HoneyMyte อัปเกรดแบ็กดอร์ CoolClient ด้วยรูตคิตระดับเคอร์เนลที่มีลายเซ็นดิจิทัล — ซ่อนโปรเซส ไฟล์ และทราฟฟิก C2 จากเครื่องมือตรวจจับ

สรุปสั้น

กลุ่มภัยคุกคามชื่อ HoneyMyte ได้อัปเกรดแบ็กดอร์ CoolClient ของตัวเองด้วยรูตคิตที่ทำงานระดับเคอร์เนลบนวินโดวส์ ซึ่งเปลี่ยนสมการของการสอบสวนไปทั้งหมด เพราะส่วนประกอบระดับเคอร์เนลทำงานอยู่ต่ำกว่าเครื่องมือเฝ้าระวังทั่วไป ไดรเวอร์ตัวนี้ซ่อนได้ทั้งโปรเซส ไฟล์ คีย์รีจิสทรี และการเชื่อมต่อสั่งการควบคุมที่เลือกไว้ ทำให้ผู้บุกรุกมีเครื่องมือที่ออกแบบมาให้รอดจากการตรวจสอบตามปกติ ปฏิบัติการนี้พุ่งเป้าไปที่องค์กรในปากีสถาน มองโกเลีย เมียนมา และรัสเซีย รวมถึงหน่วยงานของรัฐ โดยในเมียนมาผู้โจมตีใช้ PlugX เป็นตัวเปิดทางก่อน แล้วจึงติดตั้ง CoolClient เป็นแบ็กดอร์ตัวที่สอง สะท้อนว่ากลุ่มนี้เลือกวางเครื่องมือซ้อนกันเป็นชั้นแทนที่จะพึ่งอิมแพลนต์ตัวเดียว

นักวิจัยจาก Securelist พบตัวแปรใหม่นี้ระหว่างการสอบสวนช่วงปลายปี 2568 ต่อเนื่องถึงปี 2569 และระบุในรายงานที่แบ่งปันกับเว็บไซต์ Cyber Security News ว่าความสามารถของไดรเวอร์ทำให้ HoneyMyte ซ่อนตัวบนเครื่องวินโดวส์ที่ถูกยึดได้ดีขึ้นมาก ตัว CoolClient เองรองรับการดักคีย์บอร์ด ขโมยคลิปบอร์ด เก็บข้อมูลยืนยันตัวตน ตรวจสภาพระบบ และจัดการไฟล์ ซึ่งเป็นชุดความสามารถของงานจารกรรมแบบครบวงจร สิ่งที่เพิ่มเข้ามาคือการย้ายบางส่วนของปฏิบัติการเข้าไปทำงานในโหมดเคอร์เนลของวินโดวส์ ที่ซึ่งมันสามารถแทรกแซงสิ่งที่เครื่องมือความปลอดภัยมองเห็นได้โดยตรง

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 17 สิงหาคม 2569 โดยอ้างรายงานของ Securelist ว่า HoneyMyte ได้เพิ่มไดรเวอร์รูตคิตระดับเคอร์เนลเข้าไปในแบ็กดอร์ CoolClient ซึ่งทำให้การตรวจสอบตามขั้นตอนปกติของทีมป้องกันยากขึ้นอย่างมาก ไดรเวอร์ทำหน้าที่ปกป้องไฟล์ของมัลแวร์ไปพร้อมกับปฏิเสธไม่ให้โปรเซสอื่นเข้าถึง โดยรายงานชี้ว่ารูปแบบการฉวยใช้ลักษณะนี้ปรากฏในผลการค้นพบแบ็กดอร์ตัวใหม่บนวินโดวส์รายอื่น ๆ ด้วย ซึ่งย้ำหลักการเดิมว่าชื่อไฟล์ที่ดูน่าเชื่อถือเพียงอย่างเดียวไม่ใช่หลักฐานที่ใช้ตัดสินได้

