สรุปสั้น
บริษัท Lumen Black Lotus Labs เปิดเผยรายละเอียดของแคมเปญข้ามแพลตฟอร์มที่ใช้โปรโตคอล Message Queueing Telemetry Transport (MQTT) เป็นช่องทางสื่อสารเพื่อควบคุมเครื่อง Windows และ Linux มัลแวร์ตระกูลใหม่นี้มีรหัสเรียกว่า BambooToken ประเมินว่าเคลื่อนไหวมาตั้งแต่อย่างน้อยเดือนกุมภาพันธ์ 2566 และถูกนำไปใช้โจมตีองค์กรทั่วเอเชียและอเมริกาใต้ โดยตรวจพบกิจกรรมที่เชื่อมโยงล่าสุดในเดือนกรกฎาคม 2569
บริษัท Lumen ระบุว่าพบมัลแวร์ที่ไม่เคยมีเอกสารบันทึกนี้บนแพลตฟอร์ม VirusTotal เมื่อต้นปี 2569 โดยหลักฐานชี้ไปยังผู้โจมตีที่มีทักษะสูงและสามารถหลบเลี่ยงการตรวจจับมาได้จนถึงตอนนี้ ส่วนช่องทางเข้าถึงเริ่มต้นที่ใช้ส่ง BambooToken ยังไม่สามารถระบุได้ ผู้โจมตีอาศัยซอฟต์แวร์ “OnKey” ของบริษัท Tendyron ในการ sideload เอเจนต์เข้าสู่เครื่องเป้าหมาย โดย Tendyron ผลิตโทเคนฮาร์ดแวร์ที่ใช้ในสภาพแวดล้อมความปลอดภัยสูงเพื่อยืนยันตัวตนผู้ใช้สำหรับการเข้าถึงเวิร์กสเตชัน และมีลูกค้าในภาคการเงินและภาครัฐของจีน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานอ้างรายงานของบริษัท Lumen Black Lotus Labs ว่า Tendyron OnKey เป็นอุปกรณ์โทเคนความปลอดภัย USB และยืนยันตัวตนแบบ Public Key Infrastructure (PKI) รุ่นที่สอง ออกแบบมาเพื่อปกป้องธุรกรรมธนาคารและการเงินออนไลน์ โดยบนเว็บไซต์ Tendyron อ้างว่ามีโทเคนหมุนเวียนใช้งานแล้วกว่า 190 ล้านชิ้น แม้ทั้งใบรับรองสำหรับเซ็นโค้ด (code-signing certificate) และสภาพแวดล้อมการ build ของ Tendyron จะไม่ถูกเจาะในกิจกรรมนี้ แต่ต้องสงสัยว่าผู้ปฏิบัติการอาศัยไบนารีที่มีช่องโหว่ต่อการ sideload DLL เพื่อจุดชนวนการโจมตีภายในเครือข่ายเป้าหมายที่มีแนวโน้มว่าติดตั้งโปรแกรมนี้ไว้อยู่แล้ว
นอกจากนี้ ตัวอย่าง BambooToken ส่วนใหญ่ถูกอัปโหลดขึ้น VirusTotal จากช่วงที่อยู่ IP ของจีน บ่งชี้ถึงแคมเปญเก็บรวบรวมข้อมูลที่เล็งผู้ใช้ภายในและประเทศเพื่อนบ้าน ทั้งนี้ การใช้ MQTT ซึ่งเป็นโปรโตคอลเครือข่ายแบบ publish-subscribe ที่เบา เพื่อการสั่งการควบคุม (C2) ระยะไกลไม่ใช่เรื่องใหม่ ย้อนไปตั้งแต่มกราคม 2566 กลุ่มแฮ็กเกอร์รัฐจีนที่รู้จักในชื่อ Mustang Panda เคยถูกพบใช้แบ็กดอร์ชื่อ MQsTTang ที่อาศัยโปรโตคอลส่งข้อความแบบ IoT นี้ในการดึงและรันคำสั่งบนเครื่องที่ถูกเจาะ นอกจาก MQsTTang ยังมีเพียงไม่กี่แคมเปญที่เคยใช้ MQTT เช่น มัลแวร์แอนดรอยด์ Tizi, ตัวโหลดมัลแวร์ WailingCrab (หรือ WikiLoader) ที่โยงกับกลุ่มอาชญากรไซเบอร์ Bamboo Spider และมัลแวร์เทคโนโลยีปฏิบัติการ (OT) ชื่อ IOCONTROL (หรือ OrpaCrab) ที่เคยเล็ง IoT และระบบ SCADA ในอิสราเอลและสหรัฐ
วิธีการโจมตี
เอเจนต์ BambooToken รุ่นแรก ๆ ทำงานด้วยการดึงเซิร์ฟเวอร์ C2 ออกมาจากไฟล์ .DAT หรือย้อนกลับไปใช้เซิร์ฟเวอร์ที่ฝังตายในโค้ดหากไม่พบไฟล์ดังกล่าว เมื่อทำขั้นตอนนี้เสร็จ มัลแวร์จะเก็บรายละเอียดของระบบและส่งไปยังเซิร์ฟเวอร์ C2 (chat5188[.]tk) จากนั้นเซิร์ฟเวอร์จะสั่งให้โหลดปลั๊กอิน หยุดปลั๊กอินทั้งหมด ยุติการทำงานของมัลแวร์ หรือตัดการเชื่อมต่อจาก C2 ส่วนเวอร์ชันถัดมาจะ sideload ไฟล์ DLL ปลอม (OnKeyToken_KEB.dll) ที่โปรแกรม Tendyron OnKeySrv ใช้ เพื่อสำรวจเครื่องแล้วเข้าสู่ลูปรับคำสั่งที่ใช้ MQTT เป็น C2 และนับตั้งแต่เดือนธันวาคม 2568 BambooToken ได้ขยายขอบเขตไปเล็งเป้าเครื่อง Linux ด้วยขณะที่ยังคงพึ่งพา MQTT
นาย Ryan English วิศวกรความปลอดภัยสารสนเทศของ Lumen Technologies Black Lotus Labs ระบุว่า BambooToken เวอร์ชันแรกเริ่มทำงานผ่านสคริปต์ PowerShell ที่ทำหน้าที่เป็น “stager” ด้วยการจองหน่วยความจำแล้วรันไฟล์อันตราย โดยประเมินว่าการ sideload น่าจะกระตุ้นการแจ้งเตือนของ EDR น้อยกว่า เมื่อแคมเปญพัฒนาไป เทคนิควิธีการ (TTP) ของผู้โจมตีจึงพัฒนาตาม นอกจากนี้ BambooToken ยังสามารถเก็บข้อมูลเครื่องอย่างละเอียดและปล่อยปลั๊กอินป้องกันไวรัสสำหรับ Windows ที่ใช้กรอบงาน Windows Management Instrumentation (WMI) เพื่อรวบรวมรายละเอียดของผลิตภัณฑ์แอนตี้ไวรัสที่ติดตั้งบนเครื่องแล้วส่งออกไปยังเซิร์ฟเวอร์ C2 (api80.c2iznja[.]com) โดยโดเมนเหล่านี้ใช้ Cloudflare เป็นพร็อกซีของโครงสร้างพื้นฐาน
ผลกระทบ
