สรุปสั้น
กลุ่มภัยคุกคามสัญชาติรัสเซียที่เพิ่งถูกเชื่อมโยงกับการโจมตีช่องโหว่ใน Zimbra ถูกพบว่าหันมาใช้ช่องโหว่อีกตัวหนึ่งใน Microsoft Outlook Web Access (OWA) เพื่อโจมตีหน่วยงานรัฐบาลของสหรัฐฯ และยุโรป รวมถึงภาคโทรคมนาคม การเงิน การโรงแรม และอุตสาหกรรมการบินและอวกาศ กิจกรรมนี้เริ่มต้นเมื่อวันที่ 22 กรกฎาคม 2569 โดยอาศัยช่องโหว่ CVE-2026-42897 คะแนน CVSS 8.1 ซึ่งเป็นช่องโหว่ประเภท cross-site scripting ใน OWA ที่บริษัท Microsoft เคยระบุว่าถูกใช้โจมตีจริงมาตั้งแต่เดือนพฤษภาคม 2569 บริษัท Proofpoint ระบุว่าเป็นฝีมือของกลุ่ม Laundry Bear หรือที่รู้จักในชื่อ TA488, CL-STA-1114, UNK_PitStop และ Void Blizzard
สิ่งที่ทำให้แคมเปญนี้อันตรายเป็นพิเศษคือรูปแบบการโจมตีแบบ half-click ซึ่งหมายความว่าเพียงแค่เหยื่อเปิดอ่านอีเมลก็ถูกยึดเครื่องแล้ว โดยอีเมลล่อไม่มีลิงก์และไม่มีไฟล์แนบเพื่อไม่ให้เกิดความสงสัย เนื้อหาเป็นเรื่องทั่วไปอย่างการวิเคราะห์ห่วงโซ่อุปทาน รายงานวิจัย หรือสถิติตลาดการท่องเที่ยวและก๊าซ เพย์โหลดปลายทางคือแบ็กดอร์ JavaScript ที่ยังไม่เคยมีใครพบมาก่อนชื่อ OWAReaper ซึ่งบริษัท Proofpoint อธิบายว่าเป็นแบ็กดอร์ที่ซับซ้อนที่สุดเท่าที่เคยถูกส่งผ่านการโจมตีแบบ half-click และเป็นวิวัฒนาการต่อจาก ZimReaper ที่เคยใช้กับ Zimbra
จุดที่ผู้ดูแลระบบต้องให้ความสนใจมากที่สุดคือกลไกการฝังตัวถาวร มัลแวร์ให้สิทธิ์ระดับ Owner แก่ผู้ใช้ Default บนทุกโฟลเดอร์เมล ทำให้บัญชีใดก็ตามในองค์กรเดียวกันที่ผู้โจมตียึดไว้สามารถเข้าถึงกล่องจดหมายของเหยื่อได้ต่อเนื่อง การเข้าถึงนี้อยู่ฝั่งเซิร์ฟเวอร์และต้องถูกลบออกอย่างตั้งใจ การเปลี่ยนรหัสผ่านหรือแม้แต่การล้างและติดตั้งเครื่องของเหยื่อใหม่ทั้งหมดก็ไม่สามารถขับไล่ผู้โจมตีออกไปได้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 กรกฎาคม 2569 ว่ากลุ่มภัยคุกคามรัสเซียที่เพิ่งถูกเชื่อมโยงกับการโจมตีช่องโหว่ใน Zimbra ซึ่งได้รับการแก้ไขไปแล้ว ถูกพบว่ากำลังใช้ช่องโหว่อีกตัวใน Microsoft Outlook Web Access โจมตีหน่วยงานรัฐบาลสหรัฐฯ และยุโรป พร้อมกับภาคโทรคมนาคม การเงิน การโรงแรม และการบินและอวกาศ
