สรุปสั้น
กลุ่มอาชญากรไซเบอร์สัญชาติจีนที่รู้จักกันในชื่อ Silver Fox ถูกพบว่ากำลังใช้ไดรเวอร์ชุดใหม่ในการโจมตีแบบ bring your own vulnerable driver หรือ BYOVD เพื่อเล่นงานองค์กรในภาคอุตสาหกรรมการผลิตของญี่ปุ่น โดยมีเป้าหมายปลายทางคือการติดตั้ง ValleyRAT หรือที่รู้จักอีกชื่อว่า Winos 4.0 เพื่อเปิดช่องเข้าถึงเครื่องจากระยะไกลอย่างต่อเนื่อง ทีมวิจัยของบริษัท Cato Networks ระบุว่าแคมเปญนี้ผสมผสานทั้งการใช้ไดรเวอร์ที่มีช่องโหว่ตัวใหม่ การนำแอปพลิเคชันถูกกฎหมายมาใช้ทำ DLL side-loading ในรูปแบบที่ยังไม่เคยพบมาก่อน เทคนิคหลบเลี่ยงการตรวจจับ และกลไกกู้คืนตัวเองแบบหลายชั้นเพื่อให้ ValleyRAT ทำงานต่อไปได้เสมอ
สิ่งที่ต่างจากแคมเปญก่อนหน้าของกลุ่มนี้คือการรวมไดรเวอร์ที่มีช่องโหว่ถึงสามตัวเข้าไว้ในโมดูลเดียว ได้แก่ BootRepair.sys, EnPortv.sys และ wsftprm.sys ซึ่งสองตัวแรกไม่เคยถูกรายงานต่อสาธารณะว่าเชื่อมโยงกับการโจมตีระลอกก่อน ๆ ของ Silver Fox มาก่อน แนวคิดเบื้องหลังการใส่ไดรเวอร์หลายตัวคือการทำให้ระบบ BYOVD กลายเป็นแบบ plug-and-play ที่ผู้ปฏิบัติการสลับไดรเวอร์ตัวใดตัวหนึ่งออกไปใช้ตัวอื่นแทนได้ โดยไม่ต้องแก้ไขขั้นตอนอื่นของห่วงโซ่การโจมตีเลย ซึ่งเพิ่มความยืดหยุ่นเวลาต้องรับมือกับสภาพแวดล้อมที่ต่างกันในแต่ละองค์กร
อีกจุดที่ทีมป้องกันต้องให้ความสนใจคือสถาปัตยกรรมการกู้คืนแบบสองชั้น มัลแวร์จับคู่กลไกภายในที่คอยเฝ้าดูเพย์โหลดที่ถูกฉีดเข้าไป เข้ากับสคริปต์ watchdog ภายนอกที่คอยเฝ้าดูตัว loader อีกที ผลคือหากเพย์โหลดถูกปิด ตัว loader จะสร้างมันขึ้นมาใหม่ และหากตัว loader ถูกฆ่า สคริปต์ watchdog ก็จะเรียกมันกลับมาทำงานอีก การกำจัดจึงต้องตัดทั้งสององค์ประกอบพร้อมกันและป้องกันไม่ให้ฝ่ายใดฟื้นอีกฝ่ายกลับมาได้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 กรกฎาคม 2569 ว่ากลุ่ม Silver Fox ถูกพบว่านำไดรเวอร์ชุดใหม่มาใช้ในการโจมตีแบบ BYOVD ที่พุ่งเป้าองค์กรในภาคอุตสาหกรรมการผลิตของญี่ปุ่น เพื่อส่งมอบ ValleyRAT สำหรับการเข้าถึงระยะไกลอย่างต่อเนื่อง อ้างอิงจากผลวิเคราะห์ของทีมวิจัยบริษัท Cato Networks ประกอบด้วยนางสาว Shani Kurtzberg, นาย Tomer Pugach, ดร. Guy Waizel, นาย Zohar Buber และนาย Idan Tarab
