สรุปสั้น
นักวิจัยด้านความปลอดภัยค้นพบมัลแวร์ SectopRAT ซึ่งเป็นทั้งแบ็กดอร์หลังการเจาะระบบและตัวขโมยข้อมูล (infostealer) เวอร์ชันใหม่ที่ซ่อนตัวอยู่ภายในซอฟต์แวร์ของแท้จากบริษัทผู้ผลิตอุปกรณ์เสียงดิจิทัลสัญชาติอิตาลี โดยบริษัท Fortinet ระบุในรายงานสัปดาห์นี้ว่า ผู้โจมตีน่าจะฝังโทรจันเข้าถึงระยะไกล (RAT) หลังจากที่แอปพลิเคชันของแท้ถูกติดตั้งบนเครื่องของลูกค้าแล้ว ไม่ได้เกิดจากการเจาะผู้พัฒนาซอฟต์แวร์โดยตรง แคมเปญนี้สะท้อนให้เห็นว่าผู้โจมตีสามารถอาศัยความไว้วางใจที่องค์กรมีต่อแอปพลิเคชันยอดนิยมเพื่อสร้างจุดยึดในระบบ พร้อมเลี่ยงการตรวจสอบด้านความปลอดภัยไปในตัว
นาย Xiaopeng Zhang นักวิจัยจาก FortiGuard Labs ผู้เขียนรายงาน กล่าวว่ายังไม่มีหลักฐานว่าผู้โจมตีจงใจเล็งซอฟต์แวร์ของบริษัทอิตาลีรายนี้โดยเฉพาะ และไม่มีหลักฐานว่าใช้ช่องโหว่ในตัวซอฟต์แวร์เพื่อซ่อนมัลแวร์ เขาอธิบายว่า “เราเชื่อว่าพวกเขาใช้แอปพลิเคชันของแท้เพื่อทำให้มัลแวร์ดูน่าสงสัยน้อยลง โดยดัดแปลงไฟล์ FrameworkBase.dll เพื่อแอบโหลด payload ของ SectopRAT” ทั้งนี้ SectopRAT มีประวัติปลอมตัวเป็นซอฟต์แวร์ของแท้มาก่อน เช่น ตัวติดตั้ง Notion และ Claude Desktop
รายละเอียดข่าว
เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 24 กันยายน 2569 ว่า บริษัท Fortinet ได้เผยแพร่ผลวิเคราะห์มัลแวร์ SectopRAT เวอร์ชันใหม่ที่ถูกฝังไว้ในสำเนาซอฟต์แวร์เสียงที่ถูกดัดแปลง SectopRAT หรือที่รู้จักในอีกชื่อว่า ArechClient2 เป็นมัลแวร์ที่พัฒนาบน .NET และผ่านการทำ obfuscation อย่างหนัก โดยรวมความสามารถในการควบคุมระยะไกลเข้ากับฟังก์ชันขโมยข้อมูลจำนวนมาก ทั้งการขโมย credential ของเบราว์เซอร์ คุกกี้ ไฟล์ และข้อมูลอ่อนไหวอื่น ๆ มัลแวร์ตัวนี้ปรากฏตัวครั้งแรกในต้นปี 2019 และเดินทางมาถึงเครื่องเหยื่อผ่านการโฆษณามุ่งร้าย (malvertising), SEO poisoning, การหลอกแบบ ClickFix และตัวติดตั้งปลอม
รายงานยกตัวอย่างว่า ในปี 2025 บริษัท Elastic Security Labs เคยบันทึกแคมเปญที่ผู้โจมตีใช้ตัวโหลดมัลแวร์ Ghostpulse ส่ง SectopRAT ต่อจากการโจมตีแบบ ClickFix และพบว่ากิจกรรมของ SectopRAT เพิ่มขึ้นอย่างมีนัยสำคัญตลอดปี 2025 ก่อนหน้านั้นในปี 2024 บริษัท AhnLab รายงานว่าพบผู้โจมตีแจกจ่าย SectopRAT ผ่านตัวติดตั้ง Notion ปลอม และล่าสุดบริษัท Bridewell ระบุว่าพบผู้โจมตีส่ง SectopRAT ผ่านแอปพลิเคชัน EarthTime เวอร์ชันที่ถูกฝังโทรจัน
วิธีการโจมตี
ตามข้อมูลของ Fortinet ตัว RAT ถูกเข้ารหัสและฝังไว้ในไฟล์ฐานข้อมูล โดยมีไฟล์ executable และกลไกการโหลด DLL ที่ดูเหมือนของแท้ช่วยเรียกโค้ดมุ่งร้ายให้ทำงาน เมื่อสร้างจุดยึดได้แล้ว มัลแวร์จะเชื่อมต่อไปยังโครงสร้างพื้นฐานที่ผู้โจมตีควบคุมด้วยการสื่อสารที่เข้ารหัส และเปิดให้ผู้ปฏิบัติการมีหลายวิธีในการโต้ตอบกับระบบที่ติดเชื้อ Fortinet ระบุว่าพบคำสั่งที่มัลแวร์ทำงานได้ถึง 29 รูปแบบ รวมถึงการจัดการไฟล์และโปรเซส ดูหน้าจอของเหยื่อ รันคำสั่ง รีสตาร์ตเครื่อง และในภายหลังยังลบส่วนประกอบมุ่งร้ายเพื่อกลบร่องรอยกิจกรรมของตนได้
