข้ารหัสไฟล์อาศัยเครื่องมือที่ถูกกฎหมายและได้รับอนุญาตในองค์กรอยู่แล้ว ไม่ว่าจะเป็น Microsoft Teams ที่เปิดรับข้อความจากภายนอกตามค่าเริ่มต้น, Quick Assist ที่ติดมากับ Windows, เครื่องมือ RMM เชิงพาณิชย์อย่าง RemSupp, DWAgent และ AnyDesk รวมถึง PowerShell และ RDP ที่ทีมไอทีใช้งานเป็นปกติ ทำให้เครื่องมือรักษาความปลอดภัยที่ยึดลายเซ็นมัลแวร์เป็นหลักมองไม่เห็นความผิดปกติในหลายขั้นตอน

องค์ประกอบที่ทำให้อุบายนี้ได้ผลคือบริบททางจิตวิทยา ผู้โจมตีเลือกโทรผ่าน Teams ซึ่งพนักงานถือว่าเป็นช่องทางภายในที่เชื่อถือได้ ตั้งชื่อบัญชีและโดเมนให้ดูเป็นทีมไอที และคุมความยาวสายให้สั้นราว 2 นาที ซึ่งเพียงพอสำหรับการกดอนุมัติ Quick Assist แต่สั้นเกินกว่าที่พนักงานจะเอะใจไปตรวจสอบกับฝ่ายไอทีตัวจริง ในแคมเปญลักษณะนี้ที่ผ่านมาบางกรณียังมีการถล่มอีเมลใส่กล่องจดหมายของเป้าหมายก่อน เพื่อสร้างสถานการณ์ให้ดูสมจริงว่ามีปัญหาที่ต้องให้ฝ่ายไอทีช่วยแก้

สำหรับที่มาของแรนซัมแวร์ Chaos บริษัท Sophos ระบุว่าปฏิบัติการแบบ ransomware-as-a-service ตัวนี้เคลื่อนไหวมาตั้งแต่อย่างน้อยเดือนกุมภาพันธ์ 2568 และเชื่อว่าเชื่อมโยงกับอดีตสมาชิกของกลุ่มแรนซัมแวร์ BlackSuit และ Royal ซึ่งทั้งสองกลุ่มก็เป็นสายที่แตกออกมาจากเครือข่ายอาชญากรรมไซเบอร์ Conti อีกทอดหนึ่ง จดหมายเรียกค่าไถ่ของ Chaos ที่ BleepingComputer ตรวจสอบล้วนใช้ข้อความชุดเดียวกัน คืออ้างว่าได้ขโมยข้อมูลไปแล้วและขู่ว่าจะปล่อยข้อมูลออกมาหากไม่จ่ายค่าไถ่

การใช้ Microsoft Teams แอบอ้างเป็นฝ่ายไอทีไม่ใช่เรื่องใหม่ ในเดือนตุลาคม 2567 พันธมิตรของแรนซัมแวร์ Black Basta เคยถล่มอีเมลใส่กล่องจดหมายพนักงานก่อนติดต่อผ่าน Microsoft Teams ในฐานะผู้ใช้ภายนอก และล่าสุด Microsoft Teams ยังถูกใช้ในการโจมตีที่เชื่อว่าเป็นฝีมือกลุ่ม MuddyWater ที่มีรัฐอิหร่านหนุนหลัง ซึ่งมีรายงานว่าใช้แรนซัมแวร์ Chaos เป็นฉากบังหน้าเพื่ออำพรางปฏิบัติการจารกรรม อย่างไรก็ตาม Sophos ระบุชัดว่าไม่พบหลักฐานเชื่อมโยงแคมเปญ STAC4749 เข้ากับ MuddyWater แต่อย่างใด

ผลกระทบต่อไทย

องค์กรไทยจำนวนมากใช้ Microsoft Teams เป็นช่องทางสื่อสารหลัก และส่วนใหญ่ยังคงค่าเริ่มต้นที่อนุญาตให้ผู้ใช้จากภายนอกองค์กรส่งข้อความและโทรเข้ามาได้ ซึ่งเป็นประตูบานเดียวกับที่แคมเปญนี้ใช้ ยิ่งไปกว่านั้นการที่ผู้โจมตีใช้ชื่อภาษาอังกฤษและพูดภาษาอังกฤษกลับไม่ใช่อุปสรรคในบริบทไทย เพราะบริษัทข้ามชาติ องค์กรที่ใช้ managed service provider ต่างประเทศ และหน่วยงานที่มีทีมไอทีอยู่ต่างประเทศ ล้วนคุ้นชินกับการได้รับการติดต่อจากทีมสนับสนุนที่พูดภาษาอังกฤษอยู่แล้ว

