สรุปสั้น

ทีมวิจัยและวิเคราะห์ระดับโลก (GReAT) ของบริษัท Kaspersky เปิดเผยแคมเปญมัลแวร์หลายสเตจ (multi-stage) ตัวใหม่ที่ออกแบบมาโจมตีทั้งผู้ใช้ทั่วไปและองค์กร โดยอาศัยการปลอมตัวเป็นไฟล์ torrent ของภาพยนตร์ยอดนิยมเป็นเหยื่อล่อ หนึ่งในนั้นคือภาพยนตร์เรื่อง The Odyssey กลไกการแพร่กระจายเกิดจากคลังไฟล์ torrent สาธารณะที่ได้รับความนิยมแห่งหนึ่งถูกยึดและใช้เป็นช่องทางส่งมอบ payload ไปยังเหยื่อ แคมเปญนี้เคลื่อนไหวมาตั้งแต่อย่างน้อยกลางเดือนสิงหาคมและยังดำเนินอยู่ต่อเนื่อง

จนถึงขณะนี้พบผู้ตกเป็นเหยื่อแล้วหลายร้อยรายในหลายประเทศ ทั้งรัสเซีย ตุรกี ญี่ปุ่น เคนยา ยูกันดา โคลอมเบีย รวมถึงหลายประเทศในยุโรปอย่างสเปน เนเธอร์แลนด์ เบลเยียม และเยอรมนี ส่วนเหยื่อที่ระบุตัวได้ครอบคลุมองค์กรในภาคธุรกิจ หน่วยงานรัฐ ไอที ที่ปรึกษา ค้าปลีก ขนส่ง และเกษตรกรรม จุดที่ทำให้แคมเปญนี้น่าจับตาเป็นพิเศษคือการผสมเหยื่อล่อธรรมดาเข้ากับการออกแบบเชิงเทคนิคที่ซับซ้อน ทั้งความสามารถหลบเลี่ยงการตรวจจับ การฝังตัวถาวร และการใช้บล็อกเชน Solana ในการซ่อนโครงสร้างสั่งการ (command-and-control)

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 21 กันยายน 2569 ว่า ทีม GReAT ของบริษัท Kaspersky ได้เปิดโปงมัลแวร์สายพันธุ์ใหม่ที่ไม่เคยพบมาก่อน ซึ่งกระจายผ่านเครือข่าย torrent tracker โดยปลอมตัวเป็นไฟล์ภาพยนตร์ยอดนิยม การโจมตีถูกวางเป็นเฟรมเวิร์กหลายสเตจที่ประกอบด้วยองค์ประกอบหลายส่วนทำงานร่วมกันในแต่ละช่วงของการบุกรุก

ในสเตจแรก มัลแวร์ใช้ loader ที่สามารถตรวจจับ sandbox ของโปรแกรมแอนติไวรัส ซึ่งเป็นสภาพแวดล้อมทดสอบแบบแยกส่วนที่ผลิตภัณฑ์ความปลอดภัยใช้ตรวจไฟล์ต้องสงสัยอย่างปลอดภัย เมื่อพบว่าตนกำลังถูกวิเคราะห์ มัลแวร์จะหลบเลี่ยงการตรวจจับหรือขัดขวางการสืบสวนต่อ เมื่อทำงานบนเครื่องเหยื่อได้แล้ว มัลแวร์จะติดตั้งโมดูลเพิ่มเติมที่ขยายความสามารถออกไป ทั้งการฝังตัวถาวรเพื่อให้อยู่รอดหลังรีบูตแม้จะถูกสั่งหยุดการทำงานไปแล้ว การ bypass User Account Control (UAC) เพื่อยกระดับสิทธิ์เป็นผู้ดูแลระบบบน Windows โดยไม่ปรากฏหน้าต่างเตือนตามปกติ และท้ายที่สุดคือการเปิดช่องให้ผู้โจมตีเข้าถึงเครื่องที่ถูกยึดจากระยะไกล

จุดที่โดดเด่นในเชิงเทคนิคคือ การดึงที่อยู่ของเซิร์ฟเวอร์สั่งการ (C2) ผ่านบล็อกเชน Solana ซึ่งทำให้ผู้โจมตีมีวิธีคงการควบคุมโครงสร้างพื้นฐานที่ทนทานกว่าเดิม และทำให้การขัดขวางด้วยการบล็อกหรือปิดเซิร์ฟเวอร์ทำได้ยากขึ้นมาก นาย Konstantin Isakov ผู้เชี่ยวชาญด้านความปลอดภัยของ Kaspersky GReAT ระบุว่า แคมเปญนี้น่าสนใจตรงที่รวมเหยื่อล่อที่พบได้ทั่วไปเข้ากับการออกแบบเชิงเทคนิคที่ซับซ้อน และเตือนว่าผู้ใช้ควรระมัดระวังไฟล์ที่ดาวน์โหลดจากแหล่งที่ไม่เป็นทางการเป็นพิเศษ เพราะแม้แต่คอนเทนต์บันเทิงที่ดูไม่มีพิษภัยก็อาจเป็นพาหะนำการบุกรุกได้

