สรุปสั้น
การโจมตีของแรนซัมแวร์ PAYLOAD ใช้ Group Policy Object (GPO) บน Active Directory เพื่อป่วนทั้งโดเมน Windows โดยไม่เข้ารหัสไฟล์และไม่วางไฟล์ไบนารีของแรนซัมแวร์เลย ปฏิบัติการนี้เล่นงานองค์กรผู้ผลิตแห่งหนึ่งในตะวันออกกลาง โดยอาศัยการควบคุมระดับโดเมน บัญชีที่ถูกขโมย และ GPO อันตราย เพื่อแสดงข้อความเรียกค่าไถ่ ปิดระบบป้องกัน และล็อกการเข้าถึงบัญชีผู้ดูแล
ในเดือนเมษายน 2569 ผู้โจมตีเข้าถึงองค์กรผ่าน FortiGate SSL VPN ด้วยบัญชีโดเมนที่ถูกต้องแต่ถูกขโมยมา แม้ยังไม่ทราบแหล่งที่มาของการขโมยข้อมูลรับรอง แต่ผู้วิจัยพิจารณาว่าอาจมาจากฟิชชิง การเดารหัสผ่านแบบ password spraying การทำ credential stuffing หรือการซื้อข้อมูลรับรองจากนายหน้าขายการเข้าถึง หลังจากได้สิทธิ์เพียงพอ ผู้โจมตีสร้าง GPO อันตรายชื่อ PAYLOAD แล้วผูกไว้ที่รากของโดเมน Active Directory ซึ่งเป็นกลไกที่ทรงพลังที่สามารถบังคับใช้การตั้งค่ากับอุปกรณ์เกือบทุกเครื่องที่เข้าร่วมโดเมนได้
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 21 กันยายน 2569 ว่า มีการค้นพบการโจมตีของแรนซัมแวร์ PAYLOAD ที่ยึด Group Policy Object บน Active Directory เพื่อป่วนทั้งโดเมน Windows โดยไม่เข้ารหัสไฟล์ อ้างอิงผลวิเคราะห์ของบริษัท Kaspersky
GPO ที่ชื่อ PAYLOAD ไม่ได้ติดตั้งไฟล์แรนซัมแวร์แบบดั้งเดิมบนระบบ Windows แต่กลับใช้กลไกนโยบายที่ Windows เชื่อถือในการคัดลอกข้อความเรียกค่าไถ่จาก SYSVOL เปลี่ยนวอลเปเปอร์เดสก์ท็อปและหน้าจอล็อกเป็นภาพเรียกค่าไถ่ แสดงแบนเนอร์ตอนล็อกออนว่า “Welcome to Payload!” และปิดใช้งานบัญชี Administrator ในเครื่อง นอกจากนี้ผู้โจมตียังสร้าง GPO ตัวที่สองชื่อ “win Firewall Off” เพื่อปิด Windows Firewall ทั้งโปรไฟล์ domain, private และ public
การโจมตีนี้อันตรายเป็นพิเศษเพราะแทบทั้งหมดเกิดขึ้นภายใน Active Directory โดย Kaspersky ไม่พบไฟล์ที่ถูกเข้ารหัส ไม่พบไบนารีอันตรายบนเครื่อง Windows ที่ได้รับผลกระทบ ไม่พบโปรเซสต้องสงสัยที่กำลังทำงาน และไม่พบความคงอยู่แบบเดิม ๆ อย่าง scheduled task, service, Run key หรือ WMI subscription แต่กลับใช้การผูก GPO อันตรายบนโดเมนคอนโทรลเลอร์เป็นวิธีสร้างความคงอยู่แทน
