สรุปสั้น

นาย Dirk-jan Mollema นักวิจัยที่ศึกษาระบบ Entra ID มาต่อเนื่อง สาธิตให้เห็นว่ามัลแวร์ที่รันอยู่แล้วในเซสชัน Windows ของผู้ใช้ที่ล็อกอินค้างไว้ สามารถเรียกใช้กุญแจ Windows Hello for Business ของเหยื่อเพื่อยืนยันตัวตนกับ Microsoft Entra ID ได้อย่างเงียบเชียบ จากนั้นผู้โจมตีสามารถต่อยอดไปสร้างการเข้าถึงคลาวด์ระยะยาว ด้วยการลงทะเบียนอุปกรณ์ที่ตนควบคุม ขอ Primary Refresh Token หรือ PRT และเพิ่มวิธียืนยันตัวตนใหม่เข้าไปในบัญชีเท่าที่นโยบายของเทแนนต์จะเปิดช่องให้

จุดที่ทำให้เทคนิคนี้น่ากังวลคือ บนเครื่องที่มีชิป TPM รองรับ ผู้โจมตีไม่ต้องดึงคีย์ส่วนตัวออกมา ไม่ต้องกู้ PIN และไม่กระตุ้นให้ระบบขอสแกนไบโอเมตริกเลย เพราะกลไก ticketing ของ Windows เปิดให้การเรียกใช้คีย์ส่วนตัวทำได้ต่อเนื่องตราบที่ผู้ใช้ยังล็อกอินอยู่ โค้ดที่รันในสิทธิ์ของผู้ใช้จึงขอให้ Windows ลงนามข้อมูลยืนยันตัวตนให้ได้ และไม่จำเป็นต้องมีสิทธิ์ผู้ดูแลระบบ

เงื่อนไขเดียวที่ต้องมีคือความสามารถรันโค้ดในเซสชันของเหยื่อที่ล็อกอินอยู่ นาย Mollema อธิบายพฤติกรรมนี้ว่าเป็นผลจากวิธีที่ Windows Hello for Business ถูกออกแบบมา และระบุว่าถูกปล่อยไว้ตามเดิม การเปิดเผยครั้งนี้ไม่ได้รายงานว่ามีการนำไปใช้โจมตีจริงหรือมีเหยื่อแล้ว โดยเขาแนะนำให้เฝ้าระวังการลงทะเบียนอุปกรณ์ที่ผิดปกติเป็นหลัก ขณะที่ The Hacker News ระบุว่าค้นหาแล้วไม่พบ CVE หรือประกาศของ Microsoft ที่ผูกกับเทคนิคนี้ ณ วันที่ 6 สิงหาคม 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 7 สิงหาคม 2569 ว่า งานวิจัยชิ้นนี้ต่อยอดจากสิ่งที่นาย Dirk-jan Mollema เคยนำเสนอในงาน DEF CON 32 เมื่อปี 2567 ซึ่งแสดงให้เห็นว่าสามารถเรียกใช้กุญแจ Windows Hello for Business จากเซสชันที่ถูกยึดได้ และผลิตข้อมูลยืนยันที่ลงนามแล้วสำหรับขอ PRT ได้ แต่วิธีเดิมนั้นยังมีเงื่อนไขว่าต้องเข้าถึงอุปกรณ์ที่ลงทะเบียนหรือเข้าร่วมกับ Entra อยู่แล้ว

Malware can abuse Windows Hello for Business keys for persistent Entra ID access

งานชิ้นใหม่ตัดเงื่อนไขนั้นทิ้ง ด้วยการมองกุญแจ Windows Hello for Business เป็น passkey แบบ FIDO2 แล้วเรียกใช้ผ่านมาตรฐาน WebAuthn แทน นาย Mollema พบว่าค่า challenge ของ Entra ID ที่มีอายุ 5 นาทีนั้น ไม่ได้ผูกกับเซสชัน ผู้ใช้ หรือเทแนนต์ใดโดยเฉพาะ ผู้โจมตีจึงสามารถขอ challenge จากเครื่องอื่น แล้วส่งให้เครื่องที่ถูกยึดเป็นผู้ลงนามผลิตข้อมูลยืนยันกลับมา จากนั้นใช้ ROADtools ซึ่งเป็นเฟรมเวิร์กสำหรับติดต่อกับ Entra ID นำข้อมูลยืนยันนั้นไปขอโทเคนหรือเปิดเซสชันเบราว์เซอร์ในฐานะเหยื่อ

จุดต่อยอดที่สำคัญคือ นาย Mollema พบว่าโทเคนที่ได้ไม่มี claim ระบุรหัสอุปกรณ์ติดมาด้วย และโทเคนที่ไม่มีการผูกกับอุปกรณ์นี้เองที่เปิดทางให้ผู้โจมตีลงทะเบียนอุปกรณ์ใหม่ ขอ PRT สำหรับอุปกรณ์นั้น แล้วเข้าถึงบริการคลาวด์ของ Microsoft ได้ ซึ่งเอกสารของ Microsoft ระบุว่า PRT มีอายุ 90 วัน และจะถูกต่ออายุอย่างต่อเนื่องตราบที่ผู้ใช้ยังใช้งานอุปกรณ์นั้นอยู่ นั่นแปลว่าการเข้าถึงที่ได้มาไม่ได้หมดอายุพร้อมเซสชันที่ถูกยึดตอนแรก

