สรุปสั้น

แอฟฟิลิเอตของแรนซัมแวร์ Akira ปิดระบบ EDR บนเครื่องที่ยึดได้ด้วยวิธีที่ไม่ต้องใช้ช่องโหว่หรือไดรเวอร์อันตรายใด ๆ เลย นั่นคือสั่งให้วินโดวส์รีบูตเข้าสู่ Safe Mode with Networking ซึ่งเป็นโหมดที่โหลดไดรเวอร์และเซอร์วิสเพียงชุดจำกัด ทำให้ซอฟต์แวร์ความปลอดภัยของบุคคลที่สามไม่ถูกโหลดขึ้นมาทำงาน บริษัท Huntress ผู้ให้บริการ managed detection and response (MDR) เปิดเผยรายละเอียดเหตุการณ์ที่เกิดขึ้นเมื่อวันที่ 4 สิงหาคม โดยผู้โจมตีเข้าถึงเครือข่ายครั้งแรกผ่านอุปกรณ์ VPN ของบริษัท SonicWall ที่เปิดสู่อินเทอร์เน็ตและไม่ได้เปิดใช้การยืนยันตัวตนหลายปัจจัย (MFA)

หลังจากล็อกอิน VPN ได้ราวสองชั่วโมง ผู้โจมตีเชื่อมต่อ RDP เข้าไปยัง domain controller สำรวจรายชื่อผู้ใช้และเครื่องใน Active Directory แล้วขยับต่อไปยังเซิร์ฟเวอร์แอปพลิเคชัน ใช้ WinRAR บีบอัดไฟล์จากไดรฟ์แชร์ที่แมปไว้ และใช้เครื่องมือบรรทัดคำสั่ง s5cmd อัปโหลดข้อมูลที่ขโมยได้ขึ้น S3 bucket ที่ตนควบคุม ก่อนจะติดตั้ง AnyDesk ไว้เข้าถึงเครื่องจากระยะไกล จากนั้นจึงใช้ AnyDesk สั่งรีบูตเข้า Safe Mode และปิดทั้งเอเจนต์ของ Huntress และการป้องกันแบบเรียลไทม์ของ Microsoft Defender ทิ้งช่วงเวลาที่เครื่องไม่มี EDR ทำงานและ AV ตาบอดอยู่ราว 10 นาที

จุดพลิกของเหตุการณ์นี้คือแผนขั้นสุดท้ายล้มเหลว เมื่อผู้โจมตีสั่งรันเพย์โหลดหลัก akira.exe ผ่าน AnyDesk ใน Safe Mode ตัวไฟล์กลับทำงานไม่สำเร็จ ระบบรายงานว่าหน่วยความจำเสมือนไม่พอ พร้อมข้อความ out-of-memory และข้อผิดพลาดของ PowerShell ทำให้ไฟล์ของเหยื่อไม่ถูกเข้ารหัส แต่ผู้โจมตียังขโมยข้อมูลรับรองและไฟล์ออกไปเรียบร้อยแล้วสำหรับใช้ข่มขู่เรียกค่าไถ่ ทั้งหมดนี้ใช้เวลาไม่ถึงห้าชั่วโมงนับจากการเข้าถึงครั้งแรก

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 13 สิงหาคม 2569 ว่า บริษัท Huntress ได้เผยแพร่การวิเคราะห์เหตุการณ์ที่แอฟฟิลิเอตของแรนซัมแวร์ Akira ใช้ Safe Mode ของวินโดวส์เป็นเครื่องมือหลีกเลี่ยงการตรวจจับ ซึ่งเป็นครั้งแรกที่บริษัทสังเกตเห็นเทคนิคนี้ในการโจมตีของกลุ่ม Akira แม้แรนซัมแวร์ตระกูลอื่นอย่าง Snatch และ AvosLocker จะใช้วิธีนี้มาหลายปีแล้วก็ตาม