ผู้โจมตีวางไฟล์ payload.jpg และ hello.txt ไว้ในแชร์ SYSVOL ขององค์กรเมื่อวันที่ 13 เมษายน เครื่องปลายทางแคชนโยบายไว้ แต่ผลเต็มรูปแบบถูกหน่วงเวลาเพราะการตั้งค่าระดับเครื่องหลายอย่างจะมีผลเมื่อรีบูตหรือรีเฟรชนโยบายเท่านั้น พอถึงวันที่ 14 เมษายน เครื่องปลายทางเริ่มรีบูต ทำให้วอลเปเปอร์เรียกค่าไถ่ ภาพหน้าจอล็อก ข้อความล็อกอิน และไฟล์ข้อความเรียกค่าไถ่ปรากฏขึ้นทั่วทั้งเครือข่าย
วิธีการโจมตี
Kaspersky ยังพบการขโมยข้อมูลออกจากเซิร์ฟเวอร์ไฟล์และระบบอื่น ๆ ก่อนที่ความเสียหายที่มองเห็นได้จะเริ่มขึ้น โดยข้อมูลที่ถูกขโมยถูกนำไปเผยแพร่บนเว็บไซต์รั่วข้อมูลบนดาร์กเว็บในภายหลัง แสดงให้เห็นว่าปฏิบัติการนี้ใช้โมเดลกรรโชกแบบไม่เข้ารหัส (encryptionless extortion) แทนที่จะพึ่งพาการเข้ารหัสไฟล์เป็นเครื่องต่อรอง ผู้โจมตีกลับผสมการขโมยข้อมูลเข้ากับการก่อกวนการทำงานและการขู่ยกระดับความเสียหายเพิ่มเติม
Kaspersky ระบุว่าเหตุการณ์นี้สะท้อนความเสี่ยงที่เพิ่มขึ้นสำหรับองค์กรที่มุ่งป้องกันแรนซัมแวร์เฉพาะที่ไฟล์ปฏิบัติการต้องสงสัยและกิจกรรมการเข้ารหัส เพราะ GPO เป็นเครื่องมือบริหารที่ได้รับความเชื่อถือ อยู่ในรายการที่อนุญาต (allowlist) และมีสิทธิ์สูง ทำให้การเปลี่ยนแปลงนโยบายที่เป็นอันตรายสามารถเลี่ยงผลิตภัณฑ์ความปลอดภัยที่ออกแบบมาเพื่อตรวจสอบไฟล์ สคริปต์ และโปรเซสเป็นหลักได้
ผลกระทบ
การโจมตีลักษณะนี้อันตรายอย่างยิ่งต่อองค์กรที่พึ่งพา Active Directory เพราะเมื่อผู้โจมตีได้สิทธิ์ระดับโดเมนแล้ว การผูก GPO เพียงตัวเดียวที่รากโดเมนสามารถบังคับใช้การเปลี่ยนแปลงกับทุกเครื่องที่เข้าร่วมโดเมนได้พร้อมกัน โดยไม่ต้องวางมัลแวร์บนเครื่องปลายทางเลย ทำให้ผลิตภัณฑ์ป้องกันปลายทางแบบดั้งเดิมที่จ้องหาไฟล์และการเข้ารหัสมองไม่เห็นการโจมตี อีกทั้งการขโมยข้อมูลไปเผยแพร่ยังเพิ่มแรงกดดันต่อองค์กรแม้จะกู้ระบบกลับมาได้ก็ตาม การใช้ FortiGate SSL VPN ที่มีบัญชีถูกขโมยเป็นจุดเข้ายังตอกย้ำความจำเป็นในการปกป้องช่องทางเข้าถึงระยะไกลอย่างเข้มงวด
คำแนะนำ
ทีมความปลอดภัยควรเฝ้าระวังการเปลี่ยนแปลงใน Active Directory โดยเฉพาะ Event ID 5137 (การสร้าง GPO), 5136 (การแก้ไขอ็อบเจกต์ในไดเรกทอรี) และ 5141 (การลบ) พร้อมตั้งการแจ้งเตือนเมื่อมีการเปลี่ยนแปลงแอตทริบิวต์ gPLink ที่รากโดเมนโดยไม่คาดคิด ไฟล์ผิดปกติใน SYSVOL และการแก้ไข GPO โดยบัญชีผู้ดูแลที่ไม่ใช่มาตรฐาน หากพบการบุกรุก ควรลบ GPO