PREY-0058 โทรปลอมเป็นฝ่ายไอทีล้วงโทเค็น Microsoft 365 — ขโมยข้อมูลผู้บริหารแล้วข่มขู่เรียกค่าไถ่โดยไม่ใช้มัลแวร์เลย

สรุปสั้น

ทีมล่าภัยคุกคามของบริษัท Arctic Wolf เปิดเผยรายละเอียดของกลุ่มขโมยข้อมูลและข่มขู่เรียกค่าไถ่ที่กำลังเคลื่อนไหวเป็นวงกว้าง โดยเล็งเป้าไปที่ Microsoft 365 และบริการซอฟต์แวร์แบบ SaaS อื่น ๆ ด้วยส่วนผสมสามอย่างคือการโทรศัพท์หลอกลวงโดยปลอมตัวเป็นฝ่ายไอทีหรือ help desk ภายในองค์กร การขโมยโทเค็นด้วยเทคนิค adversary-in-the-middle และการล็อกอินผ่านพร็อกซีที่เป็นไอพีบ้านเรือน กิจกรรมชุดนี้ถูกติดตามในชื่อ PREY-0058 และเลือกเป้าหมายเป็นผู้อำนวยการ รองประธาน และพนักงานระดับบริหารเป็นหลัก ซึ่งเป็นกลุ่มที่มีสิทธิ์เข้าถึงเอกสารสำคัญมากที่สุดและมักถูกยกเว้นจากมาตรการที่เข้มงวดที่สุดเพราะเหตุผลด้านความสะดวก

สิ่งที่ทำให้การโจมตีชุดนี้น่ากังวลเป็นพิเศษคือสิ่งที่ ไม่มี อยู่ในนั้น ตลอดห่วงโซ่การโจมตีไม่มีการติดตั้งมัลแวร์บนเครื่องปลายทางเลยแม้แต่ตัวเดียว และไม่มีการเคลื่อนที่ในเครือข่ายแบบที่เครื่องมือฝั่ง endpoint คุ้นเคย ทุกอย่างเกิดขึ้นภายในเซสชันคลาวด์ที่ถูกต้องตามกฎหมายทุกประการหลังจากโทเค็นถูกขโมยไปแล้ว ผู้โจมตีเลือกเล่นซ้ำโทเค็นจากไอพีที่ผลลัพธ์การค้นหาตำแหน่งทางภูมิศาสตร์และหมายเลข ASN ตรงกับของเหยื่อ ทำให้การตรวจจับด้วยกฎ “ล็อกอินจากตำแหน่งที่เป็นไปไม่ได้” แทบใช้ไม่ได้ผล

Arctic Wolf ระบุว่าเทคนิคการทำงานของ PREY-0058 ทับซ้อนอย่างมีนัยสำคัญกับกลุ่มข่มขู่เรียกค่าไถ่ที่บริษัท Mandiant ในเครือ Google ติดตามในชื่อ UNC6671 และยังตั้งข้อสังเกตว่ากลุ่มที่ใช้ชื่อ Cinder น่าจะเป็นการเปลี่ยนแบรนด์หรือการสานต่อปฏิบัติการของกลุ่ม Pink โดยอ้างรายชื่อองค์กรที่ปรากฏบนเว็บไซต์ประจานข้อมูลของทั้งสองกลุ่มที่ทับซ้อนกัน อย่างไรก็ตามชื่อเรียกเหล่านี้ไม่ได้ผูกกับตัวตนผู้โจมตีรายเดียวที่พิสูจน์ได้ แต่สะท้อนกลุ่มพันธมิตร กลุ่มที่แตกตัวออกมา หรือกลุ่มต่าง ๆ ที่ใช้โครงสร้างพื้นฐานฟิชชิงชุดเดียวกัน ซึ่งเป็นข้อสังเกตเดียวกับที่ Google ให้ไว้เมื่อต้นเดือนที่ผ่านมา

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 7 กันยายน พ.ศ. 2569 ว่า นักวิจัยได้เปิดเผยรายละเอียดของกลุ่มภัยคุกคามที่ขโมยข้อมูลและข่มขู่เรียกค่าไถ่ในวงกว้าง ซึ่งกำลังเจาะ Microsoft 365 และบริการ SaaS อื่น ๆ ผ่านการโทรหลอกลวงที่แอบอ้างเป็นฝ่ายไอที การขโมยโทเค็นแบบ adversary-in-the-middle และการล็อกอินผ่าน residential proxy โดยอ้างการวิเคราะห์ของบริษัท Arctic Wolf