ต้นทางของการบุกรุกคืออุปกรณ์ VPN ของ SonicWall ที่เปิดให้เข้าถึงจากอินเทอร์เน็ตโดยไม่มี MFA ป้องกัน ทำให้เพียงชุดข้อมูลรับรองที่ถูกต้องก็เพียงพอสำหรับการเข้าสู่เครือข่ายภายใน ซึ่งเป็นรูปแบบเดียวกับที่พบซ้ำ ๆ ในเหตุการณ์แรนซัมแวร์หลายกรณีที่ผ่านมา

ไทม์ไลน์ที่ Huntress สรุปไว้แสดงให้เห็นความเร็วของการโจมตี หลังล็อกอิน VPN สำเร็จประมาณสองชั่วโมง ผู้โจมตีก็เชื่อมต่อ RDP เข้าไปยัง domain controller และเริ่มสำรวจโครงสร้าง Active Directory ทั้งบัญชีผู้ใช้และรายชื่อเครื่อง ก่อนจะเคลื่อนตัวต่อไปยังเซิร์ฟเวอร์แอปพลิเคชันซึ่งเป็นจุดที่มีข้อมูลให้ขโมย

ขั้นตอนการขโมยข้อมูลใช้เครื่องมือทั่วไปที่หาได้ง่ายทั้งหมด ได้แก่ WinRAR สำหรับบีบอัดไฟล์จากไดรฟ์แชร์ที่แมปไว้ให้อยู่ในรูปแบบที่ส่งออกสะดวก และ s5cmd ซึ่งเป็นไคลเอนต์บรรทัดคำสั่งสำหรับ object storage ใช้อัปโหลดไฟล์ขึ้น S3 bucket ของผู้โจมตีเอง วิธีนี้ทำให้ทราฟฟิกขาออกดูเหมือนการใช้งานคลาวด์ตามปกติมากกว่าการส่งข้อมูลไปยังเซิร์ฟเวอร์แปลกหน้า

Akira ransomware affiliate reboots Windows into Safe Mode to disable EDR and steal data

เมื่อได้ข้อมูลครบแล้ว ผู้โจมตีติดตั้ง AnyDesk เพื่อคงช่องทางเข้าถึงเครื่องจากระยะไกล แล้วจึงเข้าสู่ขั้นตอนปิดระบบป้องกันด้วยการบังคับให้เครื่องบูตเข้า Safe Mode with Networking ซึ่งเป็นสถานะที่วินโดวส์ออกแบบไว้สำหรับการแก้ปัญหาและวินิจฉัยระบบ โดยจะโหลดไดรเวอร์และเซอร์วิสเพียงชุดจำกัด และตามปกติจะไม่โหลดซอฟต์แวร์กับเซอร์วิสของบุคคลที่สามส่วนใหญ่ขึ้นมาทำงาน

ผลลัพธ์คือช่วงเวลาราว 10 นาทีที่ Huntress บรรยายว่า “เครื่องนั้นไม่มี EDR ทำงานอยู่เลย และ AV ถูกทำให้ตาบอด” ระหว่างนั้นผู้โจมตียังเพิ่ม AnyDesk เข้าไปในรีจิสทรีของ Safe Mode เพื่อให้โปรแกรมสตาร์ตขึ้นมาเองหลังรีบูต เท่ากับรักษาการเข้าถึงระยะไกลไว้ได้แม้เครื่องจะอยู่ในโหมดจำกัด

แต่แผนกลับสะดุดที่ขั้นสุดท้าย เมื่อสั่งรัน akira.exe ผ่าน AnyDesk ใน Safe Mode ระบบรายงานว่าหน่วยความจำเสมือนไม่เพียงพอ พร้อมกับข้อความ out-of-memory และข้อผิดพลาดของ PowerShell ทำให้เพย์โหลดไม่ทำงาน ต่อมาการสแกนตามกำหนดเวลาของ Defender ตรวจพบไฟล์ Akira ได้แม้การป้องกันเรียลไทม์จะถูกปิดอยู่ แต่ก็ไม่สามารถลบไฟล์ออกได้ตราบใดที่เครื่องยังอยู่ใน Safe Mode และเพิ่งกักกันไฟล์ได้จริงหลังผู้โจมตีรีบูตเครื่องกลับเข้าโหมดปกติจนการป้องกันเรียลไทม์กลับมาทำงาน

