สรุปสั้น
ผู้ไม่หวังดีที่รู้จักกันในชื่อ Silver Fox ถูกพบว่าแจกจ่ายแบ็กดอร์ ValleyRAT โดยปลอมตัวเป็นแอปพลิเคชันแอดแวร์สัญชาติจีนที่เซ็นรับรองดิจิทัลอย่างถูกต้อง แล้วรันมัลแวร์ภายใต้โปรเซสที่ได้รับความน่าเชื่อถือเพื่อเล็ดลอดผ่านผู้ใช้ที่มักเพิ่มซอฟต์แวร์ลักษณะนี้เข้าไปในรายการข้อยกเว้นของโปรแกรมแอนตี้ไวรัส บริษัท Kaspersky ผู้ให้บริการด้านความมั่นคงปลอดภัยสัญชาติรัสเซียระบุว่า ผู้โจมตีสร้างฉากบังหน้าขึ้นรอบ ๆ QN Wallpaper ซึ่งเป็นเครื่องมือตั้งภาพพื้นหลังเดสก์ท็อปของจีนที่ในรูปแบบดั้งเดิมเป็นแอดแวร์อยู่แล้ว เพราะพ่วงแอปพันธมิตรและแสดงแบนเนอร์โฆษณา
เมื่อติดตั้งสำเร็จ ValleyRAT (หรือที่ถูกติดตามในชื่อ Winos 4.0) จะมอบสิทธิ์ควบคุมเครื่องที่ถูกเจาะทั้งหมดให้แก่ผู้ปฏิบัติการ Kaspersky ระบุว่าภูมิศาสตร์ของการโจมตีและเพย์โหลดชี้ว่า Silver Fox น่าจะเป็นกลุ่มที่อยู่เบื้องหลัง และเตือนให้ผู้ใช้หลีกเลี่ยงซอฟต์แวร์ที่มีชื่อเสียงน่าสงสัย และอย่านำไปใส่ในรายการข้อยกเว้นของเครื่องมือรักษาความปลอดภัยเด็ดขาด บริษัทย้ำว่ากรณีนี้เป็นตัวอย่างชัดเจนว่าแอดแวร์และเครือข่ายพันธมิตรอาจอันตรายกว่าที่เห็นมาก เพราะ ValleyRAT เป็นแบ็กดอร์ที่ซับซ้อน สามารถเก็บข้อมูลอ่อนไหว เช่น การกดแป้นพิมพ์และเนื้อหาในคลิปบอร์ด จับภาพหน้าจอ และส่งมอบโมดูลอันตรายเพิ่มเติมได้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 31 สิงหาคม 2569 ว่า บริษัท Kaspersky ได้เปิดเผยแคมเปญของกลุ่ม Silver Fox ที่ใช้ ValleyRAT โดยอาศัยแอปตั้งภาพพื้นหลัง QN Wallpaper เป็นฉากบังหน้า รายงานนี้อ้างอิงจากตัวติดตั้งเพียงชุดเดียวที่ลูกค้ารายหนึ่งส่งมาให้วิเคราะห์ ซึ่งฟีเจอร์โฆษณาของมันยังคงเงียบสงบขณะที่ห่วงโซ่การติดเชื้อทำงาน และรายงานไม่ได้ระบุจำนวนเหยื่อที่มากับเส้นทางแอดแวร์นี้โดยเฉพาะ
การอำพรางอาศัยเทคนิค DLL sideloading โดยตัวติดตั้งจะแตกไฟล์สำเนา QN Wallpaper ที่ถูกดัดแปลงออกมา แล้วรันไฟล์ปฏิบัติการที่เซ็นรับรองชื่อ QnWallpaper.exe ซึ่งจะโหลดไฟล์ libcef.dll อันตรายที่ถูกวางไว้ในไดเรกทอรีเดียวกัน เมื่อไลบรารีทำงานอยู่ภายในโปรเซสที่เซ็นรับรองอย่างถูกต้อง แบ็กดอร์จึงรันได้โดยไม่กระตุ้นการควบคุมที่ไว้วางใจลายเซ็นดิจิทัล การใช้ DLL sideloading ผ่านซอฟต์แวร์ที่ถูกต้องและเซ็นรับรองเป็นส่วนหนึ่งของชุดเครื่องมือ Silver Fox มานานแล้ว โดยในแคมเปญที่เล่นงานผู้ผลิตสัญชาติญี่ปุ่นเมื่อราวห้าสัปดาห์ก่อนหน้า บริษัท Cato Networks ได้บันทึกสิ่งที่เรียกว่าการใช้แอปพลิเคชันที่ถูกต้องเพื่อทำ DLL sideloading ที่เพิ่งพบเห็น และชื่อไฟล์ libcef.dll เดียวกันนี้ก็เคยปรากฏในตัวโหลด ValleyRAT เมื่อปี 2568 มาแล้ว
วิธีการโจมตี
ก่อนที่องค์ประกอบแอดแวร์จะเริ่มทำงาน ตัวติดตั้งจะปิด Windows Defender ผ่านคีย์รีจิสทรี DisableAntiSpyware และเพิ่มโปรแกรมเข้าไปในรายการ autorun ของระบบ ในกรณีที่ผู้ใช้ที่ล็อกอินอยู่ไม่มีสิทธิ์ผู้ดูแลระบบ มัลแวร์จะรีลอนช์ตัวเองด้วยคำสั่ง runas เพื่อขอสิทธิ์ดังกล่าว นอกจากนี้ ValleyRAT ยังสามารถทำเครื่องหมายให้โปรเซสของตัวเองเป็นโปรเซสสำคัญ (critical) เพื่อให้ความพยายามใด ๆ ในการปิดการทำงานของมันทำให้เกิดจอฟ้า (blue screen of death) ตามมา ทำให้ยากต่อการกำจัดออกจากเครื่อง
