สรุปสั้น
บริษัท Microsoft เปิดเผยรายละเอียดของแคมเปญโจมตีรูปแบบใหม่ที่ตั้งชื่อว่า TerminalFix ซึ่งเป็นสายพันธุ์หนึ่งของเทคนิค ClickFix ที่หลอกให้ผู้ใช้คัดลอกและรันคำสั่งอันตรายด้วยตนเอง จุดต่างสำคัญคือแทนที่จะให้เหยื่อวางคำสั่งลงในกล่อง Run ของ Windows แบบ ClickFix ดั้งเดิม แคมเปญนี้กลับชี้นำให้เหยื่อเปิด Windows Terminal หรือ PowerShell แทน เพื่อเพิ่มโอกาสให้สคริปต์ที่ซับซ้อนและมีหลายบรรทัดทำงานได้สำเร็จ โดยจุดเริ่มต้นของการโจมตีมาจากเว็บไซต์ที่ถูกเจาะซึ่งนำหน้ายืนยันตัวตน CAPTCHA ปลอมที่เลียนแบบ Cloudflare มาแสดงต่อผู้เข้าชม แล้วชักจูงให้คัดลอกคำสั่ง PowerShell ไปรันบนเครื่องตนเอง
เมื่อเหยื่อหลงกล ห่วงโซ่การโจมตีจะดำเนินไปหลายขั้นตอนอย่างแยบยล ทั้งการทำ DLL sideloading การซ่อนเพย์โหลดไว้ในไฟล์ภาพแบบ steganography การสำรวจ Active Directory อย่างละเอียด และการฝังอิมแพลนต์ reverse-tunnel ที่สั่งทำขึ้นเฉพาะ ซึ่งเปิดทางให้ผู้โจมตีเข้าถึงเครือข่ายภายในในระดับพร็อกซีได้อย่างต่อเนื่อง Microsoft เตือนว่าการเข้าถึงระดับนี้สามารถถูกนำไปต่อยอดเพื่อยกระดับสิทธิ์ ปิดการทำงานของระบบป้องกัน ขโมยข้อมูลอ่อนไหว และปล่อยแรนซัมแวร์ในภายหลัง ทำให้ TerminalFix เป็นภัยคุกคามร้ายแรงต่อสภาพแวดล้อมระดับองค์กร
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 สิงหาคม 2569 ว่า บริษัท Microsoft ได้เผยแพร่บทวิเคราะห์แคมเปญ TerminalFix โดยนักวิจัยด้านความมั่นคงปลอดภัย นาย Sagar Patil, นาย Suriyaraj Natarajan และ นาย Parasharan Raghavan ระบุว่าแคมเปญ ClickFix แบบดั้งเดิมมักชี้นำเหยื่อไปที่กล่อง Run ของ Windows แต่ TerminalFix ใช้เทคนิคเดียวกันโดยเบี่ยงเป้าไปที่ Windows Terminal หรือ PowerShell แทน เพื่อเพิ่มโอกาสที่สคริปต์ซับซ้อนหลายบรรทัดจะทำงานได้ครบถ้วน
แคมเปญนี้พุ่งเป้าไปที่องค์กรในหลายภาคส่วน โดยอาศัยเว็บไซต์ที่ถูกเจาะเป็นจุดตั้งต้นในการแสดงหน้า CAPTCHA ปลอมที่เลียนแบบ Cloudflare หลอกให้ผู้เข้าชมที่ไม่ทันระวังตัวคัดลอกและรันคำสั่ง PowerShell ที่เป็นอันตราย เมื่อรันแล้วคำสั่งดังกล่าวจะดาวน์โหลดไฟล์ ZIP ที่บรรจุไบนารีที่ถูกต้องตามกฎหมายชื่อ “LockScreenContentServer.exe” มาพร้อมกับไฟล์ DLL ปลอมชื่อ “dui70.dll” เพื่อเริ่มการโจมตีแบบ DLL sideloading จากนั้นกระบวนการหลายขั้นจึงเดินหน้าต่อไปตามที่ Microsoft อธิบายไว้ในรายงาน
วิธีการโจมตี
ไฟล์ DLL ที่ถูก sideload เข้ามาทำหน้าที่ดึงเพย์โหลดขั้นถัดไปที่ซ่อนอยู่ภายในไฟล์ภาพ PNG จากโดเมนภายนอก ได้แก่ “bestsocialmedianewspapper[.]com” และ “offlineupdater[.]com” จากนั้นจึงสร้างความคงอยู่ (persistence) ทั้งผ่าน Registry Run keys และ scheduled tasks ควบคู่ไปกับการสำรวจโดเมน แล้วปล่อยอิมแพลนต์ command-and-control (C2) แบบ reverse-tunnel ที่เขียนด้วยภาษา Python