บริษัท Proofpoint ระบุว่ากลุ่ม TA488 เคยโจมตีช่องโหว่ zero-day CVE-2025-66376 ซึ่งเป็นช่องโหว่ XSS ใน Classic UI ของ Zimbra มาตั้งแต่อย่างน้อยเดือนกรกฎาคม 2568 ก่อนจะได้รับการแก้ไขในอีกสี่เดือนถัดมา ในการโจมตีครั้งนั้นผู้โจมตีส่งข้อความจากบัญชี Proton Mail ที่ตนควบคุมและจากบัญชีที่ถูกยึดมาก่อนหน้า เพื่อกระตุ้นช่องโหว่ทันทีที่อีเมลถูกเปิดอ่านผ่าน Zimbra เวอร์ชันที่มีช่องโหว่ และจบลงด้วยการติดตั้งเพย์โหลด JavaScript ชื่อ ZimReaper ที่กวาดอีเมลย้อนหลัง 90 วันพร้อมข้อมูลมีค่าอื่น ๆ ของเหยื่อ
ทีมนักวิจัยของบริษัท Proofpoint ประกอบด้วยนาย Greg Lesnewich, นาย Stuart Del Caliz, นาย Nick Attfield, นาย Konstantin Klinger, นางสาว Saher Naumaan และนาย Mark Kelly ระบุว่า “TA488 กำลังเดิมพันหนักขึ้นกับการใช้ช่องโหว่แบบ half-click ซึ่งเพียงแค่เปิดอีเมลก็เพียงพอที่จะทำให้ถูกยึด โดยมีกลไกการโหลด เทคนิค และมัลแวร์ที่พัฒนาขึ้นอย่างมีนัยสำคัญ สะท้อนว่าขีดความสามารถและ tradecraft ของกลุ่มกำลังยกระดับ”
ในแคมเปญล่าสุด ผู้โจมตียังคงอาศัยบัญชีที่ถูกยึดมาเป็นตัวส่งอีเมลที่บรรจุโค้ดโจมตี แต่สิ่งที่เปลี่ยนไปคือปริมาณข้อความฟิชชิงและความกว้างของกลุ่มเป้าหมาย ซึ่งต่างจากแคมเปญก่อนหน้าของ TA488 อย่างชัดเจน โดยประเมินว่าเป็นความตั้งใจที่จะกระจายวงกว้างเพื่อกลืนไปกับสแปมที่ส่งเป็นจำนวนมากและหลบการตรวจจับ นอกจากนี้ บริษัท Proofpoint ยังพบว่าโครงสร้างพื้นฐานชุดแรกที่ใช้ในแคมเปญนี้ถูกสร้างขึ้นตั้งแต่เดือนมีนาคม 2569 ซึ่งเป็นเวลาสองเดือนก่อนที่บริษัท Microsoft จะเปิดเผย CVE-2026-42897 จึงเปิดความเป็นไปได้ว่าช่องโหว่นี้อาจถูกใช้ในสถานะ zero-day มาก่อน และไม่พบกิจกรรมของ TA488 เลยในช่วงเดือนกุมภาพันธ์ถึง 22 กรกฎาคม 2569
วิธีการโจมตี
อีเมลล่อของแคมเปญนี้ถูกออกแบบให้ดูไร้พิษภัยที่สุด ไม่มี URL ไม่มีไฟล์แนบ และไม่ต้องการให้ผู้รับทำอะไรเลย เพื่อเพิ่มโอกาสที่เหยื่อจะเปิดอ่าน ซึ่งการเปิดอ่านนั่นเองคือการจุดชนวนโค้ดโจมตี CVE-2026-42897 บริษัท Proofpoint อธิบายว่า “สิ่งนี้เปิดทางให้โค้ด JavaScript ส่วนที่เป็น loader ใช้ตัวจัดการเหตุการณ์ onload= เพื่ออ่านเนื้อหาส่วนที่เหลือของข้อความ ประกอบชิ้นส่วน Base64 เข้าด้วยกัน แล้วรันมันในฐานะ JavaScript ที่ถูกเข้ารหัสไว้” โดยตัวจุดชนวนและก้อนข้อมูลเพย์โหลดถูกซ่อนไว้ในไอคอนโซเชียลมีเดียที่แสดงอยู่ใน HTML ของเนื้อหาอีเมล และข้อมูลเพย์โหลดขั้นถัดไปถูกเก็บไว้หลังเครื่องหมาย # ซึ่งเบราว์เซอร์จะหยุดอ่านเมื่อประมวลผลรูปภาพจาก Base64