นอกจากบทบาทควบคุมระยะไกลแล้ว SectopRAT ยังทำหน้าที่เป็นเครื่องมือเก็บรวบรวมข้อมูล โดยค้นหา credential คุกกี้ ข้อมูลการชำระเงินที่บันทึกไว้ และข้อมูลบัญชีอื่น ๆ จากเบราว์เซอร์และแอปพลิเคชันต่าง ๆ เช่น ข้อมูลที่เชื่อมโยงกับโปรแกรมอีเมล บริการเกม และกระเป๋าเงินคริปโต นาย Zhang ระบุว่าความแตกต่างหลักระหว่างเวอร์ชันที่ Fortinet วิเคราะห์กับเวอร์ชันก่อน ๆ นอกเหนือจากกลไกการส่งมอบ อยู่ที่การรับส่งข้อมูลบนเครือข่าย โดยเวอร์ชันก่อนเริ่มต้นด้วยการสื่อสารแบบไม่เข้ารหัสแล้วค่อยเปลี่ยนไปเข้ารหัสหลังการเจรจา แต่เวอร์ชันใหม่นี้เข้ารหัสการสื่อสารด้วยอัลกอริทึม AES ตั้งแต่ต้น
ผลกระทบ
แคมเปญ SectopRAT ล่าสุดตอกย้ำว่าองค์กรจำเป็นต้องให้ความสำคัญกับ “พฤติกรรม” ของแอปพลิเคชัน มากกว่าจะเชื่อใจโดยปริยายเพียงเพราะเป็นซอฟต์แวร์ที่ถูกกฎหมาย นาย Robert Coles ผู้จัดการอาวุโสฝ่ายข่าวกรองภัยคุกคามของบริษัท Black Duck กล่าวว่า “ประเด็นสำคัญไม่ใช่ตัวมัลแวร์ แต่เป็นวิธีการส่งมอบ” เพราะผู้ใช้ถูกฝึกให้หลีกเลี่ยงไฟล์น่าสงสัย แต่กลับมีแนวโน้มเชื่อใจซอฟต์แวร์ที่ถูกกฎหมายมากกว่า เขาเสริมว่าทีมความปลอดภัยควรโฟกัสน้อยลงว่าแอปดูน่าเชื่อถือหรือไม่ แต่โฟกัสมากขึ้นว่าพฤติกรรมของแอปสอดคล้องกับสิ่งที่แอปนั้นควรทำจริงหรือเปล่า
ด้านนาย Len Noe สถาปนิกโซลูชันของบริษัท BeyondTrust ชี้ว่า ไม่ใช่แค่เรื่องว่ามัลแวร์ถูกซ่อนได้แนบเนียนแค่ไหน แต่อยู่ที่ว่ามันได้รับสิทธิ์อะไรบ้างเมื่อมาถึงเครื่อง เขากล่าวว่า “การซ่อนมัลแวร์ไว้ในซอฟต์แวร์ที่น่าเชื่อถือได้ผล เพราะความเชื่อใจที่ได้จากชื่อเสียงคือความเชื่อใจที่ผู้โจมตียืมมาใช้ได้ ซอฟต์แวร์บนเครื่องปลายทางของคุณต้องได้รับความเชื่อใจจากสิ่งที่มันทำและสิ่งที่มันได้รับอนุญาตให้เข้าถึง ไม่ใช่จากชื่อที่เครื่องมือของคุณจำได้”
คำแนะนำ
องค์กรควรใช้แนวทาง zero-trust กับแอปพลิเคชันบนเครื่องปลายทาง โดยเฝ้าติดตามพฤติกรรมการทำงานของซอฟต์แวร์อย่างต่อเนื่อง เช่น การเชื่อมต่อออกไปยังปลายทางแปลกปลอมที่เข้ารหัส การเรียกโหลด DLL ที่ผิดปกติ หรือการเข้าถึงข้อมูล credential และกระเป๋าเงินคริปโต ควรจำกัดสิทธิ์ของแอปพลิเคชันให้เข้าถึงเฉพาะทรัพยากรที่จำเป็นตามหลัก least privilege เพื่อลดความเสียหายหากถูกสวมรอย ควรตรวจสอบความสมบูรณ์ (integrity) ของไฟล์ DLL และไฟล์ประกอบของแอปที่ติดตั้ง รวมถึงระมัดระวังการดาวน์โหลดซอฟต์แวร์จากแหล่งที่ไม่ใช่ช่องทางทางการของผู้พัฒนา และนำ IoC ที่ Fortinet เผยแพร่ไปเฝ้าระวังในระบบ EDR และ SIEM