สรุปสั้น
บริษัทไมโครซอฟท์เปิดเผยรายงานฉบับล่าสุดว่า มีการใช้หน้าอัปเดตเบราว์เซอร์ปลอมที่ถูกดันผ่าน Wi-Fi ของโรงแรมที่ถูกยึดครอง เพื่อส่งมัลแวร์ชื่อ CornFlake ซึ่งเป็นโทรจันเข้าถึงระยะไกล (RAT) ที่สามารถจับภาพจากเว็บแคม บันทึกเสียงจากไมโครโฟน และดักแป้นพิมพ์ของเหยื่อได้ นักวิจัยติดตามปฏิบัติการนี้ในชื่อ CaptiveCrunch และระบุว่าเป็นฝีมือของ Storm-2945 ซึ่งไมโครซอฟท์ประเมินว่าเป็นคลัสเตอร์ย่อยเชิงปฏิบัติการของ Midnight Blizzard หรือที่รู้จักกันในชื่อ APT29 และ Cozy Bear โดยรัฐบาลสหรัฐฯ และสหราชอาณาจักรระบุว่ากลุ่มหลักดังกล่าวเชื่อมโยงกับหน่วยข่าวกรองต่างประเทศของรัสเซีย (SVR)
ต้นทางของปัญหาอยู่ที่สถาปัตยกรรมเครือข่ายของสถานที่ให้บริการเอง เพราะบนเครือข่ายที่บริษัท ReliaQuest เข้าไปตรวจสอบ เกตเวย์ที่ทำหน้าที่เป็น captive portal ยังทำหน้าที่เป็น DNS resolver ที่แจกให้อุปกรณ์ที่เชื่อมต่อด้วย เมื่อผู้โจมตีคุมเกตเวย์ในระดับผู้ดูแลระบบได้ ก็สามารถปลอมคำตอบ DNS และเปลี่ยนเส้นทางทราฟฟิกที่ตามมาได้ทั้งหมด รวมถึงเปลี่ยนเส้นทางการตรวจสอบการเชื่อมต่ออัตโนมัติของโน้ตบุ๊กไปยังหน้าอัปเดตเบราว์เซอร์หรือระบบปฏิบัติการปลอม อย่างไรก็ตาม เกตเวย์ควบคุมได้เพียงว่าผู้ใช้จะถูกพาไปที่ใด แต่ไม่ได้ติดมัลแวร์ให้เครื่องเหยื่อเงียบ ๆ เหยื่อยังต้องเป็นผู้ดาวน์โหลดหรือรันเพย์โหลดเอง ข่าวนี้ต่อยอดจากที่เว็บไซต์นี้เคยรายงานไว้ในโพสต์ 269 เกี่ยวกับการแฮ็ก DNS ของ Wi-Fi โรงแรมเพื่อพาไปหน้าล็อกอิน Microsoft 365 ปลอม
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 1 สิงหาคม พ.ศ. 2569 ว่า บริษัทไมโครซอฟท์สังเกตเห็นการบิดเบือนทราฟฟิกในลักษณะนี้มาตั้งแต่ต้นเดือนพฤษภาคม กระจายอยู่ในเครือข่ายของธุรกิจภาคบริการที่พักในหลายประเทศ แต่บริษัทยังไม่ระบุชื่อโรงแรม สถานที่จัดงาน หรือผู้ให้บริการระบบ captive portal รายใดเป็นการเฉพาะ ด้านบริษัท ReliaQuest แนะนำให้องค์กรใช้ VPN แบบ full-tunnel ที่เปิดทำงานตลอดเวลา ซึ่งจะส่งคำขอ DNS ผ่าน resolver ขององค์กรก่อนที่เกตเวย์ของสถานที่จะมีโอกาสตอบกลับได้
นักวิจัยยังพบว่าตั้งแต่วันที่ 16 กรกฎาคมเป็นต้นมา หน้าปลายทางของแคมเปญ CaptiveCrunch บางหน้าเปลี่ยนไปพาผู้เข้าพักเข้าสู่กระบวนการยืนยันตัวตนแบบ device code ของไมโครซอฟท์แทน ซึ่งการกรอกรหัสที่ผู้โจมตีเตรียมไว้ลงในหน้าล็อกอินที่ถูกต้องของไมโครซอฟท์จริง ๆ จะทำให้เซสชันที่ผู้โจมตีควบคุมได้รับสิทธิ์เข้าถึงในสถานะที่ผ่าน MFA แล้ว โดยไมโครซอฟท์แนะนำให้ปิดกั้นกระบวนการนี้ผ่าน Conditional Access ในทุกกรณีที่องค์กรไม่จำเป็นต้องใช้