เมื่อ OWAReaper ทำงานในบานหน้าต่างอ่านอีเมลของ OWA มันจะใช้ Outlook API เขียนทับอีเมลบนเซิร์ฟเวอร์ Exchange เพื่อลบร่องรอยของโค้ดโจมตีทิ้ง พร้อมกับปิดการแจ้งเตือนแบบป๊อปอัปและปิดความสามารถคลิกขวาระหว่างที่ทำงาน จากนั้นสร้างคีย์เซสชันเฉพาะของเป้าหมาย เก็บอีเมลแอดเดรส ชื่อผู้ใช้ และการตั้งค่า Outlook แล้วสร้างช่องกรอกข้อมูลที่มองไม่เห็นสองช่องใน DOM ของหน้าเว็บ เพื่อหลอกดักข้อมูลรับรอง OWA ที่ถูกบันทึกไว้ผ่านฟีเจอร์เติมข้อความอัตโนมัติของเบราว์เซอร์
ขั้นต่อมาคือการเขียนสำเนาของตัวเองในรูปแบบเข้ารหัสพร้อมตัวถอดรหัสลงใน localStorage ของเบราว์เซอร์ ซึ่งทำให้มัลแวร์ถูกเรียกทำงานอัตโนมัติทุกครั้งที่ผู้ใช้เปิดแท็บ OWA จากนั้น OWAReaper จะตรวจหา Outlook add-in ที่มีสิทธิ์ ReadWriteMailbox หากพบก็ใช้มันขโมยโทเคน OAuth และให้สิทธิ์ระดับ Owner แก่ผู้ใช้ Default บนทุกโฟลเดอร์เมล ซึ่งเท่ากับเปิดให้ผู้ใช้ที่ผ่านการยืนยันตัวตนคนใดก็ได้ในองค์กรเดียวกันเข้าถึงกล่องจดหมายได้เต็มรูปแบบ นักวิจัยชี้ว่า “นี่คือหัวใจของห่วงโซ่การติดเชื้อ หากกลุ่ม TA488 มีสิทธิ์เข้าถึงบัญชีอื่นในองค์กร กลุ่มนี้ก็จะรักษาการเข้าถึงกล่องจดหมายของเป้าหมายไว้ได้อย่างต่อเนื่อง การเข้าถึงนี้อยู่ฝั่งเซิร์ฟเวอร์และต้องถูกลบออกอย่างตั้งใจ การหมุนเปลี่ยนข้อมูลรับรองและแม้แต่การล้างเครื่องของผู้ใช้เป้าหมายใหม่ทั้งหมดก็ไม่สามารถขับไล่ผู้โจมตีได้”
มัลแวร์ยังสร้างวิธีฝังตัวถาวรวิธีที่สองด้วยการเพิ่ม iframe ที่ซ่อนไว้ลงในข้อความที่เก็บอยู่ในแคชแบบออฟไลน์ IndexedDB ของ OWA พร้อมเปิดใช้งานการแคช ทำให้ iframe ถูกรันทุกครั้งที่เหยื่อเปิดอีเมลอันตรายจากแคช และเป็นการติดเชื้อซ้ำแม้เครื่องจะถูกล้างและติดตั้งใหม่ ด้านช่องทางสั่งการ OWAReaper ใช้สองวิธีคู่กัน วิธีแรกคือสอบถาม Commit Search API ของ GitHub ทุก 24 ชั่วโมงเพื่อหาข้อความ commit ที่มีอีเมลแอดเดรสของเป้าหมาย แล้วถอดรหัสข้อมูลด้วยคีย์ที่ฝังไว้ในโค้ดร่วมกับคีย์ AES ประจำเซสชัน ข้อมูลที่ถอดได้จะมีหัวข้อความ 4 อักขระบอกประเภทคำสั่ง ได้แก่ code สำหรับแทนที่ชุดเครื่องมือทั้งหมดของ OWAReaper, domn สำหรับหมุนเปลี่ยนเซิร์ฟเวอร์ C2 และ cmnd สำหรับรันโค้ด JavaScript ตามอำเภอใจผ่าน eval() ส่วนวิธีที่สองคืออ่านอีเมลขาเข้าที่ผู้ปฏิบัติการส่งมาแล้วประมวลผลคำสั่งชุดเดียวกัน โดยตรวจหาเนื้อความในรูปแบบ {อีเมลเป้าหมาย}{เว้นวรรค}{ข้อความ Base64} ใน IndexedDB
การส่งข้อมูลออกนอกองค์กรทำผ่าน HTTPS เป็นหลัก โดยเข้ารหัสเส้นทาง URI ด้วย AES-CTR และหากวิธีนี้ล้มเหลว มัลแวร์จะเปลี่ยนไปใช้เทคนิค DNS label tunneling เพื่อลักลอบส่งข้อมูลแฝงไปกับการสอบถาม DNS ปกติไปยังโดเมนที่ผู้โจมตีควบคุม
