สรุปสั้น
มัลแวร์ตัวโหลด (loader) ที่ชื่อ Sauron Loader โผล่ในการโจมตีองค์กรในเยอรมนี เปิดทางให้ผู้บุกรุกส่งมัลแวร์เพิ่มเติมเข้าเครื่องเหยื่อ โดยตัวโหลดนี้ไม่จำเป็นต้องเป็นสิ่งแรกที่เหยื่อพบ ในกรณีที่ตรวจสอบพบ มันมาถึงในช่วงท้ายของห่วงโซ่การโจมตีที่สร้างขึ้นจากการหลอกลวงมากกว่าการใช้ช่องโหว่ซอฟต์แวร์ที่เพิ่งเปิดเผย เหยื่อบางรายเจอกลลวงแบบ ClickFix ที่แสดงข้อความปลอมหลอกให้รันคำสั่งอันตราย ขณะที่บางกรณีผู้โจมตีถล่มกล่องอีเมลด้วยสแปมก่อน แล้วโทรเข้ามาปลอมตัวเป็นฝ่ายสนับสนุนไอที สร้างปัญหาขึ้นมาแล้วเสนอทางแก้ปลอม ๆ ทำให้การกระทำที่เป็นอันตรายดูเหมือนความช่วยเหลือ
นักวิเคราะห์จาก DCSO CyTec ระบุตัวมัลแวร์ในการสืบสวนล่าสุดและเชื่อมโยงกับโพสต์ขายในตลาดใต้ดิน โดย DCSO ระบุในรายงานที่แชร์กับ Cyber Security News ว่าเครื่องมือนี้ถูกโฆษณาขายให้อาชญากรที่ใช้ภาษารัสเซีย ผู้ขายอ้างว่ามีข้อจำกัดเรื่องเป้าหมาย แม้ข้อจำกัดดังกล่าวจะไม่ได้ระบุตัวผู้โจมตี สิ่งที่น่ากังวลคือความสามารถของตัวโหลดหลังตั้งหลักในเครื่องได้ ทั้งการดึงและรันโปรแกรมเพิ่มเติม เก็บข้อมูลเกี่ยวกับเครื่องของเหยื่อ และส่งข้อมูลกลับไปยังผู้ควบคุม
รายละเอียดข่าว
เว็บไซต์ Cybersecurity News รายงานเมื่อวันที่ 25 กันยายน พ.ศ. 2569 ว่า นักวิเคราะห์จาก DCSO CyTec พบมัลแวร์ Sauron Loader ในการโจมตีองค์กรเยอรมนี ซึ่งใช้เทคนิค DLL side-loading และการถอดรหัสในหน่วยความจำเพื่อหลบการตรวจจับ
ในกรณีหนึ่งที่วิเคราะห์ ผู้โจมตีใช้ตัวติดตั้ง (installer) ของ Windows วางไฟล์ปฏิบัติการที่ถูกต้องตามกฎหมายไว้ข้าง ๆ ไลบรารีที่เป็นอันตรายสองตัว เมื่อโปรแกรมที่น่าเชื่อถือเริ่มทำงาน มันจะโหลดไลบรารีข้างเคียงที่ผู้โจมตีจัดเตรียมไว้ นี่คือ DLL side-loading ที่ทำให้โปรแกรมที่มองเห็นดูเหมือนทำงานปกติ ขณะที่ไลบรารีที่ถูกเพิ่มเข้ามาเริ่มห่วงโซ่การทำงานที่เป็นอันตราย ไลบรารีที่เป็นอันตรายตัวแรกบรรจุโค้ดหลักของตัวโหลดในรูปแบบเข้ารหัส จากนั้นเรียกไลบรารีตัวที่สองซึ่งถอดรหัสโค้ดนั้นโดยตรงในหน่วยความจำของเครื่องแล้วส่งการควบคุมให้ การเก็บโค้ดที่ทำงานไว้ให้ซ่อนอยู่จนกว่าจะรันช่วยให้การสแกนไฟล์เห็นสิ่งผิดปกติได้น้อยลง และมัลแวร์ยังหน่วงเวลาระหว่างการถอดรหัส ซึ่งนักวิจัยเชื่อว่าอาจตั้งใจขัดขวางการวิเคราะห์อัตโนมัติ
