ตัวติดตั้ง LastPass Authenticator ปลอมใช้ไดรเวอร์ที่ Microsoft เซ็นรับรอง ปิดแอนตี้ไวรัสและ EDR

สรุปสั้น

นักวิจัยของบริษัท LastPass และ Delphos Labs เปิดเผยเมื่อวันที่ 17 กันยายนว่า มีตัวติดตั้ง LastPass Authenticator ปลอมที่เผยแพร่บน GitHub ซึ่งจะติดตั้งไดรเวอร์เคอร์เนลของ Windows เพื่อปิดการทำงานของแอนตี้ไวรัสและซอฟต์แวร์ความปลอดภัยอื่น ก่อนที่โปรแกรมขโมยรหัสผ่านจะทำงาน หากเหยื่อดาวน์โหลดและรันไฟล์ ที่น่ากังวลคือไดรเวอร์ตัวนี้ถูกเซ็นรับรองผ่านโครงการ Hardware Compatibility ของ Microsoft เอง มีผลตรวจจับเป็นศูนย์บน VirusTotal เมื่อนักวิจัยตรวจในเดือนสิงหาคม และไม่อยู่ในบัญชีไดรเวอร์ที่ Microsoft บล็อก

LastPass ยืนยันว่าระบบ บริการ และ vault ของลูกค้าไม่ถูกแตะต้อง ผู้โจมตีเพียง “ยืม” ชื่อแบรนด์มาใช้เท่านั้น กลลวงเริ่มจากหน้า GitHub ปลอม (github[.]com/LastPass-Authenticator) ที่ทำอันดับติดผลค้นหาคำว่า “LastPass Authenticator download” และดูเหมือนหน้าผลิตภัณฑ์ของ LastPass จริง เมื่อคลิกดาวน์โหลด เหยื่อจะถูกส่งผ่านหลายหน้าไปยังเซิร์ฟเวอร์ของผู้โจมตีที่แจกไฟล์ ZIP ขนาดใหญ่ ทั้งที่แอปจริงมาจาก lastpass.com และสโตร์ทางการเท่านั้น เทคนิคหลักที่ทำให้ไดรเวอร์นี้อันตรายคือ “การนำไดรเวอร์ที่มีช่องโหว่ของตัวเองมาใช้” (bring your own vulnerable driver — BYOVD)

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 22 กันยายน พ.ศ. 2569 ว่า นักวิจัยของบริษัท LastPass และ Delphos Labs เปิดโปงแคมเปญตัวติดตั้ง LastPass Authenticator ปลอมที่ใช้ไดรเวอร์ที่ Microsoft เซ็นรับรองมาปิดการป้องกัน

ภายในไฟล์ ZIP มีสำเนาที่เปลี่ยนชื่อของเครื่องมือดีบักจริงของ Microsoft ชื่อ vsdbg.exe วางไว้ข้างไฟล์อันตรายชื่อ vsdbg.dll เมื่อรันตัวติดตั้งปลอม Windows จะโหลด DLL ของผู้โจมตีจากโฟลเดอร์เดียวกัน ซึ่งเป็นเทคนิคที่เรียกว่า DLL side-loading จากนั้นตัวโหลดจะพยายามยกระดับสิทธิ์เป็นผู้ดูแลระบบสามวิธี ไปให้ถึงสิทธิ์ SYSTEM ซึ่งเป็นระดับสูงสุดบนเครื่อง Windows แล้วติดตั้งไดรเวอร์เคอร์เนลเป็นเซอร์วิส ไฟล์ archive ที่พบมีขนาด 148 MB และ 127.9 MB ถูกยัดไฟล์ขยะเข้าไปเพื่อให้เครื่องสแกนที่มีขีดจำกัดขนาดข้ามไป

ไดรเวอร์ที่นักวิจัยตั้งชื่อว่า Alinubx.sys ทำงานอยู่ต่ำกว่าระดับที่แอนตี้ไวรัสและเครื่องมือ EDR ทำงาน มันบรรจุรายชื่อโปรเซสแอนตี้ไวรัสและซอฟต์แวร์ความปลอดภัย 145 รายการ และจะสั่งปิดแต่ละตัวที่พบว่ากำลังทำงานอยู่จากระดับเคอร์เนล ทำให้เครื่องมือฝั่ง user-mode ไม่สามารถบล็อกหรือแม้แต่มองเห็นการปิดนั้นได้ ไดรเวอร์ถูกเซ็นผ่านห่วงโซ่ Microsoft Windows Hardware Compatibility Publisher ด้วยวันที่เซ็นย้อนไปถึงเดือนมีนาคม 2566 หลายปีก่อนแคมเปญนี้ ดังที่นักวิจัยสรุปว่า “การรับรองของ Microsoft พิสูจน์เพียงว่าไดรเวอร์ผ่านกระบวนการสร้างความเชื่อถือ ไม่ได้พิสูจน์ว่าไดรเวอร์นั้นปลอดภัย”