วิธีการโจมตี

หัวใจของเทคนิคนี้ไม่ใช่ช่องโหว่ในตัว EDR แต่เป็นการอาศัยพฤติกรรมปกติของระบบปฏิบัติการเอง Safe Mode ถูกออกแบบมาให้ระบบบูตขึ้นด้วยชุดไดรเวอร์และเซอร์วิสน้อยที่สุดเพื่อให้ผู้ดูแลแก้ปัญหาได้ ผลข้างเคียงคือเอเจนต์ความปลอดภัยของบุคคลที่สามซึ่งทำงานเป็นเซอร์วิสก็ไม่ถูกโหลดไปด้วย ผู้โจมตีที่มีสิทธิ์ระดับผู้ดูแลอยู่แล้วจึงเพียงแค่ตั้งค่าให้เครื่องบูตเข้าโหมดนี้ ก็ได้สภาพแวดล้อมที่ไร้การตรวจจับโดยไม่ต้องเขียนโค้ดหลบเลี่ยงใด ๆ

สิ่งที่ทำให้เทคนิคนี้ใช้งานได้จริงคือการแก้รีจิสทรีของ Safe Mode ให้โปรแกรมที่ต้องการทำงานต่อได้ ในกรณีนี้คือ AnyDesk ซึ่งถูกเพิ่มเข้าไปเพื่อให้ผู้โจมตียังควบคุมเครื่องจากระยะไกลได้ในโหมดที่เครือข่ายยังใช้งานได้ แต่ระบบป้องกันไม่ทำงาน เท่ากับพลิกกลไกออกแบบของวินโดวส์ให้กลายเป็นสภาพแวดล้อมปฏิบัติการของผู้โจมตีเสียเอง

อีกจุดที่น่าสนใจคือข้อจำกัดของ Safe Mode ทำงานสองทาง ฝ่ายป้องกันเสียเอเจนต์ EDR ไป แต่ฝ่ายโจมตีก็เจอสภาพแวดล้อมที่ทรัพยากรถูกจำกัดจนเพย์โหลดเข้ารหัสรันไม่ผ่าน รายงานระบุอาการเป็นหน่วยความจำเสมือนไม่พอและข้อผิดพลาด out-of-memory แต่ไม่ได้ฟันธงว่าสาเหตุที่แท้จริงมาจากการตั้งค่า paging file ของเครื่องนั้น ข้อจำกัดของ Safe Mode เอง หรือปัจจัยอื่นร่วมกัน ซึ่งหมายความว่าองค์กรอื่นไม่ควรตีความว่าการรันในโหมดนี้จะล้มเหลวเสมอไป

เหตุการณ์นี้ยังเผยให้เห็นว่าการสแกนตามกำหนดเวลาของ Defender ยังทำงานได้แม้การป้องกันเรียลไทม์จะถูกปิด และตรวจเจอไฟล์ Akira ได้จริง เพียงแต่ไม่สามารถดำเนินการกักกันได้จนกว่าเครื่องจะกลับเข้าโหมดปกติ จึงเป็นหลักฐานว่าการตรวจจับกับความสามารถในการตอบสนองเป็นคนละเรื่อง และผู้โจมตีอาศัยช่องว่างระหว่างสองอย่างนี้ได้

ผลกระทบ

ความเสียหายจริงในเคสนี้ไม่ได้อยู่ที่การเข้ารหัสไฟล์ซึ่งล้มเหลว แต่อยู่ที่ข้อมูลรับรองและไฟล์ที่ถูกส่งออกไปเรียบร้อยแล้วภายในเวลาไม่ถึงห้าชั่วโมง ซึ่งเพียงพอสำหรับการข่มขู่เรียกค่าไถ่แบบ data extortion ที่กลุ่มแรนซัมแวร์ยุคนี้ใช้เป็นแรงกดดันหลักอยู่แล้ว องค์กรที่รอดจากการถูกเข้ารหัสจึงไม่ได้แปลว่ารอดจากเหตุการณ์ และการประเมินความเสียหายที่ยึดเอาไฟล์ถูกล็อกเป็นตัวชี้วัดจะพลาดความเสี่ยงส่วนใหญ่ไป