ห่วงโซ่การโจมตีเริ่มต้นจากเหยื่อล่อแบบฟิชชิงธีมใบแจ้งหนี้ที่ใช้เนื้อหาซึ่งผู้โจมตีควบคุมและโฮสต์ไว้บนบริการถูกกฎหมายอย่าง QQ และ Tencent Cloud เพื่อจุดชนวนห่วงโซ่ DLL side-loading ผ่านไฟล์บีบอัด ZIP ซึ่งปูทางไปสู่การติดตั้ง ValleyRAT ทว่าก่อนจะถึงขั้นนั้น มัลแวร์จะใช้เทคนิค BYOVD เพื่อให้ได้สิทธิ์ระดับเคอร์เนลและทำลายความสามารถของระบบรักษาความปลอดภัยบนเครื่องเหยื่อเสียก่อน
ภายในไฟล์ ZIP บรรจุไฟล์ดาวน์โหลดที่ทำหน้าที่ดึงองค์ประกอบขั้นถัดไปซึ่งจำเป็นสำหรับการทำ DLL side-loading มาจากโครงสร้างพื้นฐานบน Tencent Cloud ที่ผู้โจมตีควบคุมอยู่ ก่อนหน้านี้ Silver Fox เคยใช้วิธีเดียวกันโดยอาศัยไดรเวอร์ถูกกฎหมายแต่มีช่องโหว่อย่าง amsdk.sys และ wsftprm.sys แต่ในแคมเปญล่าสุดมีการนำไดรเวอร์อีกสองตัวเข้ามาเสริม คือ BootRepair.sys และ EnPortv.sys
กลไกสำคัญอยู่ที่ไฟล์ DLL อันตรายชื่อ PDFCORE8.dll ซึ่งถูก side-load ผ่านไฟล์ ConvertToPDF.exe หรือ PDFDirect.exe โดยไฟล์ปฏิบัติการทั้งสองตัวเป็นของบริษัท Zeon Corporation ตัว DLL นี้ฝังไดรเวอร์ทั้งสามตัวไว้ภายใน ทำให้มัลแวร์กลายเป็นเฟรมเวิร์ก BYOVD แบบโมดูลาร์ที่มีไดรเวอร์สามตัวสำหรับหลบเลี่ยงการตรวจจับโดยเฉพาะ
รายงานยังระบุว่าการเปิดเผยครั้งนี้เกิดขึ้นในช่วงที่ Silver Fox ยังคงขัดเกลาและขยายคลังอาวุธของตัวเองอย่างต่อเนื่องด้วยเครื่องมือใหม่ ๆ อย่าง Atlas RAT (หรือ AtlasCross RAT), RomulusLoader และ SilentRunLoader ควบคู่ไปกับการใช้เหยื่อล่อธีมภาษีเพื่อส่ง Gh0st RAT และ DCRat โดยบริษัทความมั่นคงปลอดภัยไซเบอร์รายหนึ่งของเกาหลีใต้เพิ่งเผยแพร่รายงานว่าการค้นย้อนหลัง 180 วันในคลังตัวอย่างของ VirusTotal พบตัวอย่าง Atlas RAT ที่ไม่ซ้ำกันถึง 146 ตัวอย่าง ครอบคลุมบิลด์ PDB ที่ระบุเวอร์ชันไว้ 6 แบบ ชื่อผู้ใช้ในสภาพแวดล้อมพัฒนา 2 ชื่อ และสายพันธุ์เชิงฮิวริสติก 27 สาย ซึ่งบริษัทดังกล่าวมองว่าขนาดและความหลากหลายระดับนี้ไม่สอดคล้องกับการบริหารจัดการโดยผู้ปฏิบัติการเพียงรายเดียว จึงเปิดความเป็นไปได้ว่ามัลแวร์อาจถูกพัฒนาเชิงพาณิชย์หรือแจกจ่ายเป็นการส่วนตัว พร้อมย้ำว่าความเชื่อมโยงกับ Silver Fox ยังเป็นเพียงข้อสันนิษฐานจากหลักฐานแวดล้อมและยังไม่เพียงพอที่จะฟันธงว่าเป็นผู้ปฏิบัติการรายเดียวกัน
วิธีการโจมตี