วิธีการโจมตี

ในการโจมตีครั้งนี้มีเพียงส่วนของรายชื่อสังหาร (kill list) เท่านั้นที่ทำงาน โค้ดของไดรเวอร์ยังสามารถซ่อนไฟล์ แทรกตัวเข้าโปรแกรมอื่น และเปลี่ยนเส้นทางทราฟฟิกเว็บได้ แต่ความสามารถเหล่านั้นต้องอาศัยไฟล์คอนฟิกที่ผู้โจมตีไม่ได้ใส่มาด้วย จึงไม่ถูกเปิดใช้ อย่างไรก็ตามแค่การปิดซอฟต์แวร์ความปลอดภัยก็เพียงพอแล้ว เมื่อการป้องกันถูกปิด ตัวขโมยข้อมูลจะเก็บรหัสผ่านที่บันทึกไว้จากเบราว์เซอร์กว่าสองโหล ไฟล์กระเป๋าเงินคริปโตเคอร์เรนซี และเซสชันการเข้าสู่ระบบของ Discord, Steam และ Telegram รวมถึงเนื้อหาใน Windows Credential Manager และไฟล์ที่ตั้งชื่อทำนอง “password”, “seed” หรือ “recovery”

สำหรับ Chrome และ Edge ที่ใช้การเข้ารหัสแบบ app-bound ของ Google เพื่อป้องกันการขโมยลักษณะนี้โดยเฉพาะ ตัวขโมยจะแทรกโค้ดเข้าไปในเบราว์เซอร์แล้วขอให้เซอร์วิสของเบราว์เซอร์เองถอดรหัสรหัสผ่านออกมา ก่อนบีบอัดข้อมูลเป็นไฟล์ ZIP แล้วส่งไปยังเซิร์ฟเวอร์ของผู้โจมตี

ทำไมจึงหลุดรอดการตรวจจับ

ไดรเวอร์ Alinubx.sys แท้จริงเป็นสำเนาที่เปลี่ยนชื่อของ CcProtect.sys ซึ่งเป็นไดรเวอร์จากผลิตภัณฑ์เข้ารหัสดิสก์สัญชาติจีนชื่อ CnCrypt ที่ถูกขึ้นบัญชีในฐานข้อมูล LOLDrivers อยู่แล้วในฐานะไดรเวอร์ที่ใช้ปิดโพรเซสได้ พร้อมมีโค้ดสาธิต (PoC) เผยแพร่ต่อสาธารณะ ทั้งสองไฟล์มีชื่อผลิตภัณฑ์ เวอร์ชัน และผู้ส่งเดียวกัน ต่างแค่ชื่อไฟล์และคำอธิบาย การเปลี่ยนชื่อนี้ทำให้ผลตรวจจับของแอนตี้ไวรัสลดจาก 7 จากราว 70 เอนจินในเดือนสิงหาคม เหลือศูนย์สำหรับไฟล์ที่เปลี่ยนชื่อ