ห่วงโซ่การโจมตีเริ่มต้นจากผู้โจมตีโทรศัพท์เข้าหาเป้าหมายโดยปลอมตัวเป็นเจ้าหน้าที่ไอทีหรือ help desk ภายในองค์กร แล้วชี้นำให้เหยื่อเข้าไปยัง URL ที่ทำเป็นหน้าเกี่ยวกับการยืนยันตัวตน โดยโดเมนล่อมีรูปแบบชัดเจนคือ <ชื่อองค์กรเหยื่อ>.<โดเมนล่อ> ซึ่งทำให้ลิงก์ที่ปรากฏบนหน้าจอดูเหมือนเป็นระบบขององค์กรนั้นเอง โดเมนล่อที่ Arctic Wolf ตรวจพบล้วนตั้งชื่อให้เกี่ยวข้องกับการตั้งค่า MFA และ passkey เช่น assignpasskey[.]com, mfaregister[.]com และ setpasskey[.]com ซึ่งสอดคล้องกับบทสนทนาที่ผู้โจมตีใช้หลอกว่ากำลังช่วยเหยื่อลงทะเบียนวิธียืนยันตัวตนแบบใหม่

การวิเคราะห์ซับโดเมนทั้งหมดที่กระจายอยู่บนโครงสร้างพื้นฐานล่อชุดนี้พบรายการหลายร้อยรายการที่แอบอ้างชื่อบริษัทจริง ซึ่งบ่งชี้ว่าผู้โจมตีเตรียมหน้าเว็บสำหรับเหยื่อแต่ละรายไว้ล่วงหน้า ไม่ใช่หน้าเว็บกลางหน้าเดียวที่ใช้กับทุกคน เป้าหมายกระจายอยู่ทั่วสหรัฐอเมริกา โดยกระจุกตัวในอุตสาหกรรมก่อสร้างและวิศวกรรม สาธารณสุขและเวชภัณฑ์ อสังหาริมทรัพย์และการบริหารทรัพย์สิน การเงิน และบริการวิชาชีพ

นักวิจัย นาย Steven Campbell, นาย Trevor Daher, นาย Stefan Hostetler และ นาย Joshua Riccio ระบุในบทวิเคราะห์ว่า กิจกรรมการล็อกอินครั้งแรกจะเกี่ยวข้องกับแอปพลิเคชันอย่าง “My Signins”, “My Profile” และ “My Apps” ซึ่งเป็นหน้าที่เปิดเผยรายละเอียดของบัญชีและรายการแอปพลิเคชันที่เหยื่อเข้าถึงได้ พูดอีกอย่างคือขั้นตอนแรกหลังเข้าระบบไม่ใช่การขโมยข้อมูลทันที แต่เป็นการสำรวจว่าบัญชีที่ยึดมาได้นั้นเปิดประตูไปที่ไหนได้บ้าง

หลังจากเข้าถึงได้แล้ว ผู้โจมตีจะทำการสำรวจ SharePoint และ Entra ID ต่อ โดยการสำรวจ SharePoint ประกอบด้วยเหตุการณ์ SearchQueryPerformed ที่ใช้เงื่อนไข contentclass:STS_Site และ contentclass:STS_Web รวมถึงการค้นหาแบบ wildcard ที่ใช้ indexdocid เพื่อไล่หน้าผลลัพธ์ ขั้นสุดท้ายคือการเก็บรวบรวมและส่งข้อมูลออกเป็นจำนวนมากจาก SharePoint, OneDrive, Exchange และ Box จากนั้นจึงส่งข้อเรียกร้องค่าไถ่ไปยังเหยื่อ

วิธีการโจมตี

หัวใจของการโจมตีอยู่ที่การเปลี่ยนช่องทางที่เหยื่อไว้ใจที่สุดให้กลายเป็นจุดเริ่มต้น นั่นคือสายโทรศัพท์จากคนที่อ้างว่าเป็นฝ่ายไอทีของบริษัทตัวเอง เมื่อเหยื่อเปิดลิงก์ที่ผู้โจมตีบอก สิ่งที่รออยู่ปลายทางไม่ใช่หน้าเว็บปลอมที่เก็บรหัสผ่านไว้เฉย ๆ แต่เป็นขั้นตอนล็อกอิน Microsoft 365 แบบ adversary-in-the-middle ที่ผู้โจมตีเป็นคนควบคุม กล่าวคือหน้าเว็บนั้นทำหน้าที่เป็นตัวกลางส่งต่อคำร้องขอไปยังบริการจริงของ Microsoft แบบเรียลไทม์ เหยื่อจึงเห็นหน้าจอที่ถูกต้อง ได้รับคำขออนุมัติ MFA จริง และเมื่อกดอนุมัติ ระบบก็ออกโทเค็นเซสชันที่ผ่านการยืนยันตัวตนแล้วให้ตามปกติ เพียงแต่โทเค็นนั้นถูกผู้โจมตีคัดลอกไว้ระหว่างทาง