นาย Mollema เผยแพร่สคริปต์ PowerShell ที่เป็นโค้ดพิสูจน์แนวคิดไว้ในที่เก็บโค้ด ROADtools โดย The Hacker News ระบุว่าพบไฟล์ชื่อ fido_assertion.ps1 และ hellopoc.ps1 อยู่ในโฟลเดอร์ดังกล่าวเมื่อวันที่ 6 สิงหาคม 2569 ทั้งนี้รายงานระบุข้อจำกัดไว้ชัดว่าการเปิดเผยครั้งนี้ไม่ได้ระบุบิลด์ของ Windows หรือรูปแบบการติดตั้ง Windows Hello for Business ที่ใช้ทดสอบ และการค้นหาใน Microsoft Security Update Guide, NVD และ CVE.org ไม่พบ CVE หรือประกาศที่ผูกกับเทคนิคนี้ ขณะนี้ The Hacker News ติดต่อทั้ง Microsoft และนาย Mollema แล้วแต่ยังไม่ได้รับคำตอบ

วิธีการโจมตี

กลไกทั้งหมดตั้งอยู่บนพฤติกรรม ticketing ของ Windows ที่ Microsoft เองก็มีเอกสารอธิบายไว้ นั่นคือเมื่อผู้ใช้ปลดล็อกเครื่องด้วย PIN หรือไบโอเมตริกแล้ว ระบบจะคงสถานะที่อนุญาตให้ใช้งานคีย์ส่วนตัวได้ตลอดช่วงที่ผู้ใช้ยังล็อกอินแบบโต้ตอบอยู่ เพื่อไม่ให้ผู้ใช้ต้องยืนยันตัวตนซ้ำทุกครั้งที่แอปพลิเคชันต้องใช้คีย์ ผลข้างเคียงคือโค้ดใด ๆ ที่รันในสิทธิ์ของผู้ใช้คนนั้น รวมถึงมัลแวร์ ก็ขอให้ Windows ลงนามข้อมูลให้ได้เช่นกัน

ขั้นตอนของผู้โจมตีเริ่มจากการขอ challenge จาก Entra ID บนเครื่องที่ตัวเองควบคุม เนื่องจากค่านี้ไม่ผูกกับเซสชัน ผู้ใช้ หรือเทแนนต์ จึงส่งต่อไปให้เครื่องเหยื่อได้ จากนั้นมัลแวร์บนเครื่องเหยื่อเรียกใช้กุญแจ Windows Hello for Business ผ่านเส้นทาง WebAuthn เพื่อผลิตข้อมูลยืนยันที่ลงนามแล้ว และส่งกลับมาให้ผู้โจมตีใช้ขอโทเคนผ่าน ROADtools

เมื่อได้โทเคนที่ไม่มีการผูกอุปกรณ์แล้ว ผู้โจมตีจะลงทะเบียนอุปกรณ์ใหม่ที่ตนเองควบคุมเข้ากับเทแนนต์ และขอ PRT สำหรับอุปกรณ์นั้น ซึ่งเปลี่ยนสถานะจาก “เข้าถึงได้ชั่วคราวผ่านเครื่องเหยื่อ” ไปเป็น “มีอุปกรณ์ของตัวเองที่ระบบยอมรับ” ตรงนี้คือจุดที่การเข้าถึงกลายเป็นการฝังตัวระยะยาว

ประเด็นที่หนักที่สุดคือ นาย Mollema พบว่าการล็อกอินผ่าน WebAuthn ในเส้นทางนี้ผ่านเงื่อนไข Conditional Access ที่กำหนดให้ใช้ระดับความแข็งแรงของการยืนยันตัวตนแบบทนฟิชชิงของ Microsoft ได้ และยังถูกนับเป็นการยืนยันตัวตนหลายปัจจัยที่เพิ่งทำสด ๆ ซึ่งทำให้ผู้โจมตีสามารถเพิ่ม passkey หรือกุญแจ Windows Hello for Business ตัวใหม่บนอุปกรณ์ของตนได้ในกรณีที่นโยบายเปิดช่อง อย่างไรก็ตามเขาระบุด้วยว่านโยบายด้านสถานะอุปกรณ์หรือความสอดคล้องตามข้อกำหนดที่แยกออกมาต่างหาก ยังสามารถขัดจังหวะห่วงโซ่นี้ได้ ดังนั้นเส้นทางการฝังตัวแบบครบวงจรจะไม่สำเร็จในทุกสภาพแวดล้อม