วิธีการโจมตี

มัลแวร์ทำงานเป็นเฟรมเวิร์กหลายสเตจ เริ่มจาก loader ที่มีความสามารถตรวจจับ sandbox ของแอนติไวรัสเพื่อประเมินว่าตนกำลังถูกวิเคราะห์อยู่หรือไม่ หากพบว่าอยู่ในสภาพแวดล้อมวิเคราะห์ ก็จะหลบเลี่ยงหรือขัดขวางการตรวจสอบ

เมื่อผ่านขั้นตรวจสอบและทำงานบนเครื่องเหยื่อได้ มัลแวร์จะปล่อยโมดูลเพิ่มเติมเพื่อ (1) ฝังตัวถาวรให้อยู่รอดข้ามการรีบูต (2) bypass UAC เพื่อยกสิทธิ์เป็นผู้ดูแลระบบบน Windows โดยไม่กระตุ้นหน้าต่างเตือน และ (3) เปิดช่องให้ควบคุมเครื่องจากระยะไกล ส่วนการติดต่อเซิร์ฟเวอร์ C2 นั้นมัลแวร์ไม่ได้ฝังที่อยู่ไว้ตรง ๆ แต่ดึงที่อยู่จากบล็อกเชน Solana ซึ่งเป็นเทคนิคที่ทำให้โครงสร้างสั่งการทนต่อการ takedown มากกว่าการฝัง C2 แบบเดิม เพราะการบล็อกโดเมนหรือไอพีเดียวไม่เพียงพอที่จะตัดการติดต่อ

ผลกระทบ

แคมเปญนี้กระทบเป็นวงกว้างเพราะใช้ torrent หนังดังเป็นเหยื่อล่อ ซึ่งเพิ่มโอกาสที่ผู้ใช้ทั่วไปจะดาวน์โหลดมาโดยไม่ทันระวัง ขณะเดียวกันเหยื่อที่ระบุตัวได้ก็รวมถึงองค์กรในหลายภาคส่วน ตั้งแต่ภาคธุรกิจ หน่วยงานรัฐ ไอที ที่ปรึกษา ค้าปลีก ขนส่ง ไปจนถึงเกษตรกรรม สะท้อนว่าเครื่องส่วนตัวที่ถูกใช้งานปะปนกับงานองค์กรสามารถกลายเป็นจุดเริ่มต้นของการบุกรุกได้

การใช้บล็อกเชน Solana ซ่อน C2 ทำให้การตอบสนองด้วยวิธีดั้งเดิมอย่างการบล็อกโดเมนหรือไอพีมีประสิทธิภาพลดลง ทีมรับมือจึงต้องพึ่งการตรวจจับพฤติกรรมบนเอนด์พอยต์มากขึ้น อีกทั้งแคมเปญยังดำเนินอยู่และเคลื่อนไหวมาตั้งแต่กลางเดือนสิงหาคม จึงมีความเสี่ยงที่เหยื่อรายใหม่จะเพิ่มขึ้นต่อเนื่อง

คำแนะนำ

Kaspersky แนะนำให้ผู้ใช้ติดตั้งเกมและซอฟต์แวร์จากแหล่งทางการหรือเว็บไซต์ที่น่าเชื่อถือเท่านั้น หลีกเลี่ยงไฟล์จากแหล่งที่ไม่เป็นทางการ และไม่ปิดแอนติไวรัสหรือเครื่องมือความปลอดภัยเพื่อดาวน์โหลดไฟล์ใด ๆ เด็ดขาด

สำหรับองค์กร ควรกำหนดแนวปฏิบัติที่ชัดเจนเรื่องการใช้ซอฟต์แวร์จากบุคคลที่สามบนอุปกรณ์ที่ใช้ทำงาน วางระบบป้องกันที่ให้การมองเห็นภัยคุกคามแบบเรียลไทม์พร้อมความสามารถ EPP/EDR/XDR เพื่อตรวจจับพฤติกรรมผิดปกติบนเอนด์พอยต์ และควรมีข้อมูล threat intelligence ประกอบการสืบสวน หากองค์กรขาดบุคลากรเชี่ยวชาญ การใช้บริการ Compromise Assessment หรือ Managed Detection and Response เป็นทางเลือกที่ช่วยครอบคลุมวงจรการจัดการเหตุการณ์ได้

แหล่งอ้างอิง