สำหรับทีมที่พึ่งพา EDR เป็นชั้นป้องกันหลัก เคสนี้ชี้ว่าเมื่อผู้โจมตีได้สิทธิ์ระดับผู้ดูแลบนเครื่องแล้ว การควบคุมสถานะการบูตของเครื่องนั้นก็ตกอยู่ในมือผู้โจมตีด้วย ตัวชี้วัดอย่าง “อัตราการป้องกันสำเร็จ” จึงบอกอะไรได้น้อยมากเกี่ยวกับสิ่งที่เกิดขึ้นหลังผู้โจมตีเข้ามาแล้วและใช้ข้อมูลรับรองที่ถูกต้องปฏิบัติการอยู่ในระบบ

ข้อสังเกตอีกอย่างคือเครื่องมือที่ใช้ทั้งหมด ไม่ว่าจะเป็น RDP, WinRAR, s5cmd หรือ AnyDesk ล้วนเป็นซอฟต์แวร์ที่ใช้งานกันตามปกติในองค์กร การตรวจจับจึงต้องอาศัยบริบทว่าใครใช้เครื่องมือเหล่านี้ ที่ไหน และในลำดับเวลาแบบใด มากกว่าการมองหาไฟล์อันตรายตรง ๆ ทั้งนี้รายงานไม่ได้เปิดเผยชื่อองค์กรที่ตกเป็นเหยื่อ ประเทศที่ตั้ง หรือปริมาณข้อมูลที่ถูกขโมยออกไป จึงยังประเมินขนาดความเสียหายที่แท้จริงไม่ได้

คำแนะนำ

  • เปิด MFA กับบัญชี VPN ทุกบัญชีโดยไม่มีข้อยกเว้น เพราะจุดเริ่มต้นของเหตุการณ์นี้คืออุปกรณ์ VPN ที่เปิดสู่อินเทอร์เน็ตโดยไม่มีการยืนยันตัวตนชั้นที่สอง
  • วางระบบตรวจจับการยิงรหัสผ่านแบบ credential spraying ที่ขอบเครือข่าย พร้อมเฝ้าดูการล็อกอิน VPN สำเร็จจากที่อยู่ไอพีหรือประเทศที่ไม่เคยพบมาก่อน
  • เฝ้าระวังการเปลี่ยนค่าคอนฟิกการบูตเข้า Safe Mode เช่นการเรียก bcdedit เพื่อตั้ง safeboot ซึ่งแทบไม่มีเหตุผลทางธุรกิจที่เครื่องเซิร์ฟเวอร์จะถูกสั่งแบบนี้จากระยะไกล
  • ตรวจสอบการเพิ่มรายการเข้าไปในรีจิสทรีของ Safe Mode โดยเฉพาะคีย์ SafeBoot\Minimal และ SafeBoot\Network ที่มีชื่อเครื่องมือเข้าถึงระยะไกลถูกเพิ่มเข้ามาใหม่
  • ตั้งสัญญาณเตือนเมื่อเอเจนต์ EDR ขาดการติดต่อ แทนที่จะถือว่าเครื่องเงียบคือเครื่องปลอดภัย เพราะช่วงที่เอเจนต์หายไปคือช่วงที่ผู้โจมตีลงมือ
  • จำกัดและสอดส่องการติดตั้งเครื่องมือรีโมตอย่าง AnyDesk รวมถึงเครื่องมือส่งข้อมูลออกอย่าง s5cmd หรือไคลเอนต์ object storage อื่น ๆ บนเซิร์ฟเวอร์ที่ไม่มีเหตุผลต้องใช้
  • แยกสิทธิ์และจำกัด RDP เข้าสู่ domain controller ให้เหลือเฉพาะจุดกระโดดที่ควบคุมได้ เพราะการเข้าถึง DC ได้ภายในสองชั่วโมงคือสิ่งที่ทำให้การสำรวจ Active Directory เกิดขึ้นได้อย่างรวดเร็ว

แหล่งอ้างอิง