Elastic เปิดโปงโมดูล 4 ตัวที่โยงกับ REVSTEALER — ตัวหนึ่งปิด Windows Update และ Defender ทิ้งไว้ก่อนรันเครื่องขุดคริปโต

สรุปสั้น

ทีม Elastic Security Labs เผยแพร่รายงานเมื่อวันที่ 2 กันยายน 2569 ระบุว่าพบโปรแกรม 4 ตัวที่ไม่เคยมีรายงานมาก่อนซึ่งเชื่อมโยงกับ REVSTEALER มัลแวร์ขโมยข้อมูลบนวินโดวส์ที่กำลังมาแรง จุดสำคัญคือโปรแกรมทั้งสี่ยังคงอยู่ในเครื่องที่ติดเชื้อ แม้ตัวขโมยข้อมูลหลักจะลบตัวเองทิ้งไปแล้วก็ตาม โปรแกรมทั้งสี่มีชื่อว่า ProManager, WinUpdate, SoftManager และ LockAppHost โดยตัวที่ก่อความเสียหายหนักที่สุดคือ LockAppHost ซึ่งปิดบริการ Windows Update และตั้งข้อยกเว้นให้ Microsoft Defender ก่อนจะรันโปรแกรมขุดเงินคริปโต

REVSTEALER ตัวหลักถูกขายในฐานะมัลแวร์ขโมยข้อมูลเชิงพาณิชย์มาตั้งแต่อย่างน้อยเดือนกุมภาพันธ์ 2569 พฤติกรรมของมันคือกวาดรหัสผ่านและคุกกี้จากเบราว์เซอร์ กระเป๋าคริปโต บัญชีเกม ข้อมูลแอปรับส่งข้อความ และไฟล์ต่าง ๆ แล้วรายงานสถานะ “complete” กลับไปยังเซิร์ฟเวอร์ จากนั้นลบตัวเองและไม่ทิ้งกลไกฝังตัวใด ๆ ไว้ ซึ่งต่างจากโมดูลทั้งสี่ที่ต่างติดตั้งตัวเองลงในโปรไฟล์ผู้ใช้และอยู่ยาว ข้อจำกัดสำคัญที่ต้องอ่านประกอบคือ Elastic ไม่ได้รายงานว่าเห็นโมดูลทั้งสี่ถูกส่งลงเครื่องที่ติด REVSTEALER จริง ความเชื่อมโยงจึงตั้งอยู่บนโค้ดที่ใช้ร่วมกันและบริบทของการสอบสวน ไม่ใช่การส่งต่อที่สังเกตเห็นได้โดยตรง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 6 กันยายน 2569 ว่า ทีม Elastic Security Labs ได้บันทึกโปรแกรม 4 ตัวที่ไม่เคยมีรายงานมาก่อนซึ่งเชื่อมโยงกับ REVSTEALER มัลแวร์ขโมยข้อมูลบนวินโดวส์ที่กำลังเป็นที่แพร่หลาย โดยโปรแกรมเหล่านี้ยังคงอยู่ในเครื่องที่ติดเชื้อหลังตัวขโมยข้อมูลลบตัวเองไปแล้ว และหนึ่งในนั้นปิด Windows Update กับ Microsoft Defender ก่อนรันโปรแกรมขุดเงินคริปโต

Elastic ตั้งชื่อโปรแกรมทั้งสี่ว่า ProManager, WinUpdate, SoftManager และ LockAppHost พร้อมเผยแพร่ผลการวิเคราะห์เมื่อวันที่ 2 กันยายน ควบคู่กับเอกสารทางเทคนิคฉบับเต็ม โดยระบุว่า REVSTEALER ถูกขายในฐานะมัลแวร์ขโมยข้อมูลเชิงพาณิชย์มาตั้งแต่อย่างน้อยเดือนกุมภาพันธ์ 2569 ซึ่งเป็นช่วงที่ตัวอย่างแรกสุดถูกตรวจพบบน VirusTotal

บริษัทระบุว่ากู้โปรแกรมทั้งสี่มาได้จากการสอบสวนชุดเดียวกับ REVSTEALER และพบว่าใช้แนวทางการสร้างร่วมกัน ทั้งตัวแพ็กเกอร์เดียวกัน วิธีค้นหาฟังก์ชันขณะรัน และการใช้สัญญาอัจฉริยะบนเครือข่าย Polygon เป็นคอนฟิกสำรอง อีกทั้งตัวขโมยข้อมูลหลักสามารถดาวน์โหลดและรันไฟล์เพิ่มเติมผ่านบรรทัดคำสั่งได้ อย่างไรก็ตาม Elastic ไม่ได้รายงานว่าเห็นโมดูลใดถูกส่งลงเครื่องที่ติด REVSTEALER จริง ความเชื่อมโยงจึงอยู่บนโค้ดที่ใช้ร่วมกันและบริบทของการสอบสวน บริษัทเรียกองค์ประกอบเหล่านี้ว่า “ชุดกิจกรรม” และย้ำว่าทั้งสี่เป็นไฟล์รันได้แยกต่างหาก ไม่ใช่ปลั๊กอินที่ถูกโหลดเข้าไปในตัวขโมยข้อมูล