แบ็กดอร์ตัวนี้มีชื่อไฟล์ว่า “client.py” ออกแบบมาเพื่อสร้างอุโมงค์ส่งต่อทราฟฟิก TCP ใด ๆ กลับไปยังโครงสร้างพื้นฐานของผู้โจมตีที่ “gitnow[.]dev:443” ผ่านช่องทาง WebSocket ที่เข้ารหัส และยังเปิดทางให้เซิร์ฟเวอร์ C2 เข้าถึงโฮสต์ใดก็ตามที่มองเห็นได้จากเครือข่ายของเหยื่อ ในขั้นตอนการสำรวจ มัลแวร์จะเก็บข้อมูลระบบ ค้นหาความสัมพันธ์ความน่าเชื่อถือของโดเมน (domain trust) แจกแจงบัญชี domain admin ค้นหาผู้ใช้และเครื่องใน Active Directory รวมถึง ping เซิร์ฟเวอร์ที่ระบุชื่อเพื่อลากผังโครงสร้างเครือข่ายภายใน นอกจากนี้ยังติดตั้งลูป PowerShell ที่คอยเฝ้าไฟล์ข้อความหนึ่งเพื่อรอรับคำสั่งใหม่ แล้วรันด้วย Invoke-Expression และเขียนผลลัพธ์ลงไฟล์เอาต์พุต ทำให้ผู้โจมตีสั่งงานเครื่องที่ติดเชื้อได้อย่างต่อเนื่อง
ผลกระทบ
Microsoft ชี้ว่าการบุกรุกลักษณะนี้อันตรายเป็นพิเศษ เพราะมอบการเข้าถึงเครือข่ายภายในขององค์กรโดยตรงผ่าน reverse tunnel ความสามารถในการสำรวจและวางอุโมงค์ย้อนกลับที่พบสามารถทำให้ผู้โจมตีระบุและเข้าถึงระบบอื่น ๆ เพิ่มเติมจากเครื่องที่ถูกเจาะได้ และการเข้าถึงระดับนี้ยังถูกนำไปใช้ต่อเพื่อยกระดับสิทธิ์ ปิดการทำงานของมาตรการควบคุมความปลอดภัย ขโมยข้อมูลอ่อนไหว และปล่อยแรนซัมแวร์ องค์กรที่ปล่อยให้ผู้ใช้ทั่วไปรัน PowerShell หรือกล่อง Run ได้อย่างอิสระจึงมีความเสี่ยงสูงเป็นพิเศษ เพราะเทคนิคนี้อาศัยการหลอกให้ผู้ใช้ลงมือรันคำสั่งด้วยตนเอง ซึ่งข้ามผ่านการป้องกันที่มุ่งดักไฟล์แนบหรือลิงก์อันตรายแบบเดิม
คำแนะนำ
Microsoft แนะนำให้จำกัดการรัน PowerShell และกล่อง Run สำหรับผู้ใช้ทั่วไปผ่าน AppLocker, Application Control for Windows หรือ Group Policy พิจารณาบล็อกหรือเปิดการตรวจสอบ (audit) กล่อง Run ของ Windows (“Win+R”) หากไม่จำเป็นต้องใช้งาน เฝ้าระวังตัวบ่งชี้ของการทำ DLL sideloading อบรมพนักงานให้รู้ทันการโจมตีแบบ ClickFix และเปิดใช้ PowerShell script block logging เพื่อตรวจจับและวิเคราะห์คำสั่งที่ถูกทำให้อ่านยากหรือเข้ารหัส
Indicators of Compromise (IoCs)
หมายเหตุ: indicator ด้านล่าง defang แล้ว (แทน
.ด้วย[.]) เพื่อความปลอดภัยในการอ่าน
| ประเภท | Indicator | รายละเอียด |
|---|---|---|
| Domain (payload) | bestsocialmedianewspapper[.]com | โฮสต์ภาพ PNG ที่ซ่อนเพย์โหลดขั้นถัดไป |
| Domain (payload) | offlineupdater[.]com | โฮสต์ภาพ PNG ที่ซ่อนเพย์โหลดขั้นถัดไป |
| C2 | gitnow[.]dev:443 | ปลายทาง reverse-tunnel ผ่าน WebSocket ที่เข้ารหัส |
| ไฟล์ | LockScreenContentServer.exe | ไบนารีที่ถูกต้องตามกฎหมาย ใช้เป็นตัวโหลด DLL |
| ไฟล์ | dui70.dll | DLL ปลอมที่ถูก sideload |
| ไฟล์ | client.py | แบ็กดอร์ reverse-tunnel เขียนด้วย Python |