ผลที่ตามมาคือ MFA ที่หลายองค์กรถือเป็นปราการสุดท้ายไม่ได้ถูกข้าม แต่ถูก “ใช้จริง” โดยเหยื่อเอง แล้วผู้โจมตีก็เก็บผลลัพธ์ของการยืนยันตัวตนนั้นไปใช้ต่อ การป้องกันด้วยการบังคับ MFA เพียงอย่างเดียวจึงไม่ช่วยอะไรในรูปแบบการโจมตีแบบนี้ ยกเว้น MFA ที่ต้านฟิชชิงได้ซึ่งผูกกับโดเมนต้นทาง

โทเค็นที่ดักมาได้จะถูกนำไปใช้ในการโจมตีแบบเล่นซ้ำเซสชัน โดยวิ่งออกจากโครงสร้างพื้นฐานพร็อกซี เช่น บริการชื่อ NodeMaven และจากที่อยู่ไอพีที่ผลการค้นหาตำแหน่งทางภูมิศาสตร์และหมายเลข ASN ตรงกับของเหยื่อ ตรงนี้คือรายละเอียดที่สำคัญที่สุดในเชิงการตรวจจับ เพราะกฎการตรวจจับจำนวนมากที่องค์กรตั้งไว้อาศัยสมมติฐานว่าการล็อกอินที่ผิดปกติจะมาจากประเทศอื่นหรือจากผู้ให้บริการคลาวด์ที่ไม่เกี่ยวข้อง เมื่อผู้โจมตีจงใจเลือกไอพีให้อยู่ในผู้ให้บริการเดียวกับเหยื่อ สัญญาณที่เคยใช้ได้จึงเงียบไป

จุดที่ต้องย้ำคือตลอดกระบวนการนี้ไม่มีการวางมัลแวร์บนเครื่องปลายทางและไม่มีการเคลื่อนที่ในเครือข่ายขององค์กรเลย ทุกการกระทำเกิดขึ้นผ่าน API และหน้าเว็บของบริการคลาวด์ด้วยเซสชันที่ถูกต้อง ซึ่งแปลว่าองค์กรที่พึ่งพาการตรวจจับฝั่ง endpoint เป็นหลักจะไม่เห็นอะไรเลย และหลักฐานที่เหลืออยู่จะอยู่ในล็อกการตรวจสอบของ Microsoft 365 กับ Entra ID เป็นสำคัญ

ผลกระทบ

องค์กรที่เสี่ยงที่สุดคือองค์กรที่เก็บเอกสารสำคัญไว้ใน SharePoint และ OneDrive โดยเปิดสิทธิ์การค้นหาให้พนักงานเข้าถึงได้กว้าง เพราะเมื่อบัญชีระดับผู้บริหารหนึ่งบัญชีถูกยึด ขอบเขตข้อมูลที่ผู้โจมตีกวาดออกไปได้จะเท่ากับขอบเขตที่บัญชีนั้นค้นหาเจอ ไม่ใช่แค่ไฟล์ในโฟลเดอร์ส่วนตัว ลำดับการโจมตีที่เริ่มด้วยการสำรวจ SharePoint ด้วยคำสั่งค้นหาแบบกวาดทั้งไซต์สะท้อนชัดว่าผู้โจมตีเข้าใจจุดนี้ดี

ผลกระทบอีกด้านหนึ่งตกอยู่กับทีมตรวจจับ เพราะรูปแบบการโจมตีที่ไม่ทิ้งมัลแวร์และไม่เคลื่อนที่ในเครือข่ายทำให้การลงทุนด้าน endpoint ไม่ได้ช่วยลดความเสี่ยงส่วนนี้ สัญญาณที่ใช้ได้จริงย้ายไปอยู่ที่พฤติกรรมของเซสชันแทน เช่น การเล่นซ้ำโทเค็นจาก residential proxy ที่ผิดปกติ การสำรวจและเข้าถึง SharePoint เป็นจำนวนมากในเวลาสั้น ๆ การกวาดกล่องจดหมาย และการโผล่ขึ้นของโดเมนที่เพิ่งจดทะเบียนใหม่ซึ่งตั้งชื่อให้ดูเหมือนระบบยืนยันตัวตน