หน้าที่ของแต่ละโปรแกรมตามคำอธิบายของ Elastic คือ ProManager ขโมยไฟล์กระเป๋าเงินและส่วนขยายกระเป๋าเงินในเบราว์เซอร์ แสดงเนื้อหาที่ผู้โจมตีควบคุมทับหน้าต่างของแอปกระเป๋าเงิน และบันทึกรหัสผ่านที่ถูกพิมพ์หรือวางลงในช่องที่มันระบุว่าเป็นช่องรหัสผ่านหรือ passphrase ฝังตัวผ่าน Registry Run key, WinUpdate เฝ้าดูคลิปบอร์ด สลับที่อยู่คริปโตที่ถูกคัดลอกเป็นที่อยู่ของผู้โจมตี และเก็บข้อความที่ดูเหมือนวลีกู้คืนกระเป๋าเงิน ฝังตัวผ่าน scheduled task โดยมี Registry Run key เป็นทางสำรอง, SoftManager เปลี่ยนเครื่องเหยื่อให้เป็น reverse proxy เพื่อส่งทราฟฟิกของผู้โจมตีผ่านการเชื่อมต่อของเหยื่อ ฝังตัวผ่าน logon script, scheduled task หรือ Registry Run key และ LockAppHost รันโปรแกรมขุดคริปโตด้วยสิทธิ์ผู้ดูแลระบบหลังปิด Windows Update และตั้งข้อยกเว้นโฟลเดอร์ให้ Microsoft Defender ฝังตัวผ่าน Registry Run key หรือเป็นเซอร์วิส

LockAppHost คือตัวที่สร้างความเสียหายมากที่สุดในสี่ตัว การยกระดับสิทธิ์ทำโดยใช้เครื่องมือ CMSTP ของวินโดวส์ในทางที่ผิด และถอยไปใช้กล่องขอยกระดับสิทธิ์แบบมาตรฐานหากวิธีแรกล้มเหลว เมื่อได้สิทธิ์แล้วมันจะเพิ่มข้อยกเว้นให้ Microsoft Defender ครอบคลุมโฟลเดอร์และชนิดไฟล์ที่ใช้กันทั่วไป ปิดบริการ Windows Update 5 ตัว ปิด scheduled task ที่เกี่ยวกับการอัปเดต 11 รายการและงานกำจัดมัลแวร์อีก 2 รายการ แล้วจึงซ่อนโปรแกรมขุดไว้ในกระบวนการที่ถูกต้องของวินโดวส์ สิ่งที่ต้องย้ำคือการเปลี่ยนแปลงที่ทำให้เครื่องอ่อนแอลงเหล่านี้ยังคงอยู่แม้จะพบและกำจัดโปรแกรมขุดไปแล้ว

วิธีการโจมตี

ก่อนที่โมดูลจะมาถึง REVSTEALER กวาดข้อมูลไว้กว้างมากอยู่แล้ว ทั้งรหัสผ่านและคุกกี้จากเบราว์เซอร์ ไฟล์จากกระเป๋าเงินคริปโตกว่า 50 ยี่ห้อและส่วนขยายกระเป๋าเงินในเบราว์เซอร์จำนวนมาก ข้อมูลเซสชันจาก Telegram และแอปรับส่งข้อความอื่น คอนฟิก VPN และ FTP, Windows Credential Manager, โปรแกรมจัดการรหัสผ่าน และเอกสารที่คัดเลือกไว้ สำหรับแพลตฟอร์มเกมบางราย มันไปไกลกว่านั้นด้วยการถอดรหัสคุกกี้เซสชันของ Roblox ที่เก็บไว้ ทำให้ผู้โจมตียึดบัญชีได้โดยไม่ต้องรู้รหัสผ่าน

เพื่อเอาข้อมูลรับรองที่ Chrome ป้องกันไว้ด้วย App-Bound Encryption REVSTEALER ใช้วิธีเปิดเบราว์เซอร์ในดีบักเกอร์แล้วอ่านกุญแจถอดรหัสจากหน่วยความจำ เทคนิคนี้ไม่ใช่ของใหม่และไม่ใช่ของเฉพาะตัว โดย Elastic ระบุว่าน่าจะดัดแปลงมาจากโครงการสาธารณะชื่อ ElevationKatz และเคยถูกใช้โดยมัลแวร์อีกตัวชื่อ VoidStealer เมื่อเดือนมีนาคม 2569 ซึ่งบริษัท Gen Digital ผู้วิเคราะห์ VoidStealer อธิบายว่าเป็นมัลแวร์ขโมยข้อมูลตัวแรกที่ใช้เทคนิคนี้ในโลกจริง

