SideCopy ขยายเป้าโจมตีอินเดียสู่ภาคการศึกษา หว่านสเปียร์ฟิชชิงปล่อยมัลแวร์ ReverseRAT

สรุปสั้น

กลุ่มผู้ก่อภัยคุกคามที่รู้จักในชื่อ SideCopy ถูกพบว่าใช้อีเมลสเปียร์ฟิชชิงหลอกล่อโจมตีสถาบันการศึกษาในอินเดีย ซึ่งเป็นการขยายจุดโฟกัสเชิงยุทธศาสตร์ออกไปนอกเหนือจากหน่วยงานรัฐบาลที่เคยเป็นเป้าหลัก นักวิจัยของบริษัท Trellix ระบุว่าปฏิบัติการของ SideCopy มักเริ่มต้นด้วยสเปียร์ฟิชชิงที่อาศัยการใช้ mshta.exe ในทางที่ผิดเพื่อรันสคริปต์อันตรายและเลี่ยงมาตรการรักษาความปลอดภัยมาตรฐาน กลไกการส่งมอบนี้นำไปสู่การติดตั้ง remote access trojan (RAT) ที่เป็นเสาหลักของโครงสร้างการโจมตีของกลุ่ม

SideCopy หรือที่รู้จักในชื่อ TAG-140 เป็นกลุ่ม advanced persistent threat (APT) ที่มีต้นกำเนิดจากปากีสถาน เคลื่อนไหวมาตั้งแต่อย่างน้อยปี 2562 และมีความทับซ้อนกับคลัสเตอร์ Transparent Tribe โดยในอดีตมุ่งเป้าไปที่กองทัพและเจ้าหน้าที่รัฐของอินเดียเป็นหลัก ล่าสุดการที่กลุ่มหันมาโจมตีสถาบันการศึกษาสะท้อนว่าลำดับความสำคัญเชิงยุทธศาสตร์ในการเก็บข่าวกรองของกลุ่มกำลังขยายกว้างขึ้น

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 22 กันยายน 2569 โดยอ้างรายงานเชิงเทคนิคของบริษัท Trellix ว่า ห่วงโซ่การโจมตีล่าสุดของ SideCopy ใช้อีเมลสเปียร์ฟิชชิงในการส่งไฟล์บีบอัด ZIP ที่ถูกทำเป็นอาวุธ ภายในมีไฟล์ทางลัดของ Windows (LNK) ที่ปลอมไอคอนเป็น PDF และตั้งนามสกุลเป็น .DOCX (“commskll.docx.lnk”) เพื่อทำให้ไฟล์อันตรายดูน่าเชื่อถือ เมื่อเหยื่อเปิดไฟล์ LNK มันจะดึงไฟล์ HTML Application (HTA) ที่ถูกทำให้อ่านยากจากเซิร์ฟเวอร์ระยะไกล (“docsportal[.]in”) มารันด้วย mshta.exe แล้วโหลด DLL แบบ reflective ต่อ พร้อมมีรูทีนลบตัวเอง (self-deletion) เพื่อลบไฟล์ HTA ทิ้งเมื่อขั้นถัดไปเริ่มทำงาน อันเป็นเทคนิคต้านการพิสูจน์หลักฐาน

ก่อนหน้านี้ในรายงานเดือนมิถุนายน 2569 บริษัท Seqrite Labs เคยระบุว่า SideCopy อยู่เบื้องหลังปฏิบัติการสเปียร์ฟิชชิงที่โจมตีกระทรวงการคลังของอัฟกานิสถานด้วย remote access trojan แบบโอเพนซอร์สชื่อ Xeno RAT ซึ่งแสดงให้เห็นว่ากลุ่มปรับเปลี่ยนเครื่องมือและเป้าหมายอย่างต่อเนื่อง

ต่อมาเว็บไซต์ GBHackers รายงานเมื่อวันที่ 17 ตุลาคม 2569 ว่า Cyber Swachhta Kendra (CSK) ศูนย์กำจัดบอตเน็ตและมัลแวร์ภายใต้ CERT-In ของอินเดีย ออกประกาศเตือนเมื่อวันที่ 15 ตุลาคม 2569 ว่า SideCopy ยังคงโจมตีองค์กรในอินเดียรวมถึงสถาบันการศึกษาด้วยสเปียร์ฟิชชิงที่ปล่อย ReverseRAT โดยจัดระดับความรุนแรงเป็นปานกลาง ประกาศของ CSK ยืนยันห่วงโซ่เดียวกับที่ Trellix รายงาน ได้แก่ HTA จาก docsportal[.]in ที่ฝัง ne4snapk.dll ซึ่งโหลดเข้าโปรเซส mshta.exe ผ่าน .NET deserialization การคงอยู่ผ่าน Registry Run key ที่เรียก appT.bat ทุกครั้งที่ผู้ใช้ล็อกอิน และ C2 ที่ dns[.]educationportals[.]biz พอร์ต TCP 5863 และเน้นว่าแม้ขั้นสุดท้ายจะรันในหน่วยความจำ แต่การโจมตียังทิ้งสคริปต์และร่องรอยบนดิสก์ จึงเป็นการติดเชื้อแบบหลายขั้นที่มี payload ในหน่วยความจำ ไม่ใช่การโจมตีแบบไร้ไฟล์ทั้งหมด