ผลกระทบ
แคมเปญนี้ทำลายสมมติฐานพื้นฐานสองข้อที่ทีมตอบสนองเหตุการณ์จำนวนมากยังยึดถืออยู่ ข้อแรกคือความเชื่อว่า “ไม่คลิกลิงก์ ไม่เปิดไฟล์แนบ ก็ปลอดภัย” ซึ่งใช้ไม่ได้กับการโจมตีแบบ half-click ที่อาศัยเพียงการเปิดอ่านอีเมล และข้อที่สองคือความเชื่อว่าการรีเซ็ตรหัสผ่านพร้อมล้างเครื่องใหม่จะกำจัดผู้บุกรุกได้ ในเมื่อการฝังตัวอยู่ฝั่งเซิร์ฟเวอร์ผ่านสิทธิ์บนโฟลเดอร์เมลและโทเคน OAuth การกู้คืนที่ไม่ได้ตรวจสอบสิทธิ์ระดับกล่องจดหมายจึงเท่ากับปล่อยให้ผู้โจมตีอ่านอีเมลต่อไปได้แบบไร้ร่องรอย
สำหรับหน่วยงานที่ยังใช้ Exchange Server แบบ On-Premises และเปิด OWA ให้เข้าถึงจากภายนอก ความเสี่ยงยิ่งสูงขึ้นเพราะการแพตช์มักล่าช้ากว่าบริการบนคลาวด์ และการเฝ้าระวังพฤติกรรมภายในเบราว์เซอร์แทบไม่มีในเครื่องมือรักษาความปลอดภัยทั่วไป มัลแวร์ที่ทำงานอยู่ในบริบทของหน้าเว็บ OWA ไม่ทิ้งไฟล์ลงดิสก์และไม่สร้างกระบวนการใหม่บนเครื่อง จึงมองไม่เห็นด้วยเครื่องมือ EDR ที่จับพฤติกรรมระดับระบบปฏิบัติการเพียงอย่างเดียว การขยายเป้าหมายไปยังภาคโทรคมนาคม การเงิน การโรงแรม และการบินและอวกาศ ยังบ่งชี้ว่าการเก็บข่าวกรองไม่ได้จำกัดอยู่แค่หน่วยงานรัฐ แต่ครอบคลุมองค์กรที่ถือข้อมูลการเดินทางและข้อมูลลูกค้าจำนวนมากด้วย
คำแนะนำ
- ติดตั้งแพตช์แก้ไข CVE-2026-42897 บนระบบ Exchange และ OWA ทุกเครื่องโดยไม่รอรอบอัปเดตปกติ และตรวจสอบว่าเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ตได้รับแพตช์ครบทุกโหนด
- ตรวจสอบสิทธิ์ระดับโฟลเดอร์เมลของทุกบัญชีว่ามีการให้สิทธิ์ Owner แก่ผู้ใช้ Default หรือไม่ หากพบให้ถอนสิทธิ์ทันที เพราะนี่คือกลไกฝังตัวหลักที่การรีเซ็ตรหัสผ่านไม่ช่วยอะไร
- ตรวจสอบและเพิกถอน Outlook add-in ที่มีสิทธิ์ ReadWriteMailbox ซึ่งไม่ได้รับอนุมัติ พร้อมเพิกถอนโทเคน OAuth ที่ออกให้กับแอปที่น่าสงสัยทั้งหมด
- แนะนำให้ผู้ใช้ที่มีความเสี่ยงล้าง localStorage และแคช IndexedDB ของเบราว์เซอร์ที่ใช้เปิด OWA เพราะเป็นจุดที่มัลแวร์เขียนสำเนาตัวเองไว้เพื่อรันซ้ำ
- ปิดการเติมข้อมูลรับรองอัตโนมัติของเบราว์เซอร์บนหน้าเข้าสู่ระบบขององค์กร เพื่อลดโอกาสที่ช่องกรอกข้อมูลซ่อนตัวจะดักรหัสผ่านได้
- เฝ้าระวังทราฟฟิกที่ผิดปกติจากเครื่องผู้ใช้ไปยัง Commit Search API ของ GitHub รวมถึงการสอบถาม DNS ที่มีชื่อโดเมนย่อยยาวผิดปกติ ซึ่งเป็นสัญญาณของการลักลอบส่งข้อมูลผ่าน DNS