ประเด็นการระบุตัวผู้ก่อเหตุยังมีความซับซ้อนอยู่พอสมควร บริษัท ReliaQuest เคยบันทึกโดเมนที่ปลอมเป็นไมโครซอฟท์ชุดเดียวกันและโครงสร้างพื้นฐานที่ทับซ้อนกันไว้ก่อนหน้ารายงานของไมโครซอฟท์ 8 วัน โดยระบุว่าชั้นเชิงการโจมตีคล้ายกับ APT28 ซึ่งเป็นหน่วยงานในสังกัด GRU ที่รู้จักกันในชื่อ Fancy Bear และ Forest Blizzard แต่ไม่ฟันธงเรื่องการระบุตัวตน เพราะการประเมินตั้งอยู่บนความคล้ายของ TTP ไม่ใช่หลักฐานทางเทคนิคที่เชื่อมโยงกันโดยตรง ขณะที่ไมโครซอฟท์เองก็ยอมรับว่ากิจกรรมนี้คล้ายกับการยึดเราเตอร์ของ Forest Blizzard ที่บริษัทเปิดเผยไว้เมื่อเดือนเมษายน แต่ยังคงระบุว่า CaptiveCrunch เป็นฝีมือของ Storm-2945
ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) และพันธมิตรระหว่างประเทศประเมินว่า APT29 แทบจะแน่นอนว่าเป็นส่วนหนึ่งของหน่วยข่าวกรองต่างประเทศของรัสเซีย แต่การระบุตัวตนระดับรัฐบาลนั้นครอบคลุมกลุ่ม APT29 ในภาพรวมเท่านั้น ส่วนการเชื่อม CaptiveCrunch เข้ากับ Storm-2945 ยังเป็นการประเมินของไมโครซอฟท์ฝ่ายเดียว และยังไม่มีรายงานทางเทคนิคสาธารณะฉบับอื่นที่ยืนยันความเชื่อมโยงนี้อย่างเป็นอิสระ ขณะที่เส้นทางการเจาะระบบครั้งแรกยังอยู่ระหว่างการสอบสวน โดยบริษัท ReliaQuest ประเมินด้วยความเชื่อมั่นระดับต่ำถึงปานกลางว่าน่าจะเกิดจากอินเทอร์เฟซการจัดการที่เปิดออกสู่ภายนอกผสมกับรหัสผ่านผู้ดูแลระบบที่อ่อนหรือถูกใช้ซ้ำ แต่ข้อจำกัดด้านการมองเห็นทำให้ยืนยันไม่ได้
วิธีการโจมตี
หลังยึดเกตเวย์ได้ ผู้โจมตีจะปลอมคำตอบ DNS เพื่อพาเหยื่อไปยังหน้าที่เตรียมไว้ ซึ่งบางหน้าใช้เทคนิค ClickFix ที่หลอกให้เหยื่อเปิดเทอร์มินัลหรือยูทิลิตีอื่นของวินโดวส์แล้วรันคำสั่งที่ผู้โจมตีเตรียมไว้ด้วยตัวเอง จุดนี้สำคัญต่อการประเมินความเสี่ยงจริง เพราะการโจมตีไม่ใช่การยึดเครื่องแบบอัตโนมัติ แต่ต้องอาศัยให้ผู้ใช้ยอมทำตามคำสั่งบนหน้าจอ
เมื่อเหยื่อรันเพย์โหลด CornFlake ซึ่งเป็นอิมแพลนต์ที่เขียนด้วยภาษา Go จะคัดลอกตัวเองไปที่ %APPDATA%\svchost32\svchost32.exe และลงทะเบียนเซอร์วิสชื่อ svchost32 โดยใช้ชื่อแสดงผลว่า Cloud Sync Service ระหว่างนั้นจะมีหน้าต่างแสดงความคืบหน้าปลอมขึ้นมาตรึงความสนใจของเหยื่อไว้ ผลวิเคราะห์ของไมโครซอฟท์ระบุว่าอิมแพลนต์นี้จับภาพหน้าจอเมื่อเครื่องอยู่ในสถานะว่างงาน บันทึกเนื้อหาในคลิปบอร์ดพร้อมชื่อหน้าต่างที่กำลังใช้งาน ขโมยคุกกี้และรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์ รวมถึงคุกกี้ที่ได้รับการป้องกันด้วย Chrome App-Bound Encryption สแกนสื่อบันทึกข้อมูลแบบถอดได้ และเปิดเชลล์จากระยะไกล นอกจากนี้ยังใช้ทั้งคีย์ Registry Run และ scheduled task เพื่อฝังตัว พร้อมมีตัวเฝ้าระวังที่คอยกู้กลไกการฝังตัวใดก็ตามที่ฝ่ายป้องกันลบออกไป
นักวิจัยยังพบเครื่องมืออีกตัวชื่อ ChocoShell ซึ่งเป็นสติลเลอร์ที่ทำงานในหน่วยความจำผ่าน PowerShell ทำหน้าที่เก็บโทเคนสำหรับเข้าถึงและโทเคนรีเฟรชของ Microsoft 365 และ Azure Active Directory รวมถึงโทเคนของ Web Account Manager (WAM) จากไฟล์นามสกุล .tbres ในแคชของ Token Broker โทเคนที่ถูกขโมยไปเหล่านี้เปิดทางให้ผู้โจมตีเล่นซ้ำเซสชันได้โดยไม่ต้องมีคุกกี้ของเบราว์เซอร์เลย
ผลกระทบ