วิธีการโจมตี

ไฟล์ DLL ที่ถูกโหลดในขั้นแรกทำหน้าที่เป็น dropper สำหรับองค์ประกอบที่ฝังอยู่ 3 ส่วน ได้แก่ appT.bat ซึ่งเป็นสคริปต์ batch ที่ถูกเรียกผ่าน Windows Registry Run Key เพื่อรัน startT.hta ด้วย mshta.exe โดยไม่ต้องอาศัยการโต้ตอบจากผู้ใช้, startT.hta ซึ่งเป็นขั้นโจมตีรองที่บรรจุเพย์โหลดสุดท้ายในรูปแบบที่อ่านยาก และ commskl.docx ซึ่งเป็นเอกสารหลอก (decoy) โค้ดที่อ่านยากภายใน startT.hta จะรันรูทีนถอดรหัสหลายขั้นเพื่อประกอบเพย์โหลด XAML สองส่วนขึ้นใหม่โดยตรงในหน่วยความจำ

Trellix อธิบายว่าเพื่อเลี่ยงการตรวจจับที่อิงดิสก์ มัลแวร์จะถอดรหัสเพย์โหลดหลักลงในพื้นที่หน่วยความจำชั่วคราว โดยแปลงจากสตริงที่เข้ารหัส Base64 ไปเป็นโปรเซสที่ทำงานในหน่วยความจำผ่านกระบวนการ .NET Deserialization แล้วโหลด DLL ที่ฝังไว้ (“ioluegnt.dll”) แบบ reflective ตัว DLL นี้คือ remote access trojan ชื่อ ReverseRAT ที่ SideCopy ใช้งานมาตั้งแต่ต้นปี 2564 เพื่อดูดข้อมูล รันคำสั่งจากระยะไกล และฝังตัวคงอยู่ในระบบ

ReverseRAT มีความสามารถรวบรวมข้อมูลระบบ รายชื่อซอฟต์แวร์ที่ติดตั้ง จับภาพหน้าจอ ขโมยรหัสผ่านและข้อมูลใน clipboard ทำงานกับไฟล์ รันคำสั่ง ตั้งค่าการฝังตัวผ่าน Registry อัปโหลดไฟล์ และเปิดเซสชัน shell ได้ ทราฟฟิกสั่งการและควบคุม (C2) จะถูกเข้ารหัสด้วยคีย์เข้ารหัสที่ฝังตายไว้ (“NMXIKS09?:709,!~lnsYUS”) และข้อมูลที่เก็บเกี่ยวมาจะถูกส่งออกผ่านพอร์ต 5863 ไปยัง “dns.educationportals[.]biz” ซึ่งชี้ไปยังที่อยู่ IP “45.61.157[.]22”

ผลกระทบ

การที่ SideCopy หันมาโจมตีสถาบันการศึกษาในอินเดียนอกเหนือจากหน่วยงานรัฐและกลาโหม สะท้อนว่ากลุ่มขยายขอบเขตการเก็บข่าวกรองไปยังแวดวงวิชาการและงานวิจัย ซึ่งอาจเป็นแหล่งข้อมูลที่มีคุณค่าเชิงยุทธศาสตร์และมักมีมาตรการป้องกันอ่อนกว่าหน่วยงานความมั่นคง Trellix สรุปว่ากลุ่มนี้ยังคงพัฒนาขั้นตอนการติดเชื้ออย่างมีวินัย โดยเฉพาะการใช้ mshta.exe ในทางที่ผิดอย่างหนักและการทำโค้ดให้อ่านยากหลายชั้น ทำให้ยังเป็นปฏิปักษ์ที่น่ากลัวและปรับตัวได้ต่อความมั่นคงในภูมิภาค

คำแนะนำ

ผู้ดูแลระบบควรเฝ้าระวังและจำกัดการทำงานของ mshta.exe ซึ่งถูกกลุ่มนี้ใช้เป็นเครื่องมือหลัก โดยพิจารณาบล็อกหรือจำกัดการรัน mshta.exe ผ่านนโยบาย application control และตรวจจับการที่ mshta.exe ดึงเนื้อหาจากเซิร์ฟเวอร์ระยะไกล ควรระวังไฟล์ LNK ที่ปลอมไอคอนและนามสกุลซ้อน (เช่น .docx.lnk) ในไฟล์แนบอีเมล ตั้งการตรวจจับการสร้าง Registry Run Key ที่ผิดปกติ และเฝ้าระวังทราฟฟิกขาออกไปยังโดเมนและ IP ที่ระบุใน IoCs รวมถึงการเชื่อมต่อออกผ่านพอร์ต 5863 ที่ไม่ปกติ พร้อมให้ความรู้บุคลากรในสถาบันการศึกษาเรื่องอีเมลสเปียร์ฟิชชิงที่แอบอ้างเป็นเอกสารราชการหรือเอกสารวิชาการ

Indicators of Compromise (IoCs)

หมายเหตุ: ตัวบ่งชี้ทั้งหมด defang แล้ว ([.]) ต้องแปลงกลับก่อนนำไปใช้

แหล่งอ้างอิง

• CSK — ReverseRAT malware: SideCopy Spear-Phishing Campaign
• Trellix — SideCopy Threat Intel: mshta Execution and RAT Deployment
• The Hacker News — SideCopy Broadens India Targeting to Academia With ReverseRAT Spear-Phishing
• GBHackers — SideCopy Hackers Target Indian Organizations With ReverseRAT Malware to Steal Data