ความเสี่ยงเฉพาะของไทยอีกข้อคือวัฒนธรรมการทำงานที่พนักงานมักเกรงใจและไม่กล้าปฏิเสธเมื่อมีคนอ้างตัวเป็นฝ่ายไอทีหรือผู้มีอำนาจติดต่อเข้ามา ประกอบกับหลายองค์กรยังไม่มีขั้นตอนยืนยันตัวตนที่ชัดเจนสำหรับการขอเข้าควบคุมเครื่อง ทำให้อุบายที่ใช้เวลาเพียง 2 นาทีมีโอกาสสำเร็จสูง เมื่อรวมกับความเร็วของแคมเปญที่ใช้เวลาไม่ถึง 17 ชั่วโมงจากสายแรกถึงการเข้ารหัส องค์กรที่ตรวจสอบเหตุการณ์ผิดปกติเฉพาะเวลาทำการหรือมีทีม SOC ที่ไม่ได้เฝ้าระวัง 24 ชั่วโมง อาจตื่นมาพบว่าระบบถูกเข้ารหัสไปเรียบร้อยแล้ว

คำแนะนำ

มาตรการที่ได้ผลที่สุดคือปิดประตูตั้งแต่ต้นทาง องค์กรควรตั้งค่า Microsoft Teams ให้จำกัดการติดต่อจากภายนอก โดยอนุญาตเฉพาะโดเมนของคู่ค้าที่จำเป็นแบบ allowlist แทนการเปิดรับทุกโดเมน และควรบล็อกโดเมนระดับบนสุดที่มีความเสี่ยงสูงอย่าง .top ในระดับ external access ควบคู่ไปด้วย พร้อมกันนั้นควรประกาศให้พนักงานทุกคนทราบอย่างชัดเจนว่า ฝ่ายไอทีขององค์กรจะไม่โทรผ่าน Teams จากบัญชีภายนอกเพื่อขอเปิดเซสชันควบคุมเครื่องโดยเด็ดขาด และต้องมีช่องทางยืนยันกลับที่พนักงานใช้ตรวจสอบได้ทันที

ในฝั่งเครื่องมือ ควรบล็อกหรือจำกัดการใช้งาน Quick Assist ในเครื่องที่ไม่จำเป็นต้องใช้ และจัดทำบัญชีเครื่องมือ RMM ที่องค์กรอนุญาตให้ใช้อย่างเป็นทางการ แล้วบล็อกตัวที่เหลือทั้งหมดผ่าน application control โดยเฉพาะ RemSupp, DWAgent และ AnyDesk ที่พบในแคมเปญนี้ พร้อมตั้งการแจ้งเตือนทันทีเมื่อพบการติดตั้งเครื่องมือควบคุมระยะไกลที่ไม่อยู่ในบัญชี รวมถึงเฝ้าระวังการเปิดใช้งาน RDP บนเครื่องผู้ใช้ทั่วไปซึ่งไม่ควรเกิดขึ้นตามปกติ

ในเชิงการตรวจจับ ทีม SOC ควรสร้างกฎเฝ้าระวัง PowerShell ที่ดาวน์โหลดไฟล์ลงโฟลเดอร์ %AppData% ค่ารีจิสทรี Run ที่ตั้งชื่ออำพรางเป็นคอมโพเนนต์เสียง เช่น “Realtek HD Audio”, “Realtek Audio UHD” และ “WinAudio life2” รวมถึงตรวจหาไฟล์จดหมายเรียกค่าไถ่ชื่อ readme.chaos.txt เป็นสัญญาณเตือนขั้นสุดท้าย และเนื่องจากผู้โจมตีเปลี่ยนชื่อไฟล์และวิธีติดตั้งอยู่ตลอด การตรวจจับควรยึดพฤติกรรมเป็นหลักมากกว่าตัวบ่งชี้แบบคงที่ สุดท้ายควรซ้อมแผนรับมือโดยตั้งสมมติฐานว่ามีเวลาตอบสนองไม่ถึงหนึ่งวันทำการ และทดสอบว่าแบ็กอัปสามารถกู้คืนได้จริงเมื่อระบบถูกเข้ารหัสพร้อมกันทุกเครื่อง

Indicators of Compromise (IoCs)

หมายเหตุ: ตัวบ่งชี้ด้านล่างถูก defang (ใส่วงเล็บคั่นจุด) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ

แหล่งอ้างอิง

• Microsoft Teams vishing attacks lead to Chaos ransomware attacks — BleepingComputer
• Chaos in Teams: vishing campaign STAC4749 — Sophos