สรุปสั้น
กลุ่มภัยคุกคามที่รัฐหนุนหลังและโยงกับจีนที่รู้จักในชื่อ FamousSparrow ถูกพบว่ากำลังปล่อยแบ็กดอร์ที่ไม่เคยรายงานมาก่อนชื่อ SparroWocky ในการโจมตีที่เล็งเป้าหลายประเทศในลาตินอเมริกามาตั้งแต่อย่างน้อยเดือนสิงหาคม 2568 นักวิจัยของ ESET คือ Alexandre Côté Cyr และ Romain Dumont ระบุในรายงานเชิงเทคนิคที่แบ่งปันกับ The Hacker News ว่า SparroWocky เป็นแบ็กดอร์แบบโมดูลาร์ที่เขียนด้วยภาษา C++ และสถาปัตยกรรมกับเทคนิคที่ผู้พัฒนาใช้บ่งชี้ถึงความรู้ลึกซึ้งในกลเม็ดต้านการวิเคราะห์ (anti-analysis) และการทำงานภายในของ Windows ชื่อ SparroWocky มาจากการที่มัลแวร์รุ่นแรก ๆ มีบทกวีไร้สาระชื่อ Jabberwocky ของ Lewis Carroll ท่อนแรกฝังอยู่ในโค้ด
ผลการวิเคราะห์ล่าสุดของ ESET บ่งชี้ว่ากลุ่มจารกรรมไซเบอร์นี้ ซึ่งมีความเชื่อมโยงในระดับหนึ่งกับ Earth Estries และ Salt Typhoon ได้เปลี่ยนมาใช้ SparroWocky แทน SparrowDoor เป็นเครื่องมือหลัก โดยกลุ่มนี้ประเมินว่าเคลื่อนไหวมาตั้งแต่อย่างน้อยปี 2562 SparroWocky มีความสามารถรันไฟล์ตามอำเภอใจ ทำหน้าที่เป็น TCP proxy รันคำสั่ง เก็บข้อมูลทั่วไปของเครื่องที่ถูกเจาะและที่อยู่ IP ของอินเทอร์เฟซเครือข่าย ตลอดจนดูดไฟล์ออกไป จับภาพหน้าจอเป็นระยะ ทำงานกับไฟล์ และลบตัวเองออกจากเครื่องได้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 17 กันยายน 2569 ว่า SparroWocky ใช้ประโยชน์จากโครงการโอเพนซอร์สหลายตัวสำหรับการสื่อสารและการหลบเลี่ยงการตรวจจับ ได้แก่ Mbed TLS เพื่อสร้างช่องทางสื่อสารที่ปลอดภัยกับเซิร์ฟเวอร์สั่งการและควบคุม (C2) ที่ 216.238.110[.]120 ผ่าน TLS, MinHook เพื่อซ่อนที่อยู่เริ่มต้นของเธรดที่สร้างใหม่จากผลิตภัณฑ์ความปลอดภัย, COFF Loader เพื่อโหลดและรันปลั๊กอินในหน่วยความจำแบบไดนามิกในรูปของ COFF object และตัวแปรของ SilentMoonwalk (หรือ StackMoonwalk) เพื่อปลอม call stack ที่มาจากรูทีนของ MinHook โดย ESET ระบุว่า FamousSparrow ยังคงใช้เครื่องมือโจมตีแบบโอเพนซอร์สเพื่อจุดประสงค์ร้ายของตน แต่ครั้งนี้แสดงให้เห็นว่ากลุ่มมีความสามารถในการพัฒนาที่จะผสานโค้ดโอเพนซอร์สเข้ากับแบ็กดอร์ที่สร้างเองได้โดยตรง ไม่ใช่แค่ใช้ควบคู่กันเหมือนแต่ก่อน
แม้จะเปลี่ยนไปใช้มัลแวร์ตระกูลที่ห่างออกไป แต่เทคนิคพื้นฐานยังคงเดิม เช่นเดียวกับกรณีของ SparrowDoor มัลแวร์ถูกกระตุ้นด้วยห่วงโซ่ DLL sideloading โดยไฟล์ปฏิบัติการที่ถูกต้องตามกฎหมายจะถูกใช้เรียกโหลดเดอร์ DLL ซึ่งจะถอดรหัสและเปิดเพย์โหลดหลัก ทั้งนี้ยังไม่ทราบช่องทางการเข้าถึงเริ่มต้น (initial access vector) ที่ใช้ในการโจมตีเหล่านี้ นอกจากนี้ FamousSparrow ดูจะมุ่งเป้าไปที่หน่วยงานสำคัญทั่วลาตินอเมริกามากขึ้นตั้งแต่เดือนกรกฎาคม 2568 โดยปล่อยแบ็กดอร์ตัวใหม่โจมตีหน่วยงานภาครัฐในอาร์เจนตินา เอกวาดอร์ กัวเตมาลา ฮอนดูรัส ปานามา เปรู เปอร์โตริโก และเวเนซุเอลา ESET ระบุว่า 90% ของเป้าหมายที่บันทึกไว้ในเทเลเมทรีของบริษัทอยู่ในภูมิภาคนี้ แต่ยังไม่ชัดเจนว่าการโฟกัสที่ลาตินอเมริกาสะท้อนภารกิจเชิงภูมิศาสตร์อย่างเป็นทางการ หรือเป็นเพียงเรื่องชั่วคราวตามสถานการณ์ภูมิรัฐศาสตร์ปัจจุบัน
วิธีการโจมตี