หน่วยวิจัยภัยคุกคามของ Lumen ระบุว่าพบที่อยู่ IP ซึ่งระบุตำแหน่งอยู่ในสิงคโปร์ กัมพูชา และเวียดนาม กำลังสื่อสารกับหนึ่งในโหนด C2 ที่ยังทำงาน โดยที่อยู่ IP เหล่านี้ตรงกับเราเตอร์ MikroTik และ DrayTek นอกจากนี้ยังตรวจพบองค์กรที่ถูกเจาะราวสิบกว่าแห่งในเอเชียและอเมริกาใต้ เซิร์ฟเวอร์ที่ถูกเจาะส่วนใหญ่เกี่ยวข้องกับแอปพลิเคชันมือถือ รวมถึงเซิร์ฟเวอร์ GitLab ในฮ่องกง บริษัทเวียดนามที่พัฒนาอุปกรณ์จัดการไลฟ์สไตล์แบบพกพา โรงแรมในเวียดนาม บริษัทชีวการแพทย์ในอาร์เจนตินา สำนักงานกฎหมายในชิลี เว็บไซต์คริปโทเคอร์เรนซีในลิทัวเนีย และองค์กรการเงินในมาเลเซีย
การที่เหยื่อจำนวนมากอยู่ในอาเซียนถือเป็นจุดที่ต้องจับตา เพราะรูปแบบการเล็งเป้าสนับสนุนการเก็บรวบรวมข้อมูลในวงกว้าง บริษัท Lumen ประเมินว่าแอปมือถือและสมาร์ตวอทช์ที่เชื่อมต่อเครือข่ายมือถืออาจเปิดทางให้วิเคราะห์รูปแบบการใช้ชีวิต (pattern-of-life) การเล็งองค์กรการเงินอาจเปิดเผยข้อมูลธุรกรรม และการโจมตีระบบของธุรกิจโรงแรมอาจเผยประวัติและแผนการเดินทาง ยังไม่ทราบว่าใครอยู่เบื้องหลังกิจกรรมนี้ แต่การใช้ DLL sideloading ร่วมกับการเชื่อมต่อ SoftEther VPN จาก VPS ไปยังหนึ่งในโหนด C2 บ่งชี้ถึงความเชื่อมโยงกับจีน
คำแนะนำ
ผู้ดูแลระบบที่ใช้ซอฟต์แวร์โทเคน Tendyron OnKey ควรตรวจหาไฟล์ DLL ปลอมชื่อ OnKeyToken_KEB.dll ที่อาจถูก sideload และเฝ้าระวังทราฟฟิก MQTT ที่ผิดปกติออกจากเครื่องภายในองค์กร รวมถึงการเชื่อมต่อไปยังโดเมน C2 ที่ระบุ ควรตรวจสอบเราเตอร์ MikroTik และ DrayTek ที่เปิดสู่อินเทอร์เน็ตว่าถูกใช้เป็นตัวกลางการสื่อสารหรือไม่ และเฝ้าระวังสคริปต์ PowerShell ที่จองหน่วยความจำเพื่อรันไฟล์ในลักษณะ stager ตลอดจนกิจกรรม WMI ที่สำรวจผลิตภัณฑ์แอนตี้ไวรัสบนเครื่อง เนื่องจากมัลแวร์ใช้ Cloudflare บังหน้าโครงสร้างพื้นฐาน การเฝ้าดูพฤติกรรมภายในเครื่องและการสื่อสาร MQTT จึงมีความสำคัญมากกว่าการพึ่งชื่อเสียงของปลายทางเพียงอย่างเดียว
Indicators of Compromise (IoCs)
หมายเหตุ: อินดิเคเตอร์ด้านล่างถูก defang แล้ว (แทน . ด้วย [.]) เพื่อความปลอดภัย
| ประเภท | อินดิเคเตอร์ | รายละเอียด |
|---|---|---|
| โดเมน C2 | chat5188[.]tk | เซิร์ฟเวอร์ C2 ของ BambooToken รุ่นแรก |
| โดเมน C2 | api80.c2iznja[.]com | ปลายทางรับข้อมูลแอนตี้ไวรัสที่เก็บผ่าน WMI |
| ไฟล์ DLL | OnKeyToken_KEB.dll | DLL ปลอมที่ถูก sideload ผ่าน Tendyron OnKeySrv |