หัวใจของแคมเปญนี้คือตัว DLL loader ที่ทำงานเป็นเฟรมเวิร์กการรันโค้ดในตัวเองอย่างสมบูรณ์ ทีมวิจัยระบุว่ามัลแวร์รวมเอาเทคนิค BYOVD, DLL side-loading, NTDLL unhooking, การฉีดโค้ดเข้าโปรเซส, การเก็บเพย์โหลดไว้ในรีจิสทรี และกลไกกู้คืนอิสระอีกสองชุด เข้าไว้ด้วยกันเพื่อทำลายการทำงานของระบบรักษาความปลอดภัยและรักษาการรันโค้ดของตัวเองเอาไว้
เทคนิค NTDLL unhooking ถูกใช้เพื่อถอด user-mode inline hook ที่ซอฟต์แวร์ป้องกันปลายทางวางไว้สำหรับเฝ้าดูการเรียกใช้ Windows API ระดับ native ออกไป ทำให้พฤติกรรมของมัลแวร์หลุดจากสายตาของเครื่องมือตรวจจับที่พึ่งพาการดักที่ชั้นนี้ ส่วนไดรเวอร์ทั้งสามตัวถูกใช้เพื่อยกระดับสิทธิ์ไปถึงเคอร์เนลและปิดกระบวนการของซอฟต์แวร์ความปลอดภัยบนเครื่อง
หลังจากปูทางเรียบร้อย ตัว loader จะปล่อยสคริปต์ batch ที่ทำหน้าที่เป็น watchdog ซึ่งสร้างความคงอยู่ผ่าน scheduled task และติดต่อไปยังเซิร์ฟเวอร์ภายนอกที่หมายเลขไอพี 43.128.26[.]132 (defang แล้ว) เพื่อดึงเชลล์โค้ดมาฉีดเข้าไปในโปรเซส svchost.exe ตัวใหม่ด้วยเทคนิคที่เรียกว่า thread-context hijacking เพย์โหลดขั้นสุดท้ายที่ได้คือ ValleyRAT ซึ่งเป็นสายพันธุ์หนึ่งของ Gh0st RAT ให้ความสามารถทั้งการสื่อสารกับเซิร์ฟเวอร์ควบคุม การสั่งงานตามภารกิจ และความสามารถอื่นในระยะหลังการเจาะระบบ
จุดที่นิยามแคมเปญนี้ได้ชัดที่สุดคือดีไซน์ watchdog แบบคู่ ซึ่งจับคู่รูทีนภายในที่เฝ้าดูเพย์โหลดที่ถูกฉีด เข้ากับสคริปต์ watchdog ภายนอกที่เฝ้าดูตัว loader ผู้สร้างเพย์โหลดนั้นอีกชั้นหนึ่ง บริษัท Cato Networks อธิบายว่า “ดีไซน์แบบเป็นชั้นนี้เพิ่มความทนทาน เพราะฝ่ายป้องกันต้องขัดจังหวะทั้งสององค์ประกอบ และต้องกันไม่ให้ฝ่ายใดฟื้นอีกฝ่ายกลับขึ้นมาได้” พร้อมเสริมว่าสถาปัตยกรรมการกู้คืนนี้ยังตอกย้ำความเป็นโมดูลาร์ที่พบตลอดทั้งตัวอย่างมัลแวร์ เพราะการวางไดรเวอร์ การฆ่ากระบวนการด้านความปลอดภัย การฉีดโค้ด การเฝ้าดูเพย์โหลด และการกู้คืน loader ล้วนถูกทำให้เป็นองค์ประกอบที่ทำงานประสานกัน ไม่ใช่เทคนิคที่แยกกันอยู่
ผลกระทบ
