สรุปสั้น

หน่วยวิจัยภัยคุกคามของบริษัท Acronis ได้ออกมาเตือนว่าโทรจันธนาคาร Grandoreiro ยังคงเคลื่อนไหวอยู่และยังคงเน้นเป้าหมายไปที่ผู้ใช้ในภูมิภาคลาตินอเมริกา มัลแวร์ตัวนี้เป็นมัลแวร์บนวินโดวส์ที่มีต้นกำเนิดจากประเทศบราซิล อยู่ในสนามมาแล้วราวหนึ่งทศวรรษ และยังคงพัฒนาตัวเองต่อเนื่องแม้หน่วยงานบังคับใช้กฎหมายจะพยายามเข้าขัดขวางหลายครั้ง จุดที่เปลี่ยนไปในแคมเปญล่าสุดคือการกระจายเป้าหมาย เพราะแม้ปีที่ผ่านมามัลแวร์ตัวนี้จะขยายไปยังยุโรปและยังคงโจมตีทั้งยุโรปและอเมริกาเหนืออยู่ แต่แคมเปญที่ Acronis เฝ้าติดตามล่าสุดพบว่าการโจมตีส่วนใหญ่พุ่งไปที่ประเทศเม็กซิโก

ในเชิงเทคนิค ตัวอย่างรุ่นใหม่ใช้วิธีอาศัยโปรแกรมที่ถูกต้องตามกฎหมายชื่อ Duplicate Files Finder หรือ DFF เพื่อรันโค้ดอันตรายผ่านการโหลดไลบรารีแบบ DLL sideloading ซึ่งเป็นเทคนิคที่ทำให้กิจกรรมของมัลแวร์ปรากฏในระบบเสมือนเป็นการทำงานของซอฟต์แวร์ปกติทั่วไป จึงหลบการตรวจจับที่อิงกับชื่อโปรแกรมหรือลายเซ็นของไฟล์ที่รันได้

นอกจากนี้ตัวอย่างเริ่มต้นยังมาพร้อมชุดฟังก์ชันต่อต้านการวิเคราะห์ที่ครอบคลุมกว้าง ทั้งการตรวจหาแซนด์บ็อกซ์ การตรวจร่องรอยของเครื่องเสมือน การเทียบรายชื่อโปรเซสที่ถูกขึ้นบัญชีไว้ และการสำรวจลักษณะของสภาพแวดล้อมที่ตัวเองกำลังทำงานอยู่ โดยการตรวจสอบทั้งหมดนี้เกิดขึ้นก่อนที่มัลแวร์จะพยายามติดต่อเซิร์ฟเวอร์สั่งการและควบคุมแม้แต่ครั้งเดียว ซึ่งบ่งชี้ว่าผู้ควบคุมให้ความสำคัญกับการไม่ถูกวิเคราะห์มากกว่าการเริ่มปฏิบัติการให้เร็ว

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 22 สิงหาคม 2569 ว่าบริษัทด้านความมั่นคงไซเบอร์หลายรายได้เผยแพร่ข้อมูลเกี่ยวกับโทรจันธนาคารทั้งตัวใหม่และตัวที่ถูกอัปเดตซึ่งกำลังเล่นงานผู้ใช้ทั่วโลกในสัปดาห์เดียวกัน มัลแวร์ประเภทนี้เปิดทางให้ผู้ควบคุมทำฟิชชิงเพื่อขโมยข้อมูลรับรอง ดูดข้อมูลอ่อนไหวของผู้ใช้ และสั่งควบคุมอุปกรณ์ที่ถูกเจาะจากระยะไกลได้