ผลกระทบ

สิ่งที่งานวิจัยนี้เปิดออกมาคือขีดจำกัดของแนวคิด “การยืนยันตัวตนที่ทนฟิชชิง” ซึ่งหลายองค์กรใช้เป็นเป้าหมายปลายทางของโครงการยกระดับการยืนยันตัวตน กุญแจยังคงผูกกับฮาร์ดแวร์และไม่ถูกส่งออกไปไหนจริงตามที่ออกแบบไว้ แต่ถ้ามัลแวร์อยู่ในเซสชันของผู้ใช้ที่ล็อกอินอยู่แล้ว มันก็เรียกใช้กุญแจนั้นแทนเจ้าของได้ กล่าวอีกอย่างคือ การป้องกันฟิชชิงแก้ปัญหาคนถูกหลอกให้มอบข้อมูลรับรอง แต่ไม่ได้แก้ปัญหาเครื่องปลายทางถูกยึด

ผลกระทบที่ตามมาคือขอบเขตความเสียหายจากเครื่องที่ติดมัลแวร์หนึ่งเครื่องขยายจากเครื่องนั้นไปสู่ตัวตนบนคลาวด์ทั้งหมดของผู้ใช้ เดิมองค์กรอาจประเมินว่าการล้างเครื่องที่ติดมัลแวร์และรีเซ็ตรหัสผ่านเพียงพอ แต่ถ้าผู้โจมตีลงทะเบียนอุปกรณ์ใหม่และได้ PRT ที่ต่ออายุตัวเองไปแล้ว การล้างเครื่องเดิมจะไม่ตัดการเข้าถึงนั้น

ในแง่การประเมินความเสี่ยงจริง ต้องระบุข้อจำกัดให้ครบ คือรายงานไม่ได้บอกว่ามีการนำไปใช้โจมตีจริงหรือมีเหยื่อรายใด ไม่ระบุบิลด์ Windows หรือรูปแบบการติดตั้ง Windows Hello for Business ที่ทดสอบ ไม่มี CVE และยังไม่มีคำตอบจาก Microsoft ว่ามองเรื่องนี้อย่างไร ขณะเดียวกันโค้ดพิสูจน์แนวคิดถูกเผยแพร่ต่อสาธารณะแล้ว ซึ่งตามประวัติที่ผ่านมามักย่นระยะเวลาจากงานวิจัยไปสู่การใช้งานจริงของผู้โจมตีลงอย่างมีนัยสำคัญ

คำแนะนำ

สิ่งที่ทำได้ทันทีคือการเฝ้าระวังการลงทะเบียนอุปกรณ์ ตามที่นาย Mollema แนะนำโดยตรง ควรตั้งการแจ้งเตือนเมื่อมีอุปกรณ์ใหม่ถูกลงทะเบียนเข้าเทแนนต์ โดยเฉพาะกรณีที่ผู้ใช้คนเดิมมีอุปกรณ์อยู่แล้วและไม่มีเหตุผลทางธุรกิจให้เพิ่มเครื่องใหม่

สำหรับการตรวจจับ เขาแนะนำให้ไล่หาการล็อกอินด้วย Windows Hello for Business ที่มีรหัสอุปกรณ์เป็นค่าว่าง ซึ่งเป็นร่องรอยของโทเคนที่ไม่ได้ผูกกับอุปกรณ์ แต่ต้องระวังว่ารูปแบบเดียวกันนี้เกิดจากการใช้งานปกติได้ด้วย เช่น การเปิดเบราว์เซอร์แบบไม่ระบุตัวตนหรือเซสชันเบราว์เซอร์ที่ไม่ผ่าน SSO ดังนั้นควรใช้เป็นสัญญาณสำหรับการสืบสวนต่อ ไม่ใช่ตัวชี้ขาด

ในระดับนโยบาย ควรจำกัดสิทธิ์การลงทะเบียนอุปกรณ์เข้าเทแนนต์ให้เหลือเท่าที่จำเป็น ไม่เปิดให้ผู้ใช้ทุกคนลงทะเบียนอุปกรณ์ได้ไม่จำกัดจำนวน และเพิ่มเงื่อนไข Conditional Access ที่ตรวจสถานะอุปกรณ์หรือความสอดคล้องตามข้อกำหนด เพราะรายงานระบุเองว่านโยบายกลุ่มนี้เป็นสิ่งที่ขัดจังหวะห่วงโซ่การฝังตัวได้ นอกจากนี้ควรทบทวนว่านโยบายอนุญาตให้เพิ่มวิธียืนยันตัวตนใหม่หลังการยืนยันตัวตนแบบทนฟิชชิงโดยไม่มีการตรวจสอบเพิ่มหรือไม่

ที่สำคัญที่สุดในเชิงแนวคิดคือ องค์กรควรเลิกมองว่าการเปลี่ยนไปใช้ passkey หรือ Windows Hello for Business แล้วคือการปิดจบเรื่องการยึดบัญชี ความปลอดภัยของเครื่องปลายทางยังคงเป็นฐานรองรับทั้งหมด ถ้าเครื่องถูกยึด ตัวตนบนคลาวด์ก็ถูกยึดตามได้ การลงทุนในการตรวจจับและตอบสนองบนเครื่องปลายทางจึงไม่ได้ถูกลดความสำคัญลงเพราะการยกระดับการยืนยันตัวตน แต่กลับสำคัญขึ้น

แหล่งอ้างอิง