ลำดับเหตุการณ์ที่พบในเมียนมาน่าสนใจเป็นพิเศษ เพราะผู้โจมตีใช้ PlugX ก่อนแล้วจึงติดตั้ง CoolClient ตามมาเป็นแบ็กดอร์ตัวที่สอง ซึ่งเป็นรูปแบบที่คล้ายกับกิจกรรมของหนอน PlugX ที่แพร่ผ่าน USB ตามที่มีรายงานในปฏิบัติการอื่น โดยอาศัยการเรียกโปรแกรมที่ได้รับความไว้วางใจให้ไปสตาร์ตโค้ดที่เป็นอันตราย การวางเครื่องมือซ้อนกันแบบนี้ทำให้การถอนรากถอนโคนยากขึ้น เพราะการกำจัดอิมแพลนต์ตัวหนึ่งไม่ได้แปลว่าผู้บุกรุกหลุดออกจากเครือข่าย

ประเด็นเรื่องลายเซ็นดิจิทัลเป็นอีกจุดที่ควรอ่านให้ละเอียด แม้ไดรเวอร์จะมีลายเซ็นติดมาด้วย แต่ลายเซ็นนั้นไม่ควรถูกตีความว่าเป็นเครื่องยืนยันความปลอดภัย เพราะใบรับรองถูกออกให้กับบริษัทชื่อ Nanjing Ranyi Technology Co., Ltd. และหมดอายุไปหลายปีก่อนที่ปฏิบัติการนี้จะถูกพบ กรณีนี้จึงเป็นตัวอย่างชัดเจนว่ากระบวนการตรวจสอบที่หยุดอยู่แค่คำถามว่า “มีลายเซ็นหรือไม่” นั้นไม่พอ ต้องดูด้วยว่าใครเป็นผู้ออก ใบรับรองยังใช้ได้อยู่หรือไม่ และไดรเวอร์นั้นควรมีอยู่บนเครื่องตั้งแต่แรกหรือเปล่า

วิธีการโจมตี

ห่วงโซ่การติดเชื้อเริ่มต้นหลังจาก PlugX ได้ที่มั่นบนเครื่องแล้ว ผู้โจมตีจะสร้างโฟลเดอร์ Windows Defender ปลอมขึ้นมา เพิ่มรายการยกเว้นให้ทั้งโฟลเดอร์นั้นและไฟล์ปฏิบัติการที่ถูกเปลี่ยนชื่อ แล้วใช้แอปพลิเคชันของ Sangfor ซึ่งเป็นโปรแกรมจริงที่ถูกเปลี่ยนชื่อเป็น defender.exe มาโหลดไฟล์ libngs.dll ที่เป็นอันตราย เทคนิค DLL sideloading แบบนี้อาศัยโปรแกรมจริงเป็นฉากบัง และเคยถูกอธิบายไว้ในรายงานปฏิบัติการของ Mustang Panda ควบคู่กับการฉวยใช้แอปพลิเคชันที่ได้รับความไว้วางใจซ้ำแล้วซ้ำเล่า

การคงอยู่ถูกวางไว้หลายทาง ทั้ง scheduled task ที่สั่งรันโปรแกรมซึ่งถูกเปลี่ยนชื่อด้วยสิทธิ์ SYSTEM ตั้งแต่ตอนบูต รายการ AutoRun และในบางกรณีก็สร้างเซอร์วิสชื่อ media_updaten ขึ้นมา จากนั้น CoolClient จะฉีดโค้ดของตัวเองเข้าไปในโปรเซสชื่อ synchost.exe ซึ่งสะกดผิดจากชื่อโปรเซสจริงของวินโดวส์เพียงเล็กน้อย มากพอจะรอดสายตาคนที่ไล่ดูรายการโปรเซสแบบเร่งรีบ เมื่อได้สิทธิ์ผู้ดูแลระบบแล้ว มัลแวร์จะถอดรหัสและเขียนไดรเวอร์ของตัวเองลงเป็นไฟล์ msagent.sys แล้วติดตั้งเป็นเซอร์วิสไดรเวอร์ของวินโดวส์

ไดรเวอร์รับคำสั่งผ่านช่องทางสื่อสารโดยตรงของวินโดวส์ โดยจะลงทะเบียน CoolClient ให้เป็นโปรเซสที่เชื่อถือได้ บันทึกเส้นทางที่ติดตั้งและตำแหน่งรีจิสทรีของเซอร์วิส และรับค่าที่อยู่เซิร์ฟเวอร์สั่งการที่ถูกตั้งไว้ ตัว msagent.sys ใช้กลไก callback ของวินโดวส์หลายตัวเพื่อเฝ้าดูโปรเซส โค้ดที่ถูกโหลด กิจกรรมของไฟล์และรีจิสทรี พร้อมกับลดสิทธิ์ที่โปรแกรมอื่นจะได้รับเมื่อพยายามเปิดโปรเซส CoolClient ที่ถูกปกป้องไว้ ผลคือการสั่งปิดโปรเซส การตรวจสอบภายใน และการฉีดโค้ดเข้าไปล้วนถูกสกัด แม้นักวิเคราะห์จะระบุตัวโปรเซสต้องสงสัยได้แล้วก็ตาม