ในส่วนของ Grandoreiro หน่วยวิจัยภัยคุกคามของบริษัท Acronis ระบุว่ามัลแวร์ตัวนี้ยังคงเคลื่อนไหวและยังคงโฟกัสที่ผู้ใช้ในลาตินอเมริกาเป็นหลัก โดยเมื่อปีที่ผ่านมามีการขยายเป้าหมายไปยังยุโรป และปัจจุบันยังคงโจมตีทั้งยุโรปควบคู่ไปกับอเมริกาเหนือ อย่างไรก็ตามแคมเปญล่าสุดที่บริษัทเฝ้าติดตามพบว่าน้ำหนักของการโจมตีส่วนใหญ่ตกไปที่ประเทศเม็กซิโก ซึ่งเป็นการขยับที่มีนัยเชิงยุทธศาสตร์ เพราะเป็นการเคลื่อนออกจากฐานเดิมในบราซิลขึ้นไปทางเหนือของภูมิภาค

มัลแวร์ตัวนี้ทำงานบนวินโดวส์ มีต้นกำเนิดจากบราซิล และอยู่ในระบบนิเวศอาชญากรรมไซเบอร์มาแล้วราวหนึ่งทศวรรษ สิ่งที่ทำให้มันน่าสนใจในเชิงพัฒนาการคือมันยังคงถูกปรับปรุงอย่างต่อเนื่องแม้จะมีความพยายามจากหน่วยงานบังคับใช้กฎหมายเข้ามาขัดขวางการดำเนินงานหลายครั้งในช่วงหลายปีที่ผ่านมา ซึ่งสะท้อนว่าโครงสร้างของกลุ่มผู้ปฏิบัติการมีความยืดหยุ่นพอจะฟื้นตัวและกลับมาปฏิบัติการต่อได้ทุกครั้ง

ต้องระบุไว้ด้วยว่ารายงานสรุปฉบับนี้ให้ข้อมูลเชิงตัวเลขไว้น้อยมาก ไม่มีการระบุจำนวนเหยื่อหรือจำนวนเครื่องที่ติดเชื้อในแคมเปญเม็กซิโก ไม่มีการเปิดเผยรายชื่อสถาบันการเงินที่ถูกเล็งเป็นเป้า ไม่มีตัวชี้วัดการถูกบุกรุกอย่างที่อยู่เซิร์ฟเวอร์สั่งการหรือค่าแฮชของไฟล์ ไม่มีการระบุช่องทางแพร่กระจายเบื้องต้นว่าเป็นอีเมลฟิชชิงหรือช่องทางใด และไม่มีกรอบเวลาว่าแคมเปญนี้เริ่มขึ้นเมื่อใด ผู้ที่ต้องการรายละเอียดระดับปฏิบัติการจึงต้องอ่านรายงานฉบับเต็มของ Acronis โดยตรง

วิธีการโจมตี

เทคนิคที่เป็นแกนของแคมเปญล่าสุดคือ DLL sideloading ซึ่งอาศัยลักษณะการทำงานปกติของวินโดวส์ที่เมื่อโปรแกรมเรียกใช้ไลบรารี ระบบจะค้นหาไฟล์ตามลำดับเส้นทางที่กำหนดไว้ล่วงหน้า และตำแหน่งแรกที่ถูกค้นมักเป็นโฟลเดอร์เดียวกับตัวโปรแกรม ผู้โจมตีจึงวางไฟล์ไลบรารีที่ตัวเองสร้างขึ้นไว้ข้างโปรแกรมที่ถูกต้องตามกฎหมาย เมื่อโปรแกรมนั้นถูกเรียกใช้ ไลบรารีของผู้โจมตีก็ถูกโหลดเข้าหน่วยความจำและทำงานภายใต้ชื่อและสิทธิ์ของโปรแกรมที่ผู้ใช้ไว้ใจ