ช่องทางแพร่กระจายหลักคือเหยื่อล่อประเภทโปรแกรมโกงเกม Elastic ระบุว่าพบช่อง YouTube อย่างน้อย 17 ช่องที่โปรโมตเว็บไซต์โกงเกม 2 แห่งด้วยวิดีโอสั้นที่สร้างด้วย AI โดยหลายช่องถูกยึดมาจากเจ้าของเดิม นอกจากนี้มัลแวร์ยังถูกแพ็กมาในรูปของซอฟต์แวร์ละเมิดลิขสิทธิ์หรือซอฟต์แวร์ปลอม รวมถึงแอปปลอมชื่อ “Claude Opus 5 Free Desktop” ที่บริษัท Morphisec บันทึกไว้เมื่อวันที่ 31 สิงหาคม 2569 ซึ่งลอกแบรนด์ของ Anthropic มาใช้ ทั้งนี้ไม่มีข้อบ่งชี้ว่า Anthropic ถูกเจาะแต่อย่างใด ส่วนตัวเลขที่ต้องอ่านอย่างระมัดระวังคือกฎตรวจจับของ Elastic จับคู่กับตัวอย่างบน VirusTotal ได้ราว 4,700 รายการในรอบปีที่ผ่านมา ซึ่งเป็นการนับจำนวนไฟล์ ไม่ใช่จำนวนการติดเชื้อที่ยืนยันแล้ว

ในแง่การหลบการวิเคราะห์ REVSTEALER ถูกสร้างมาอย่างตั้งใจ มันให้คะแนนเครื่องเป้าหมายด้วยการตรวจแซนด์บ็อกซ์ 10 รายการและหยุดทำงานหากคะแนนรวมสูงเกินไป และจะยุติตัวเองบนระบบที่ตั้งภาษาไว้เป็นหนึ่งใน 10 ภาษาที่ใช้กันในรัสเซียและเอเชียกลาง มันค้นหาฟังก์ชันของวินโดวส์โดยไม่ใช้ import table ตามปกติ และเรียกเคอร์เนลผ่าน indirect system call เพื่อข้ามฮุกที่ผลิตภัณฑ์ความปลอดภัยติดตั้งไว้ หากเซิร์ฟเวอร์คำสั่งหลักติดต่อไม่ได้ มันจะอ่านที่อยู่สำรองจากสัญญาอัจฉริยะบนบล็อกเชน Polygon ซึ่งเป็นเทคนิคทนต่อการถูกปิดที่รู้จักกันในชื่อ EtherHiding นอกจากนี้บิลด์ที่ถูกแกะแพ็กแล้วยังแสดงหน้าต่างยืนยันที่ขอรหัส 6 อักขระแบบสุ่มก่อนทำงาน ซึ่งเป็นด่านกันการวิเคราะห์อัตโนมัติที่ Elastic เทียบกับ Lumma Stealer และ AuraStealer

จุดที่อันตรายเชิงกระบวนการมากที่สุดคือเมื่อตัวขโมยข้อมูลลบตัวเองทิ้ง การติดเชื้ออาจดูเหมือน “จบแล้ว” ทั้งที่โมดูลยังทำงานต่ออยู่ ทีมตอบสนองเหตุการณ์ที่ปิดเคสตามการหายไปของตัวขโมยข้อมูลจึงมีโอกาสสูงที่จะทิ้งเครื่องขุด พร็อกซี และตัวดักคลิปบอร์ดไว้ในเครื่องต่อไปโดยไม่รู้ตัว

ผลกระทบ

กลุ่มที่ตกเป็นเป้าโดยตรงคือผู้ใช้ทั่วไปที่มองหาโปรแกรมโกงเกมหรือซอฟต์แวร์เสียเงินในเวอร์ชันฟรี ซึ่งเป็นกลุ่มที่มักใช้เครื่องส่วนตัวเครื่องเดียวกับที่ล็อกอินบัญชีสำคัญทั้งหมด ผลที่ตามมาจึงไม่จำกัดอยู่แค่คริปโต แต่ลามไปถึงบัญชีอีเมล บัญชีเกม และข้อมูลรับรองที่เก็บไว้ในเบราว์เซอร์และโปรแกรมจัดการรหัสผ่าน