ในฝั่งการซ่อนตัว ตัวกรองระบบไฟล์ของไดรเวอร์จะซ่อนโฟลเดอร์และไฟล์ที่เลือกไว้ด้วยการปฏิเสธการเข้าถึงระหว่างการทำงานปกติ ส่วน callback ของรีจิสทรีจะตัดคีย์และค่าที่ถูกปกป้องออกจากผลการไล่รายการ พร้อมทั้งปฏิเสธความพยายามเปิด แก้ไข หรือลบ นอกจากนี้ไดรเวอร์ยังสามารถถอดโปรเซสออกจากรายการโปรเซสที่ทำงานอยู่ของวินโดวส์ ทำให้การเรียกดูรายการงานแบบพื้นฐานไม่เห็นมันเลย

จุดที่กระทบงานเฝ้าระวังเครือข่ายโดยตรงคือรูตคิตนี้ hook ไดรเวอร์ Nsiproxy ของวินโดวส์ แล้วลบที่อยู่ไอพีของเซิร์ฟเวอร์สั่งการที่ลงทะเบียนไว้ออกจากข้อมูลเครือข่ายที่ส่งกลับไปให้เครื่องมือในโหมดผู้ใช้ ผู้ดูแลระบบที่ไล่ดูการเชื่อมต่อบนเครื่องจึงอาจมองไม่เห็นที่อยู่ของแบ็กดอร์เลย ซึ่ง HoneyMyte เคยใช้แนวทางใกล้เคียงกันนี้มาก่อนในรายงานรูตคิตฉบับก่อนหน้า บ่งชี้ว่าเป็นความพยายามอย่างต่อเนื่องในการปรับปรุงการซ่อนตัวระยะยาว

ผลกระทบ

กลุ่มที่รับความเสี่ยงตรงที่สุดคือหน่วยงานรัฐและองค์กรในปากีสถาน มองโกเลีย เมียนมา และรัสเซีย ซึ่งเป็นเป้าหมายที่รายงานระบุไว้ชัดเจน การที่เมียนมาซึ่งเป็นประเทศสมาชิกอาเซียนอยู่ในรายชื่อ ทำให้เรื่องนี้ไม่ใช่ปฏิบัติการที่ไกลตัวสำหรับภูมิภาคนี้ โดยเฉพาะเมื่อรูปแบบการโจมตีคือการเจาะหน่วยงานรัฐเพื่องานจารกรรมระยะยาว ไม่ใช่การเรียกค่าไถ่ที่จบเป็นครั้ง ๆ

ผลกระทบเชิงปฏิบัติที่หนักที่สุดอยู่ที่ความน่าเชื่อถือของหลักฐาน เมื่อรูตคิตทำงานในเคอร์เนลและตัดข้อมูลออกจากสิ่งที่เครื่องมือโหมดผู้ใช้มองเห็น การไล่ดูรายการโปรเซส การตรวจการเชื่อมต่อเครือข่ายบนเครื่อง และการไล่คีย์รีจิสทรีก็เชื่อไม่ได้อีกต่อไป ทีมที่สรุปว่า “ตรวจแล้วไม่เจออะไร” จากมุมมองในโหมดผู้ใช้เพียงอย่างเดียวอาจกำลังดูภาพที่ผู้โจมตีเป็นคนจัดให้ดู นี่คือเหตุผลที่การเก็บเทเลเมทรีระดับเคอร์เนลและการวิเคราะห์ทราฟฟิกจากอุปกรณ์เครือข่ายภายนอกเครื่องมีความสำคัญมากขึ้น

อีกประเด็นคือกลไกความเชื่อถือของไดรเวอร์บนวินโดวส์ถูกใช้เป็นทางเข้าอีกครั้ง ใบรับรองที่หมดอายุแล้วของบริษัทจีนรายหนึ่งยังพอทำให้ไดรเวอร์ผ่านการตรวจแบบผิวเผินได้ องค์กรที่ไม่มีนโยบายควบคุมว่าไดรเวอร์ตัวใดได้รับอนุญาตให้โหลดจึงเปิดช่องนี้ไว้โดยไม่รู้ตัว