การที่ Silver Fox ขยับจากเป้าหมายเดิมที่มักเป็นผู้ใช้ภาษาจีนและองค์กรในภูมิภาค มาเล่นงานผู้ผลิตในภาคอุตสาหกรรมของญี่ปุ่น สะท้อนแนวโน้มที่กลุ่มอาชญากรไซเบอร์เชิงพาณิชย์กำลังไล่ตามเป้าหมายที่มีมูลค่าทางเศรษฐกิจสูงขึ้นเรื่อย ๆ ภาคการผลิตเป็นเป้าที่น่าสนใจเพราะมีทั้งข้อมูลการออกแบบ ข้อมูลซัพพลายเชน และระบบที่หยุดไม่ได้ ซึ่งทำให้องค์กรมีแรงกดดันให้ยอมความมากกว่าภาคอื่น สำหรับผู้ผลิตในไทยที่อยู่ในห่วงโซ่อุปทานเดียวกับบริษัทญี่ปุ่น ความเสี่ยงจึงไม่ได้อยู่ไกลตัว เพราะการเจาะบริษัทแม่หรือคู่ค้ารายหนึ่งมักถูกใช้เป็นสะพานไปสู่คู่ค้ารายอื่นผ่านช่องทางที่ไว้ใจกันอยู่แล้ว
ในเชิงเทคนิค การที่ผู้โจมตีรวมไดรเวอร์ที่มีช่องโหว่ไว้ถึงสามตัวและออกแบบให้สลับกันได้ ทำให้แนวป้องกันที่อาศัยการบล็อกไดรเวอร์ทีละตัวตามรายการที่รู้จักแล้วมีประสิทธิภาพลดลงอย่างมาก เพราะเมื่อไดรเวอร์ตัวหนึ่งถูกขึ้นบัญชีดำ ผู้โจมตีเพียงเปลี่ยนไปใช้อีกตัวโดยไม่ต้องแก้ห่วงโซ่ส่วนอื่นเลย ประกอบกับการทำ NTDLL unhooking และกลไก watchdog สองชั้น องค์กรที่พึ่งพาการตอบสนองแบบฆ่าโปรเซสเพียงอย่างเดียวจะพบว่ามัลแวร์กลับมาทำงานใหม่ได้เสมอ การกำจัดจึงต้องอาศัยการวิเคราะห์ห่วงโซ่ทั้งหมดและตัดทุกจุดพร้อมกัน
คำแนะนำ
- เปิดใช้งาน Microsoft Vulnerable Driver Blocklist และ Hypervisor-Protected Code Integrity บนเครื่อง Windows ทุกเครื่อง พร้อมเพิ่มไดรเวอร์ BootRepair.sys, EnPortv.sys, wsftprm.sys และ amsdk.sys เข้าในรายการบล็อกของระบบป้องกันปลายทาง
- เฝ้าระวังการโหลดไดรเวอร์เข้าเคอร์เนลจากเส้นทางที่ผู้ใช้เขียนได้ และตั้งการแจ้งเตือนเมื่อมีการติดตั้งไดรเวอร์ใหม่บนเครื่องปลายทางที่ไม่ควรมีการเปลี่ยนแปลง
- ตรวจหาไฟล์ PDFCORE8.dll ที่วางคู่กับ ConvertToPDF.exe หรือ PDFDirect.exe ในเส้นทางผิดปกติ เพราะเป็นรูปแบบ DLL side-loading ที่แคมเปญนี้ใช้โดยตรง
- ตรวจสอบ scheduled task ที่ถูกสร้างใหม่และสคริปต์ batch ที่รันเป็นระยะ รวมถึงเพย์โหลดที่ถูกเก็บไว้ในรีจิสทรี ซึ่งเป็นจุดคงอยู่หลักของมัลแวร์ชุดนี้
- บล็อกและเฝ้าระวังการเชื่อมต่อออกไปยังไอพี 43.128.26[.]132 (defang แล้ว) รวมถึงทราฟฟิกไปยังบริการโฮสต์เนื้อหาของ QQ และ Tencent Cloud ที่ไม่มีเหตุผลทางธุรกิจรองรับ
- เมื่อพบการติดเชื้อ ต้องกำจัดทั้ง loader เพย์โหลดที่ถูกฉีดใน svchost.exe และสคริปต์ watchdog พร้อมกันในการดำเนินการเดียว มิฉะนั้นองค์ประกอบที่เหลือจะปลุกส่วนที่ถูกลบกลับมาใหม่