ในกรณีนี้โปรแกรมที่ถูกใช้เป็นตัวพาคือ Duplicate Files Finder ซึ่งเป็นเครื่องมือหาไฟล์ซ้ำทั่วไปที่ไม่มีอะไรผิดปกติในตัวเอง ผลที่ได้คือกิจกรรมของมัลแวร์ปรากฏในล็อกและในเครื่องมือเฝ้าระวังเป็นการทำงานของแอปพลิเคชันที่ถูกกฎหมายซึ่งมีลายเซ็นดิจิทัลถูกต้อง ไม่ใช่ไฟล์แปลกปลอมที่ไม่มีใครรู้จัก การตรวจจับที่อาศัยรายชื่อโปรแกรมที่อนุญาตหรือการตรวจลายเซ็นของไฟล์ที่รันจึงไม่สะดุดกับการโจมตีรูปแบบนี้ และต้องเปลี่ยนไปดูที่ความสัมพันธ์ระหว่างโปรเซสกับพฤติกรรมแทน เช่น เครื่องมือหาไฟล์ซ้ำที่จู่ ๆ เปิดการเชื่อมต่อออกอินเทอร์เน็ตหรือแตะข้อมูลของเบราว์เซอร์

ชั้นที่สองของการอำพรางคือชุดฟังก์ชันต่อต้านการวิเคราะห์ในตัวอย่างเริ่มต้น ซึ่ง Acronis อธิบายไว้ว่า “ตัวอย่างเริ่มต้นมีฟังก์ชันต่อต้านการวิเคราะห์อย่างครอบคลุม รวมถึงการตรวจหาแซนด์บ็อกซ์ การตรวจร่องรอยของเครื่องเสมือน การขึ้นบัญชีดำโปรเซส และการสำรวจลักษณะของสภาพแวดล้อม ซึ่งออกแบบมาเพื่อหลบเลี่ยงระบบวิเคราะห์อัตโนมัติ” และเสริมว่า “การตรวจสอบเหล่านี้ถูกดำเนินการก่อนที่จะมีความพยายามติดต่อโครงสร้างพื้นฐานสั่งการและควบคุมใด ๆ ซึ่งบ่งชี้ว่าการหลีกเลี่ยงการถูกวิเคราะห์เป็นเรื่องที่ผู้ปฏิบัติการให้ความสำคัญสูง”

ลำดับที่ตรวจสอบก่อนแล้วค่อยติดต่อเซิร์ฟเวอร์นี้มีความหมายในทางปฏิบัติมากกว่าที่เห็น เพราะมันหมายความว่าเมื่อไฟล์ตัวอย่างถูกส่งเข้าระบบวิเคราะห์อัตโนมัติ มัลแวร์จะเงียบสนิทและไม่เผยที่อยู่ของโครงสร้างพื้นฐานฝั่งผู้โจมตีออกมาเลย ทีมวิเคราะห์จึงเก็บตัวชี้วัดการถูกบุกรุกจากการรันในแซนด์บ็อกซ์แบบมาตรฐานไม่ได้ และต้องใช้วิธีวิเคราะห์แบบลงมือเองที่ใช้เวลามากกว่า ซึ่งเป็นเหตุผลหนึ่งที่รายงานประเภทนี้มักออกมาช้ากว่าเหตุการณ์จริงพอสมควร

สองตัวที่เหลือในรายงานรอบเดียวกัน

รายงานสรุปของ SecurityWeek ฉบับเดียวกันยังกล่าวถึงมัลแวร์อีกสองตัวที่เว็บไซต์ Cloud Thunder เคยรายงานไปแล้วก่อนหน้านี้ ตัวแรกคือ Manic ซึ่งบริษัท ThreatFabric อธิบายว่าเป็นมัลแวร์แอนดรอยด์ที่ผสมความสามารถของโทรจันธนาคารเข้ากับสปายแวร์ ถูกใช้โจมตียูเครนเป็นหลักทั้งธนาคาร บริการภาครัฐ และแอปพลิเคชันรับส่งข้อความ แต่ก็พบการเล็งเป้าไปที่สถาบันการเงินของรัสเซียและยุโรป บริการคริปโทเคอร์เรนซีและฟินเทคระดับโลก รวมถึงแอปรับส่งข้อความที่ใช้ในแวดวงทหาร ความสามารถเด่นคือรีเลย์แบบเครือข่ายตาข่ายที่ทำงานได้แม้ไม่มีอินเทอร์เน็ต โดยส่งข้อมูลผ่านเครื่องที่ติดเชื้อเครื่องอื่นที่อยู่ใกล้เคียงด้วย Wi-Fi Direct หรือบลูทูธ ซึ่งเป็นประเด็นที่รายงานไว้แล้วในโพสต์ 08/124