สำหรับองค์กร ความเสี่ยงที่ควรจับตาที่สุดคือ SoftManager ที่เปลี่ยนเครื่องเหยื่อให้เป็น reverse proxy ให้ผู้โจมตี เพราะนั่นหมายถึงเครื่องในเครือข่ายองค์กรกลายเป็นทางผ่านของทราฟฟิกที่ผู้โจมตีควบคุม และ LockAppHost ที่ทิ้งเครื่องไว้ในสภาพที่อ่อนแอกว่าเดิมอย่างถาวร ทั้งบริการอัปเดตที่ถูกปิดและข้อยกเว้นของ Defender ที่ยังค้างอยู่ เท่ากับว่าแม้จะกำจัดมัลแวร์ออกไปได้ เครื่องนั้นก็ยังเปิดรับมัลแวร์ตัวถัดไปอยู่ดีจนกว่าจะมีใครไปคืนค่าเดิม

อีกประเด็นที่กระทบการตอบสนองเหตุการณ์คือช่องว่างของเครื่องมือตรวจจับ Elastic เผยแพร่กฎ YARA กฎเชิงพฤติกรรม และชุดตัวบ่งชี้ไว้ให้แล้ว แต่ไฟล์ YARA สาธารณะครอบคลุมเฉพาะตัวขโมยข้อมูลหลักกับโมดูล ProManager, SoftManager และ WinUpdate โดย ไม่มีกฎสำหรับ LockAppHost ซึ่งเป็นโมดูลขุดเหมือง ทีมที่พึ่งกฎชุดนี้อย่างเดียวจึงมีโอกาสพลาดโมดูลที่สร้างความเสียหายมากที่สุดในชุด

คำแนะนำ

• หากพบร่องรอยของ LockAppHost ให้เปิดบริการ Windows Update และ scheduled task ที่ถูกปิดกลับคืน ลบข้อยกเว้นที่ถูกเพิ่มให้ Microsoft Defender และค้นหาโปรแกรมขุดที่ซ่อนอยู่ในอินสแตนซ์ของ nslookup.exe หรือ svchost.exe ที่ถูกพักการทำงานไว้
• อย่าปิดเคสเพียงเพราะไม่พบตัวขโมยข้อมูลแล้ว เนื่องจาก REVSTEALER ลบตัวเองเป็นปกติ ให้ไล่ตรวจกลไกฝังตัวทั้ง Registry Run key, scheduled task, logon script และเซอร์วิสที่ถูกสร้างใหม่
• ผู้ใช้ที่ได้รับผลกระทบต้องเปลี่ยนรหัสผ่านและสั่งยุติเซสชันที่ยังใช้งานอยู่ทั้งหมด เพราะมัลแวร์ขโมยคุกกี้เซสชันและกุญแจ App-Bound Encryption ของ Chrome ไปแล้ว การรีเซ็ตรหัสผ่านอย่างเดียวไม่พอ
• ตรวจสอบธุรกรรมคริปโตย้อนหลัง โดยเฉพาะกรณีที่ที่อยู่ปลายทางไม่ตรงกับที่คัดลอกมา ซึ่งเป็นพฤติกรรมของ WinUpdate ที่สลับที่อยู่ในคลิปบอร์ด
• นำกฎ YARA และตัวบ่งชี้ที่ Elastic เผยแพร่ไปใช้ แต่ต้องรู้ว่าไฟล์ YARA สาธารณะยังไม่มีกฎสำหรับ LockAppHost จึงควรตรวจหาโมดูลนี้ด้วยพฤติกรรมเพิ่มเติม เช่น การปิดบริการอัปเดตและการเพิ่มข้อยกเว้นของ Defender
• หลีกเลี่ยงการดาวน์โหลดเวอร์ชัน “ฟรี” หรือเวอร์ชันที่ไม่เป็นทางการของเครื่องมือ AI ที่ต้องเสียเงินและโปรแกรมโกงเกม และติดตั้ง Claude จากช่องทางทางการของ Anthropic เท่านั้น
• เฝ้าระวังทราฟฟิกขาออกที่ผิดปกติจากเครื่องผู้ใช้ทั่วไป ซึ่งอาจเป็นสัญญาณของ SoftManager ที่ใช้เครื่องนั้นเป็นทางผ่านของผู้โจมตี

Indicators of Compromise (IoCs)

ตัวบ่งชี้ที่คัดเลือกมาจากรายงานของ Elastic โดยชื่อโดเมนถูกใส่วงเล็บคั่นจุด (defang) ไว้ตามต้นฉบับ

แหล่งอ้างอิง

• Four REVSTEALER-Linked Modules Disable Windows Update and Defender to Run a Crypto Miner — The Hacker News
• REVSTEALER: credential harvesting infostealer — Elastic Security Labs
• REVSTEALER White paper (PDF) — Elastic
• REVSTEALER: silence is its greatest weapon — Morphisec