กลุ่มเสี่ยงที่ชัดที่สุดคือพนักงานที่เดินทางไปทำงานนอกสถานที่และใช้ Wi-Fi ของโรงแรมหรือศูนย์ประชุม เพราะการโจมตีไม่ได้เจาะจงอุตสาหกรรมใด แต่เจาะจงที่ “สถานที่” ซึ่งหมายความว่าองค์กรที่ป้องกันเครือข่ายตัวเองไว้แน่นหนาก็ยังเสี่ยงได้ผ่านอุปกรณ์ของพนักงานที่ออกไปเชื่อมต่อเครือข่ายที่ตัวเองไม่ได้ควบคุม ชุดความสามารถของ CornFlake ที่เก็บได้ทั้งภาพเว็บแคม เสียงไมโครโฟน แป้นพิมพ์ และคุกกี้ ทำให้ผลลัพธ์ของการยึดเครื่องหนึ่งเครื่องไม่ได้จบที่บัญชีเดียว แต่ลามไปถึงการประชุมและเอกสารที่เข้าถึงจากเครื่องนั้นด้วย
จุดที่น่ากังวลเชิงระบบคือข้อสังเกตของไมโครซอฟท์ที่ว่า เครือข่ายที่ได้รับผลกระทบมีอุปกรณ์และระบบบริหารจัดการชุดเดียวกัน ซึ่งบริษัทระบุว่าอาจสะท้อนถึงการเข้าถึงบริการที่ใช้ร่วมกันในบางส่วนของระบบนิเวศ captive portal หากเป็นเช่นนั้นจริง การถูกเจาะก็อาจไม่ได้จำกัดอยู่ที่สถานที่รายใดรายหนึ่ง แต่กระจายผ่านผู้ให้บริการเบื้องหลัง อย่างไรก็ตาม ไมโครซอฟท์ยังไม่เปิดเผยชื่อผู้ให้บริการรายใด และย้ำว่าข้อสังเกตนี้ยังเป็นเพียงความเป็นไปได้
ข้อจำกัดสำคัญของหลักฐานคือ รายงานทั้งสองฉบับบันทึกการเปลี่ยนเส้นทางและการส่งมัลแวร์ที่เกิดขึ้นจริง แต่ไม่ได้ระบุขนาดของผลกระทบหรืออัตราความสำเร็จเลย เมื่อไม่มีตัวเลขว่ามีการรันเพย์โหลดสำเร็จกี่ครั้ง มีการอนุมัติ device code กี่ราย หรือมีบัญชีถูกขโมยไปเท่าใด หลักฐานสาธารณะจึงยังไม่บอกว่าการเปลี่ยนเส้นทางกลายเป็นการยึดระบบสำเร็จบ่อยแค่ไหน
คำแนะนำ
องค์กรควรบังคับใช้ VPN แบบ full-tunnel ที่เปิดทำงานอัตโนมัติทุกครั้งที่เครื่องเชื่อมต่อเครือข่ายภายนอก เพื่อให้คำขอ DNS วิ่งผ่าน resolver ขององค์กรก่อนที่เกตเวย์ของสถานที่จะตอบกลับได้ ซึ่งเป็นมาตรการที่ตัดรากของการโจมตีชุดนี้ได้ตรงที่สุด และควรปิดกั้นกระบวนการยืนยันตัวตนแบบ device code ผ่าน Conditional Access ในทุกกรณีที่ไม่จำเป็นต้องใช้งานจริง
ในระดับผู้ใช้ นักวิจัยแนะนำให้ผู้เดินทางเลือกใช้การเชื่อมต่อส่วนตัว เช่น การแชร์อินเทอร์เน็ตจากโทรศัพท์ และปฏิเสธข้อเสนอให้ติดตั้งอัปเดตซอฟต์แวร์ ใบรับรอง อัปเดตเบราว์เซอร์ เครื่องมือแก้ปัญหา หรือยูทิลิตีด้านความปลอดภัยใด ๆ ที่โผล่ขึ้นมาผ่านหน้า captive portal โดยเด็ดขาด เพราะระบบเหล่านั้นไม่มีเหตุผลที่ถูกต้องที่จะเสนอไฟล์ให้ติดตั้ง
ฝ่ายปฏิบัติการความปลอดภัยควรตั้งกฎตรวจจับการสร้างเซอร์วิสชื่อ svchost32 หรือชื่อแสดงผล Cloud Sync Service การมีไฟล์ปฏิบัติการทำงานจากพาธ %APPDATA% และการรัน PowerShell ที่เข้าถึงไฟล์ .tbres ในแคชของ Token Broker พร้อมทั้งเตรียมกระบวนการเพิกถอนโทเคนและบังคับลงชื่อเข้าใช้ใหม่ทันทีที่สงสัยว่าเครื่องของผู้เดินทางถูกเจาะ เพราะการเปลี่ยนรหัสผ่านอย่างเดียวไม่ตัดเซสชันที่ถูกขโมยโทเคนไปแล้ว สุดท้ายควรเตือนพนักงานเรื่องเทคนิค ClickFix ให้ชัดว่าไม่มีหน้าเว็บใดที่ควรสั่งให้ผู้ใช้เปิดเทอร์มินัลแล้ววางคำสั่ง