SparroWocky สะท้อนพัฒนาการของ FamousSparrow ที่ยกระดับจากการใช้เครื่องมือโอเพนซอร์สควบคู่ไปกับแบ็กดอร์ มาเป็นการหลอมรวมโค้ดเหล่านั้นเข้าเป็นเนื้อเดียวกับมัลแวร์ ทำให้ตรวจจับยากขึ้น กลไกสำคัญคือการปลอม call stack ด้วยเทคนิคแนว SilentMoonwalk เพื่อกลบร่องรอยการเรียกฟังก์ชันที่มาจาก MinHook การซ่อนที่อยู่เริ่มต้นของเธรดใหม่จากผลิตภัณฑ์ความปลอดภัย และการโหลดปลั๊กอินในหน่วยความจำผ่าน COFF Loader ซึ่งทำให้ความสามารถของแบ็กดอร์ขยายได้โดยไม่ต้องเขียนไฟล์ลงดิสก์ ส่วนการสื่อสารกับ C2 ที่ห่อด้วย TLS ผ่าน Mbed TLS ก็ช่วยอำพรางทราฟฟิกให้กลมกลืนกับการรับส่งข้อมูลที่เข้ารหัสตามปกติ
ห่วงโซ่การทำงานเริ่มจาก DLL sideloading ที่อาศัยไฟล์ปฏิบัติการที่ถูกต้องตามกฎหมายเรียกโหลดเดอร์ DLL ซึ่งถอดรหัสและเปิดเพย์โหลดหลัก รูปแบบนี้เหมือนกับที่เคยพบใน SparrowDoor แสดงว่ากลุ่มยังคงยึดวิธีการที่ได้ผลไว้แม้จะเปลี่ยนตัวมัลแวร์ เมื่อฝังตัวได้แล้ว SparroWocky สามารถรันไฟล์ ทำ TCP proxy จับภาพหน้าจอเป็นระยะ ดูดไฟล์ออกไป และลบตัวเองเพื่อกลบร่องรอย ตารางด้านล่างสรุปตัวชี้วัดการถูกเจาะที่เปิดเผย
Indicators of Compromise (IoCs)
| ประเภท | ค่า | คำอธิบาย |
|---|---|---|
| C2 (IP) | 216.238.110[.]120 | เซิร์ฟเวอร์สั่งการและควบคุมของ SparroWocky (สื่อสารผ่าน TLS · หมายเหตุ: defang แล้ว) |
ผลกระทบ
การที่ FamousSparrow พัฒนาแบ็กดอร์ใหม่ที่ผสานโค้ดโอเพนซอร์สต้านการวิเคราะห์เข้ากับตัวมัลแวร์โดยตรง สะท้อนว่ากลุ่มมีขีดความสามารถด้านการพัฒนาที่สูงขึ้น และทำให้เครื่องมือตรวจจับที่พึ่งลายเซ็นหรือพฤติกรรมพื้นฐานทำงานได้ยากขึ้น เป้าหมายหลักในรอบนี้คือหน่วยงานภาครัฐในลาตินอเมริกา ซึ่งบ่งชี้ถึงแรงจูงใจด้านการจารกรรมและการเก็บข่าวกรอง มากกว่าการหวังผลทางการเงิน ความเชื่อมโยงของกลุ่มกับ Earth Estries และ Salt Typhoon ที่เคยเจาะโครงสร้างพื้นฐานโทรคมนาคมในหลายภูมิภาคยังชี้ว่ากลุ่มเครือข่ายนี้มีทรัพยากรและเป้าหมายในวงกว้าง แม้รอบนี้จะเน้นลาตินอเมริกาก็ตาม
สำหรับผู้ดูแลระบบ เทคนิค DLL sideloading ที่กลุ่มใช้ยังคงเป็นช่องทางที่ได้ผล เพราะอาศัยไฟล์ที่ถูกต้องตามกฎหมายบังหน้า จึงมักผ่านการตรวจสอบเบื้องต้นได้ องค์กรที่มีความเสี่ยงตกเป็นเป้าของกลุ่มจารกรรมรัฐหนุนหลังควรตระหนักว่าการตรวจจับต้องมองที่พฤติกรรมผิดปกติของกระบวนการและการเชื่อมต่อออก มากกว่าการพึ่งลายเซ็นมัลแวร์เพียงอย่างเดียว
คำแนะนำ
ผู้ดูแลระบบควรเฝ้าระวังห่วงโซ่ DLL sideloading โดยตรวจสอบว่าไฟล์ปฏิบัติการที่ถูกต้องตามกฎหมายเรียกโหลด DLL จากตำแหน่งหรือชื่อที่ผิดปกติหรือไม่ ควรบล็อกและตรวจสอบการเชื่อมต่อออกไปยัง C2 ที่ 216.238.110[.]120 และเฝ้าระวังทราฟฟิก TLS ที่ผิดปกติซึ่งอาจถูกใช้อำพรางการสื่อสารกับเซิร์ฟเวอร์สั่งการ การใช้ระบบ EDR ที่ตรวจจับพฤติกรรมได้ เช่น การสร้างเธรดที่ซ่อนที่อยู่เริ่มต้น การปลอม call stack และการโหลดโค้ดในหน่วยความจำ จะช่วยจับมัลแวร์ที่พยายามหลบการตรวจแบบไฟล์บนดิสก์ได้ องค์กรภาครัฐและหน่วยงานสำคัญควรจำกัดสิทธิ์การเรียกใช้งาน ใช้ application allowlisting และหมั่นตรวจสอบเครื่องที่เข้าถึงข้อมูลอ่อนไหวเพื่อลดโอกาสที่ผู้โจมตีจะฝังตัวได้นานโดยไม่ถูกตรวจพบ