ส่วนบัญชีบล็อกไดรเวอร์ที่มีช่องโหว่ของ Microsoft ซึ่งเปิดใช้เป็นค่าเริ่มต้นตั้งแต่การอัปเดต Windows 11 ปี 2565 นั้น Delphos ตรวจเมื่อวันที่ 20 สิงหาคมและพบว่าทั้งไฟล์ที่เปลี่ยนชื่อและไฟล์ต้นฉบับที่รู้จักกันดี ไม่มีตัวใดอยู่ในบัญชีเลย การเปลี่ยนชื่อจึงไม่ได้ “หลบ” บัญชีบล็อก เพราะไฟล์ต้นฉบับเองก็ไม่เคยถูกขึ้นบัญชีมาก่อน เนื่องจากบัญชีบล็อกจับคู่ด้วยค่าแฮชของไฟล์ที่รู้จัก ไดรเวอร์ที่ถูกเปลี่ยนชื่อหรือคอมไพล์ใหม่จึงให้แฮชใหม่ที่บัญชีไม่มี และ ณ วันที่รายงาน 17 กันยายน Alinubx.sys ก็ยังไม่อยู่ในบัญชีบล็อก โดย Delphos รายงานไดรเวอร์ไปยัง Microsoft เมื่อวันที่ 19 สิงหาคม แต่ Microsoft ตอบว่าพฤติกรรมนี้ไม่เข้าข่ายนิยามช่องโหว่ความปลอดภัยของบริษัท เพราะไดรเวอร์ไม่ใช่ส่วนประกอบของ Microsoft และแนะนำให้ส่งผ่านช่องทางแยกที่พิจารณาการขึ้นบัญชีบล็อกแทน

ผลกระทบ

กรณีนี้ตอกย้ำว่าลายเซ็นดิจิทัลจาก Microsoft ไม่ใช่เครื่องรับประกันความปลอดภัย และเทคนิค BYOVD ยังคงเป็นภัยที่ข้ามผ่านการป้องกันระดับปลายทางได้จริง เพราะไดรเวอร์เคอร์เนลที่ถูกเซ็นรับรองสามารถปิดแอนตี้ไวรัสและ EDR จากระดับที่เครื่องมือเหล่านั้นมองไม่เห็น เมื่อการป้องกันถูกปิด ตัวขโมยข้อมูลจึงกวาดรหัสผ่าน กระเป๋าคริปโต และเซสชันบัญชีไปได้อย่างอิสระ ความน่ากลัวเพิ่มขึ้นเพราะไดรเวอร์ยังคงอยู่และรันซ้ำทุกครั้งที่รีบูต ทำให้เครื่องที่ติดกลายเป็นการถูกบุกรุกระดับเคอร์เนลที่เครื่องมือทำความสะอาดทั่วไปเอาชนะได้ยาก การอาศัยหน้า GitHub ปลอมที่ทำ SEO ให้ติดอันดับค้นหายังทำให้ผู้ใช้ทั่วไปที่กำลังหาแอปตกเป็นเหยื่อได้ง่าย

คำแนะนำ

• ดาวน์โหลดแอป เช่น LastPass Authenticator จากเว็บไซต์ทางการ (lastpass.com) และสโตร์อย่างเป็นทางการเท่านั้น อย่าเชื่อหน้า GitHub ที่อ้างเป็นผลิตภัณฑ์แม้จะติดอันดับผลค้นหา
• หากเผลอรันตัวติดตั้งปลอมนี้ ให้ถือว่ารหัสผ่านทั้งหมดที่บันทึกในเบราว์เซอร์บนเครื่องนั้นถูกขโมย รวมถึงไฟล์กระเป๋าคริปโต เซสชัน Discord/Steam/Telegram และข้อมูลใน Windows Credential Manager
• เปลี่ยนรหัสผ่านเหล่านั้นจากเครื่องอื่นที่สะอาด ไม่ใช่เครื่องที่ติด และตรวจสอบกิจกรรมบัญชีย้อนหลัง
• เครื่องที่รันเพย์โหลดนี้ควรถือเป็นการบุกรุกระดับเคอร์เนล และหากทำได้ควรตรวจพิสูจน์หลักฐานระดับเคอร์เนลหรือติดตั้งระบบใหม่
• เปิดใช้บัญชีบล็อกไดรเวอร์ที่มีช่องโหว่ของ Microsoft และใช้ application control บล็อกไฟล์ที่รันจากตำแหน่งผิดปกติ พร้อมล่าหาพฤติกรรมของไดรเวอร์ตามตัวชี้วัดด้านล่าง แทนการยึดชื่อไฟล์เพียงชื่อเดียว

Indicators of Compromise (IoCs)

นักวิจัยแนะนำให้ล่าหา “สายพันธุ์” และพฤติกรรมของไดรเวอร์แทนชื่อไฟล์เดียว เพราะผู้โจมตีเปลี่ยนชื่อได้ (ตัวชี้วัดบางส่วน defang ไว้แล้ว):

แหล่งอ้างอิง

• LastPass Delphos Report: Rapuncel Infostealer — LastPass
• Process Killer Driver — LOLDrivers
• Microsoft Recommended Driver Block Rules — Microsoft