ตัวที่สองคือ ToxicPanda 2.0 ที่บริษัท Zimperium ออกมาเตือน โดยเวอร์ชันล่าสุดของโทรจันธนาคารบนแอนดรอยด์ตัวนี้รองรับคำสั่งควบคุมระยะไกล 167 รายการ และมีรายชื่อเป้าหมายเป็นแอปพลิเคชันทางการเงินเกือบ 350 ตัว จากเดิมที่เล็งไว้เพียง 16 ตัว ครอบคลุมสถาบันการเงินใน 16 ประเทศ รวมถึงปากีสถาน แอฟริกาใต้ เม็กซิโก ไนจีเรีย อินเดีย อินโดนีเซีย และปานามา จุดที่เพิ่มเข้ามาคือกลไกกดอัตโนมัติเพื่อใช้ประโยชน์จากการดีบักไร้สายของแอนดรอยด์หรือ ADB ซึ่งเปิดทางให้ยกระดับสิทธิ์และเข้าถึงเชลล์บนเครื่องที่ถูกเจาะ พร้อมกับการเปลี่ยนช่องทางแพร่กระจายไปใช้ที่เก็บข้อมูลบนบริการคลาวด์ของ Amazon AWS ซึ่งเป็นประเด็นที่รายงานไว้แล้วในโพสต์ 08/122

ผลกระทบ

ผลกระทบตรงของแคมเปญ Grandoreiro รอบนี้ตกอยู่กับผู้ใช้บริการธนาคารในเม็กซิโกเป็นหลัก แต่สิ่งที่มีความหมายกว้างกว่านั้นคือแบบแผนที่มันแสดงให้เห็น มัลแวร์ที่อยู่มานานหนึ่งทศวรรษและเคยถูกหน่วยงานบังคับใช้กฎหมายเข้าขัดขวางหลายรอบยังคงกลับมาได้ทุกครั้ง โดยไม่ต้องคิดค้นเทคนิคใหม่ที่พลิกโฉม เพียงแค่เปลี่ยนตัวพาที่ใช้โหลดโค้ดและขยับพื้นที่เป้าหมายไปยังประเทศที่ระบบป้องกันยังตามไม่ทัน ซึ่งบอกว่าต้นทุนในการทำให้กลุ่มแบบนี้หยุดปฏิบัติการจริง ๆ สูงกว่าที่การจับกุมรายบุคคลจะทำได้

ในเชิงเทคนิค การเลือกใช้ DLL sideloading ผ่านโปรแกรมอรรถประโยชน์ที่ถูกกฎหมายเป็นความเสี่ยงที่ข้ามพรมแดนได้ทันทีและไม่ผูกกับภูมิภาคใด เพราะกลไกที่ถูกใช้ประโยชน์คือลำดับการค้นหาไลบรารีของวินโดวส์เอง ไม่ใช่ช่องโหว่ของประเทศใดประเทศหนึ่ง องค์กรที่อนุญาตให้ผู้ใช้ติดตั้งโปรแกรมอรรถประโยชน์เล็ก ๆ ได้เองจึงมีพื้นที่โจมตีกว้างกว่าที่ประเมินไว้ เพราะโปรแกรมประเภทนี้มักไม่อยู่ในบัญชีซอฟต์แวร์ที่องค์กรติดตาม แต่กลับกลายเป็นตัวพาที่สมบูรณ์แบบสำหรับเทคนิคนี้