ไลบรารีตัวที่สองยังสร้าง scheduled task เพื่อเรียกตัวโหลดขึ้นมาทำงานซ้ำเป็นระยะ เมื่อ Sauron Loader ทำงานแล้ว มันจะอ่านไฟล์คอนฟิกที่ซ่อนอยู่เพื่อรู้ว่าต้องเชื่อมต่อไปที่ใดและทำงานอย่างไร ลงทะเบียนเครื่องที่ติดเชื้อพร้อมรายละเอียดอย่างชื่อเครื่อง ผู้ใช้ และเวอร์ชัน Windows แล้วรอรับคำสั่ง ทราฟฟิกใช้คำขอ HTTPS ที่เข้ารหัสและเปลี่ยน path ของเว็บไปเรื่อย ๆ ทำให้คำสั่งจริงถูกมองเห็นจากทราฟฟิกเครือข่ายได้ยาก ผู้ควบคุมสามารถสั่งให้ดาวน์โหลดไฟล์เพิ่มโดยตรงหรือผ่านเซิร์ฟเวอร์ควบคุม รองรับทั้งไฟล์ปฏิบัติการ ไลบรารี ตัวติดตั้ง สคริปต์ และ payload ประเภทอื่น อีกทั้งยังจับภาพหน้าจอและส่งกลับเป็นชิ้นเล็ก ๆ ได้
วิธีการโจมตี
จุดเด่นของ Sauron Loader คือการผสมเทคนิคหลบเลี่ยงหลายชั้นเข้ากับวิศวกรรมสังคม ในเชิงเทคนิค มันอาศัย DLL side-loading โดยวางไฟล์ปฏิบัติการที่ถูกต้องคู่กับไลบรารีอันตราย ให้โปรแกรมที่น่าเชื่อถือเป็นตัวโหลดโค้ดร้ายแทน จากนั้นถอดรหัสโค้ดหลักในหน่วยความจำ (in-memory decryption) เพื่อไม่ให้โค้ดที่ทำงานปรากฏบนดิสก์ให้สแกนเจอ พร้อมตั้ง scheduled task เรียกซ้ำเพื่อคงการเข้าถึง การรวมโปรแกรมที่น่าเชื่อถือ โค้ดที่ถูกซ่อน และการเรียกซ้ำเข้าด้วยกัน ทำให้ผู้โจมตีมีหลายโอกาสในการคงการเข้าถึงโดยไม่มีไฟล์อันตรายที่ยืนอยู่โดด ๆ ให้ตรวจจับ
ในเชิงวิศวกรรมสังคม ผู้โจมตีใช้ทั้งกลลวง ClickFix ที่หลอกให้เหยื่อรันคำสั่งเอง และเทคนิคถล่มอีเมลสแปมแล้วโทรปลอมเป็นฝ่ายไอทีเพื่อขอเปิดเซสชันช่วยเหลือระยะไกล ในเหตุการณ์ Sauron ที่สืบสวนกรณีหนึ่ง ผู้โทรสั่งให้เป้าหมายเริ่มเซสชันช่วยเหลือระยะไกล นักวิจัยยังพบตัวอย่างที่เกี่ยวข้องซึ่งมีพฤติกรรมหลักเหมือนกันแต่ใช้โครงสร้างพื้นฐานผู้ควบคุมต่างกัน หมายความว่าการบล็อกเซิร์ฟเวอร์เดียวหรือจดจำตัวติดตั้งแบบเดียวจะไม่ครอบคลุมมัลแวร์ตระกูลนี้ทุกกรณี
ผลกระทบ
Sauron Loader ทำหน้าที่เป็นแพลตฟอร์มส่งมอบมัลแวร์มากกว่าจะเป็นหลักฐานว่ามัลแวร์ระยะหลังตัวใดตัวหนึ่งได้ทำงานในทุกเหตุการณ์ ความสามารถในการดึงและรัน payload หลากหลายประเภท เก็บข้อมูลเครื่อง และจับภาพหน้าจอ ทำให้เมื่อผู้โจมตีตั้งหลักได้ก็สามารถต่อยอดไปสู่การส่งแรนซัมแวร์ ตัวขโมยข้อมูล หรือมัลแวร์อื่นได้ตามต้องการ การที่เครื่องมือนี้ถูกขายในตลาดใต้ดินและมีหลายตัวอย่างที่ใช้โครงสร้างพื้นฐานต่างกัน บ่งชี้ว่าอาจถูกใช้โดยผู้โจมตีหลายกลุ่ม การผสมเทคนิคหลบเลี่ยงเข้ากับการหลอกผ่านฝ่ายสนับสนุนไอทีปลอม ยังทำให้แนวป้องกันที่พึ่งการตรวจไฟล์อย่างเดียวไม่เพียงพอ
คำแนะนำ