เมื่อฝังตัวสำเร็จ ValleyRAT ในฐานะแบ็กดอร์ที่ซับซ้อนจะเปิดทางให้ผู้ปฏิบัติการควบคุมเครื่องได้เต็มรูปแบบ ทั้งบันทึกการกดแป้นพิมพ์ อ่านเนื้อหาในคลิปบอร์ด จับภาพหน้าจอ และดาวน์โหลดโมดูลอันตรายเพิ่มเติมมาทำงานต่อ Kaspersky ยังเคยติดตามกลุ่มนี้ในแคมเปญก่อนหน้าที่ใช้ธีมเกี่ยวกับภาษีเล่นงานองค์กรในอินเดียและรัสเซีย และตลอดปี 2569 บริษัทบันทึกการตรวจจับ ValleyRAT และมัลแวร์ที่เกี่ยวข้องได้มากกว่า 100,000 ครั้ง กระทบผู้ใช้ที่ไม่ซ้ำกันกว่า 1,500 ราย ส่วนใหญ่อยู่ในจีนและอินเดีย ซึ่งเป็นตัวเลขที่ครอบคลุมกิจกรรม ValleyRAT ทั้งปี ไม่ใช่เฉพาะแคมเปญนี้
ผลกระทบ
กรณีนี้แสดงให้เห็นว่าแอดแวร์และเครือข่ายพันธมิตรที่ดูเหมือนก่อความรำคาญทั่วไป อาจถูกใช้เป็นพาหะส่งมัลแวร์ระดับควบคุมเครื่องเต็มรูปแบบได้ จุดที่อันตรายเป็นพิเศษคือพฤติกรรมของผู้ใช้เองที่มักเพิ่มซอฟต์แวร์ประเภทแอดแวร์หรือเครื่องมือที่มีชื่อเสียงคลุมเครือเข้าไปในรายการข้อยกเว้นของแอนตี้ไวรัส เพื่อไม่ให้ถูกแจ้งเตือนซ้ำ ๆ ซึ่งเท่ากับเปิดช่องให้เพย์โหลดอันตรายที่ซ่อนอยู่ในซอฟต์แวร์นั้นทำงานได้อย่างอิสระ ยิ่งเมื่อรวมกับการที่มัลแวร์รันอยู่ในโปรเซสที่เซ็นรับรองถูกต้องผ่าน DLL sideloading ปิด Windows Defender และตั้งตัวเองเป็นโปรเซสสำคัญที่ปิดไม่ได้ ทำให้การตรวจจับและกำจัดยากขึ้นมาก องค์กรที่ปล่อยให้พนักงานติดตั้งซอฟต์แวร์บุคคลที่สามบนเครื่องทำงานได้อย่างเสรีจึงมีความเสี่ยงสูงเป็นพิเศษ
คำแนะนำ
Kaspersky แนะนำให้องค์กรกำหนดนโยบายที่ชัดเจนเรื่องการติดตั้งซอฟต์แวร์บุคคลที่สามบนอุปกรณ์ทำงาน และสร้างความตระหนักให้พนักงานรู้ทันภัยคุกคามนี้ สำหรับผู้ใช้รายบุคคล บริษัทแนะนำให้หลีกเลี่ยงการติดตั้งซอฟต์แวร์ที่มีชื่อเสียงน่าสงสัย และที่สำคัญยิ่งกว่าคืออย่านำซอฟต์แวร์เหล่านั้นไปเพิ่มในรายการข้อยกเว้นของโซลูชันความปลอดภัยเด็ดขาด นอกจากนี้ผู้ดูแลระบบควรเฝ้าระวังการแก้ไขคีย์รีจิสทรี DisableAntiSpyware ที่ปิด Windows Defender พฤติกรรม DLL sideloading ผ่านไฟล์ที่เซ็นรับรอง และการเพิ่มรายการ autorun ที่ผิดปกติ พร้อมทั้งบล็อกตัวบ่งชี้ในตารางด้านล่างที่ระดับเครือข่ายและปลายทาง
Indicators of Compromise (IoCs)
หมายเหตุ: indicator ที่เป็นเครือข่ายด้านล่าง defang แล้ว (แทน
.ด้วย[.]) เพื่อความปลอดภัยในการอ่าน
| ประเภท | Indicator | รายละเอียด |
|---|---|---|
| Hash (MD5) | c24e99f9437feacaa63766a3cde3fe3d | ตัวติดตั้งที่ถูกส่งมาวิเคราะห์ |
| Hash (MD5) | 07ddbbe2c71c45577a7a4fbcdba0df91 | ไฟล์ libcef.dll อันตราย |
| Hash (MD5) | 8a626d844943da3456b044f38deae3a2 | ไฟล์ที่เกี่ยวข้อง |
| C2 | 103.45.66[.]18 (พอร์ต 441, 442, 443) | เซิร์ฟเวอร์สั่งการและควบคุม |
| C2 | 192.253.225[.]173 (พอร์ต 6666, 8888) | เซิร์ฟเวอร์สั่งการและควบคุม |
| Domain | qnwallpaper[.]keansoft[.]cn | เว็บดาวน์โหลดแอดแวร์ที่ถูกนำมาใช้ |
| Domain | meeting[.]tencent[.]com | หน้าเว็บที่ถูกต้อง เปิดเป็นตัวลวง |
| Host artifact | คีย์รีจิสทรี DisableAntiSpyware | ใช้ปิด Windows Defender |
| Host artifact | C:\Program Files\QNWallpaper\5.4.0.1662\ | ไดเรกทอรีติดตั้ง |