ข้อจำกัดที่ต้องระบุคือรายงานต้นทางไม่ได้เปิดเผยจำนวนเหยื่อ ชื่อองค์กรที่ถูกโจมตี หรือช่วงเวลาที่ผู้บุกรุกอยู่ในระบบ และตัวชี้วัดบางรายการในตารางด้านล่างถูกระบุไว้อย่างกว้าง ๆ ว่าเป็น “ตัวบ่งชี้ที่ปรากฏในรายงาน” โดยไม่ได้อธิบายบทบาทเฉพาะของแต่ละรายการ ทั้งค่าแฮชที่ปรากฏในบทความต้นทางก็มีความยาวไม่ตรงตามมาตรฐานของอัลกอริทึมที่ระบุไว้ จึงควรใช้เป็นเบาะแสประกอบมากกว่าจะนำไปตั้งกฎบล็อกโดยตรง

คำแนะนำ

• ถือว่าเซอร์วิสไดรเวอร์ที่โผล่ขึ้นมาโดยไม่มีที่มา ไดเรกทอรีที่ตั้งชื่อเลียนผลิตภัณฑ์ความปลอดภัย รายการยกเว้นของ Defender ที่ผิดปกติ และไฟล์ DLL ที่ไม่เข้าคู่กับโปรแกรมจริงข้าง ๆ คือเบาะแสลำดับต้นที่ต้องตามทันที
• ตรวจสอบ scheduled task และรายการ AutoRun ที่สั่งรัน defender.exe หรือ Sang.exe จากตำแหน่งที่ผิดปกติ รวมถึงเซอร์วิสชื่อ media_updaten
• ตรวจลายเซ็นของไดรเวอร์และสถานะของใบรับรองทุกครั้ง อย่าหยุดที่คำถามว่ามีลายเซ็นหรือไม่ เพราะใบรับรองที่หมดอายุแล้วยังถูกใช้ในเคสนี้ได้
• เก็บเทเลเมทรีระดับเคอร์เนล แทนที่จะพึ่งเฉพาะมุมมองของโปรเซสและเครือข่ายในโหมดผู้ใช้ซึ่งรูตคิตตัวนี้แทรกแซงได้โดยตรง
• เฝ้าดูทราฟฟิกจากฝั่งอุปกรณ์เครือข่ายหรือไฟร์วอลล์แทนการดูจากบนเครื่องอย่างเดียว เพราะไดรเวอร์ตัดที่อยู่ C2 ออกจากผลลัพธ์ที่เครื่องมือบนเครื่องมองเห็น
• เปิดใช้กลไกควบคุมการโหลดไดรเวอร์ เช่น รายการบล็อกไดรเวอร์ที่มีช่องโหว่ของไมโครซอฟท์ และกำหนดนโยบายว่าไดรเวอร์ใดได้รับอนุญาตให้ทำงานในสภาพแวดล้อมขององค์กร
• หากพบ PlugX บนเครื่องใดก็ตาม ให้สันนิษฐานไว้ก่อนว่าอาจมีแบ็กดอร์ตัวที่สองซ่อนอยู่ และอย่าปิดเคสหลังกำจัดอิมแพลนต์ตัวแรกได้เพียงตัวเดียว

Indicators of Compromise (IoCs)

ตัวบ่งชี้ต่อไปนี้คัดจากตารางในบทความต้นทาง โดยโดเมนถูก defang ไว้แล้ว ให้แปลงกลับเฉพาะในระบบข่าวกรองภัยคุกคามที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM ขององค์กรเท่านั้น ทั้งนี้ค่าแฮชสามรายการในตารางต้นฉบับมีความยาวไม่ตรงกับมาตรฐานของอัลกอริทึมที่กำกับไว้ จึงคัดมาตามต้นฉบับและควรตรวจสอบซ้ำก่อนนำไปใช้งานจริง

แหล่งอ้างอิง

• HoneyMyte CoolClient Backdoor Uses Signed Kernel Rootkit to Hide Processes, Files and C2 Traffic — Cyber Security News
• HoneyMyte CoolClient driver rootkit — Securelist by Kaspersky GReAT