อันตรายออกจากโดเมนคอนโทรลเลอร์ก่อนทำความสะอาดเครื่องปลายทาง หมุนเวียนข้อมูลรับรองที่ถูกขโมย ตรวจสอบสมาชิกกลุ่มสิทธิ์สูง กู้คืนการตั้งค่าไฟร์วอลล์และบัญชีผู้ดูแลผ่านนโยบายที่สะอาด และบังคับใช้ MFA ที่ทนต่อฟิชชิงสำหรับการเข้าถึง VPN นอกจากนี้การเฝ้าระวังความสมบูรณ์ของ SYSVOL และการแยกสิทธิ์การสร้าง GPO ออกจากสิทธิ์การผูก GPO จะช่วยลดโอกาสการยึดครองนโยบายทั้งโดเมนได้
Indicators of Compromise (IoCs)
หมายเหตุ: ที่อยู่ IP และโดเมนถูก defang (เช่น
[.]) ไว้เพื่อป้องกันการเชื่อมโยงหรือ resolve โดยไม่ตั้งใจ ให้ re-fang เฉพาะภายในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM ขององค์กรเท่านั้น
| ประเภท | Indicator | คำอธิบาย |
|---|---|---|
| Malicious GPO | PAYLOAD | GPO แรนซัมแวร์หลัก |
| GPO GUID | {C897F2C7-C2AC-4E6F-BF48-58036FF29E79} | ตัวระบุ GPO PAYLOAD |
| Malicious GPO | win Firewall Off | GPO ที่ปิด Windows Firewall |
| GPO GUID | {22099AD2-E062-4F56-B574-5099BBA4E7A6} | ตัวระบุ GPO ไฟร์วอลล์ |
| SYSVOL File | payload.jpg | วอลเปเปอร์เรียกค่าไถ่ |
| SYSVOL File | hello.txt | ต้นฉบับข้อความเรียกค่าไถ่ |
| Ransom Note | README-payload.txt | ไฟล์ข้อความเรียกค่าไถ่ที่ถูกวาง |
| Utility | killer.exe | เครื่องมือปิดโปรเซส |
| MD5 | 0108656A3E1ADE6CA4F21B084F5E1208 | ค่าแฮชของ killer.exe |
| Utility | kill.exe | เครื่องมือปิดโปรเซส |
| MD5 | BEA5E267F24D7DA59F6821BFFDBFF293 | ค่าแฮชของ kill.exe |
| Registry Key | …\legalnoticecaption | การตั้งค่าแบนเนอร์ล็อกออนเรียกค่าไถ่ |
| Registry Value | Welcome to Payload! | ข้อความหัวแบนเนอร์เรียกค่าไถ่ |
| AD Attribute | gPLink | ใช้ตรวจจับการผูก GPO อันตราย |
| IP | 37.19.210[.]12 | IP ที่รายงานว่าเชื่อมโยงกับ PAYLOAD |
| IP | 146.70.117[.]239 | IP ที่รายงานว่าเชื่อมโยงกับ PAYLOAD |
| IP | 149.102.229[.]154 | IP ที่รายงานว่าเชื่อมโยงกับ PAYLOAD |
| Windows Event ID | 5137 | การสร้างอ็อบเจกต์ GPO |
| Windows Event ID | 5136 | การแก้ไข GPO/AD |
| Windows Event ID | 1102 | การล้าง Security log |
| Sysmon Event ID | 1 | การสร้างโปรเซส |
| Sysmon Event ID | 5 | การสิ้นสุดโปรเซส |
| Sysmon Event ID | 11 | การสร้างไฟล์ |