- ตรวจสอบการติดต่อจากฝ่ายสนับสนุนไอทีที่ไม่คาดคิดผ่านช่องทางภายในที่เชื่อถือได้ โดยเฉพาะหลังเกิดเหตุอีเมลถูกถล่มด้วยสแปม และห้ามรันคำสั่งที่ถูกเสนอเป็น “วิธีแก้ด่วน”
- เฝ้าระวังกิจกรรมตัวติดตั้งที่ผิดปกติ การโหลดไลบรารีที่ผิดปกติโดยโปรแกรมที่ปกติถูกต้อง scheduled task ที่เพิ่งถูกสร้างขึ้นซ้ำ ๆ และการเชื่อมต่อออกที่เข้ารหัสโดยอธิบายไม่ได้
- อบรมผู้ใช้ให้รู้เท่าทันกลลวง ClickFix และการหลอกผ่านฝ่ายสนับสนุนไอทีปลอม
- ใช้เครื่องมือตรวจจับเชิงพฤติกรรม (EDR) และนำ IoC ด้านล่างไปใช้เฝ้าระวังก่อนมี payload ระยะหลังเข้ามา
Indicators of Compromise (IoCs)
หมายเหตุ: ที่อยู่ IP และโดเมนถูก defang โดยเจตนา (เช่น
[.]) เพื่อป้องกันการเชื่อมโยงหรือเข้าถึงโดยไม่ตั้งใจ ให้ re-fang เฉพาะในแพลตฟอร์มข่าวกรองภัยคุกคามที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM
| ประเภท | ตัวบ่งชี้ | คำอธิบาย |
|---|---|---|
| SHA-256 | ee727d639eaa4ee2e0d7cafbe496e14aaac8df0955d9fb599f2c11dfa1d0f8f2 | ตัวติดตั้ง MSI ที่วิเคราะห์ |
| SHA-256 | 194d7e8870ff783ce1e4e4e3015c895cc67ae52fd5e063c89dd1c069400d3991 | ไฟล์ปฏิบัติการที่ถูกต้องที่ใช้ side-loading |
| SHA-256 | 5606afdc5191d42f38d3c4f1692eda0a629c88810e29bfe78528733284ad1bf8 | ไลบรารีตัวโหลดที่เป็นอันตราย |
| SHA-256 | 6551293e996d19755ba497f50b30a18c178f0d6e2a73b29ae742b8171e2985b7 | ไลบรารีถอดรหัสและฝังตัวที่เป็นอันตราย |
| File Name | rnpkeys.exe | ไฟล์ปฏิบัติการที่ถูกต้องที่ตัวติดตั้งวางไว้ |
| File Name | rnp.dll | ไลบรารีอันตรายที่ถูก side-load |
| File Name | tdwp.dll | ไลบรารีถอดรหัสและฝังตัวที่เป็นอันตราย |
| Directory | C:\ProgramData\keyroll | ตำแหน่งฮาร์ดโค้ดสำหรับไฟล์ที่ถูกแตกออกมา |
| Scheduled task | keyroll | task ที่เรียกตัวโหลดขึ้นมาทำงานซ้ำ |
| C2 URL | https[://]api[.]namsb-show[.]com | ปลายทางเซิร์ฟเวอร์ควบคุม |
| C2 URL | https[://]api[.]quinlantours[.]com | ปลายทางเซิร์ฟเวอร์ควบคุม |
| C2 URL | https[://]api[.]virtual-magic[.]com | ปลายทางเซิร์ฟเวอร์ควบคุม |
| C2 URL | https[://]api[.]lahaina-shores[.]com | ปลายทางเซิร์ฟเวอร์ควบคุม |
แหล่งอ้างอิง
- Sauron Loader Malware Uses DLL Side-Loading and In-Memory Decryption to Evade Detection — Cybersecurity News
- DCSO CyTec Blog — DCSO CyTec