อีกมุมที่ควรพิจารณาคือทิศทางร่วมของมัลแวร์ทั้งสามตัวในรายงานฉบับเดียวกัน ทั้ง Grandoreiro ที่ขยับจากบราซิลขึ้นไปเม็กซิโก Manic ที่ออกจากยูเครนไปยังยุโรปและบริการคริปโทระดับโลก และ ToxicPanda 2.0 ที่ขยายจาก 16 แอปเป็นเกือบ 350 แอปใน 16 ประเทศ ล้วนชี้ไปทางเดียวกันคือการขยายพื้นที่เป้าหมายออกนอกฐานเดิม สำหรับภูมิภาคที่ยังไม่เคยเป็นเป้าหลักของโทรจันธนาคารเหล่านี้ ประเด็นจึงไม่ใช่ว่าจะโดนหรือไม่ แต่คือเมื่อรายชื่อเป้าหมายถูกขยายรอบถัดไป องค์กรจะรู้ตัวเร็วแค่ไหน

คำแนะนำ

สำหรับองค์กรที่ใช้วินโดวส์ มาตรการที่ตรงกับเทคนิคของแคมเปญนี้ที่สุดคือการควบคุมว่าโปรแกรมใดรันได้จากตำแหน่งใด โดยเฉพาะการห้ามรันไฟล์ที่ถูกเรียกใช้จากโฟลเดอร์ที่ผู้ใช้เขียนได้ เช่น โฟลเดอร์ดาวน์โหลดและโฟลเดอร์ชั่วคราว ซึ่งเป็นตำแหน่งที่ชุดไฟล์ของโปรแกรมตัวพาและไลบรารีอันตรายมักถูกวางไว้ด้วยกัน ควบคู่กับการทบทวนนโยบายว่าผู้ใช้ทั่วไปยังจำเป็นต้องติดตั้งโปรแกรมอรรถประโยชน์เองได้หรือไม่

ในด้านการตรวจจับ ควรเปลี่ยนจุดโฟกัสจากการดูว่าไฟล์ที่รันเป็นของใคร ไปเป็นการดูความสัมพันธ์ระหว่างโปรเซสกับพฤติกรรม สัญญาณที่ควรตั้งกฎไว้ได้แก่ โปรแกรมอรรถประโยชน์ที่โดยธรรมชาติไม่ควรต่ออินเทอร์เน็ตแต่กลับเปิดการเชื่อมต่อขาออก โปรแกรมที่โหลดไลบรารีจากโฟลเดอร์เดียวกับตัวมันเองแทนที่จะโหลดจากโฟลเดอร์ระบบ และการที่โปรเซสของโปรแกรมทั่วไปเข้าถึงข้อมูลของเบราว์เซอร์หรือเฝ้าดูหน้าต่างของแอปพลิเคชันธนาคาร

สำหรับสถาบันการเงินและผู้ให้บริการชำระเงิน ควรถือรายงานลักษณะนี้เป็นสัญญาณให้ทบทวนการตรวจจับการฉ้อโกงที่ฝั่งเซิร์ฟเวอร์ ไม่ใช่ฝากความหวังไว้กับความสะอาดของเครื่องลูกค้า เพราะเมื่อมัลแวร์ควบคุมเครื่องผู้ใช้ได้แล้ว ธุรกรรมที่ส่งเข้ามาจะดูถูกต้องทุกประการทั้งอุปกรณ์ ที่อยู่ไอพี และข้อมูลรับรอง สิ่งที่ยังต่างคือรูปแบบพฤติกรรมของธุรกรรม ซึ่งเป็นชั้นที่ต้องเฝ้าระวังโดยตรง ส่วนผู้ใช้ทั่วไปควรระวังการดาวน์โหลดโปรแกรมอรรถประโยชน์จากแหล่งที่ไม่ใช่เว็บไซต์ทางการของผู้พัฒนา เพราะชุดไฟล์ที่ถูกดัดแปลงมักถูกเผยแพร่ผ่านเว็บรวมโปรแกรมและผลการค้นหาที่ถูกซื้อโฆษณาไว้

แหล่งอ้างอิง