สำหรับอุตสาหกรรมที่ถูกเล็งเป็นพิเศษอย่างก่อสร้างและวิศวกรรม สาธารณสุข อสังหาริมทรัพย์ และบริการวิชาชีพ ข้อมูลที่ถูกขโมยมักเป็นสัญญา แบบแปลน ข้อมูลผู้ป่วย หรือเอกสารดีลที่มีมูลค่าต่อรองสูงเมื่อถูกนำมาข่มขู่ ซึ่งอธิบายว่าทำไมกลุ่มนี้จึงเลือกโมเดลขโมยแล้วข่มขู่ล้วน ๆ โดยไม่ต้องเสียเวลาเข้ารหัสไฟล์

คำแนะนำ

สำหรับผู้ดูแลระบบ มาตรการที่ Arctic Wolf แนะนำมีสี่เรื่องหลัก เรื่องแรกคือบังคับใช้นโยบาย Conditional Access เพื่อจำกัดเงื่อนไขที่เซสชันจะถูกยอมรับ เรื่องที่สองคือเปลี่ยนไปใช้ MFA ที่ต้านฟิชชิงได้ เช่น passkey หรือกุญแจความปลอดภัยที่ผูกกับโดเมน เพราะเป็นวิธีเดียวที่ตัดวงจร adversary-in-the-middle ได้ที่ราก เรื่องที่สามคือจำกัดขอบเขตข้อมูลที่ผู้ใช้แต่ละคนเข้าถึงได้ใน SharePoint ให้แคบเท่าที่จำเป็นจริง และเรื่องที่สี่คือให้ความรู้ทั้งพนักงานและเจ้าหน้าที่ help desk เกี่ยวกับความเสี่ยงจากการโทรหลอกลวง โดยเฉพาะขั้นตอนยืนยันตัวตนของผู้โทรก่อนจะทำตามคำสั่งใด ๆ ที่เกี่ยวกับ MFA

ในด้านการตรวจจับ Arctic Wolf ระบุว่าผู้ป้องกันสามารถตัดวงจรกิจกรรมนี้ได้ด้วยการเฝ้าสี่จุด ได้แก่ การเล่นซ้ำโทเค็นจาก residential proxy ที่ผิดปกติ การสำรวจและเข้าถึง SharePoint เป็นจำนวนมาก การกวาดข้อมูลจากกล่องจดหมาย และโครงสร้างพื้นฐานล่อที่เพิ่งจดทะเบียนใหม่ในธีมการยืนยันตัวตน ในทางปฏิบัติควรตั้งการแจ้งเตือนบนเหตุการณ์ SearchQueryPerformed ที่มีเงื่อนไข contentclass:STS_Site หรือ STS_Web ควบคู่กับการไล่หน้าด้วย indexdocid ซึ่งเป็นรูปแบบที่ผู้ใช้ทั่วไปแทบไม่สร้างขึ้นเอง

อีกมาตรการที่ควรทำทันทีคือทบทวนกระบวนการของ help desk ให้ไม่มีช่องทางใดที่พนักงานถูกขอให้ “ลงทะเบียน MFA ใหม่” ผ่านลิงก์ที่ส่งมาทางโทรศัพท์ และกำหนดให้การรีเซ็ตหรือลงทะเบียนวิธียืนยันตัวตนใหม่ต้องผ่านช่องทางที่องค์กรควบคุมเท่านั้น สุดท้ายควรเตรียมความสามารถในการเพิกถอนโทเค็นเซสชันทั้งหมดของบัญชีที่ต้องสงสัยให้ทำได้เร็ว เพราะการรีเซ็ตรหัสผ่านอย่างเดียวไม่ได้ทำให้โทเค็นที่ถูกขโมยไปแล้วใช้ไม่ได้

Indicators of Compromise (IoCs)

ตัวบ่งชี้ทั้งหมดถูก defang แล้ว (แทน . ด้วย [.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ

แหล่งอ้างอิง

• Fake IT Calls Target Executives in Microsoft 365 Data Theft and Extortion Attacks — The Hacker News
• 202609 cloud data theft extortion vishing proxies — Arctic Wolf (GitHub)