Lunex Stealer ฉวยไดรเวอร์ AMD ที่มีช่องโหว่มาปิดตาระบบความปลอดภัย — เปิดโฉมแพลตฟอร์ม MaaS เบื้องหลังอินโฟสตีลเลอร์ Psychedelic

สรุปสั้น

บริษัท Ontinue เปิดเผยว่าอินโฟสตีลเลอร์ Psychedelic ที่เคยพบว่าแพร่ผ่านเว็บยูเครนที่ถูกแฮ็กด้วยกล ClickFix นั้น แท้จริงเป็นเพียงส่วนหนึ่งของแพลตฟอร์มมัลแวร์ให้เช่า (Malware-as-a-Service หรือ MaaS) ที่ใหญ่กว่าซึ่งมีชื่อว่า Lunex โดยนักวิจัยอธิบายว่าห่วงโซ่การโจมตีแบ่งเป็น 4 ขั้น เริ่มจากหน้า CAPTCHA ปลอมไปจนถึงการวาง C2 agent ที่ทำงานได้เต็มรูปแบบ จุดที่โดดเด่นและพบได้ไม่บ่อยคือมัลแวร์ใช้เทคนิค Bring Your Own Vulnerable Driver (BYOVD) เป็นด่านนำก่อนปล่อยตัวขโมยข้อมูล โดยฉวยไดรเวอร์ระดับเคอร์เนลของ AMD Radeon Software (PDFWKRNL.sys) ที่มีช่องโหว่ CVE-2023-20598 มายกระดับสิทธิ์และปิดการมองเห็นของกระบวนการด้านความปลอดภัย

Psychedelic ถูกออกแบบมาให้ขโมยรหัสผ่านและข้อมูลจากเบราว์เซอร์ตระกูล Chromium ถึง 7 ตัว รวมถึงข้อมูลกระเป๋าเงินคริปโตทั้งแบบเดสก์ท็อปและส่วนขยายเบราว์เซอร์ ตั้งการคงอยู่ผ่าน Registry Run key และ scheduled task พร้อมทั้งลงทะเบียน Native Messaging Host (NMH) ที่เขียนด้วย PowerShell เพื่อเปิดช่องเข้าถึงระบบไฟล์ของเหยื่ออย่างต่อเนื่อง จากการวิเคราะห์ของ Ontinue พบว่าแพลตฟอร์ม Lunex ขยายตัวอย่างรวดเร็วจากแผงควบคุม 6 จุดในเดือนมิถุนายน 2569 เป็น 28 จุดกระจายใน 13 ประเทศ สะท้อนว่ามัลแวร์นี้ถูกขายและใช้งานโดยผู้ก่อภัยหลายกลุ่ม ไม่ใช่ผู้ปฏิบัติการรายเดียว

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 26 กันยายน พ.ศ. 2569 ว่า บริษัท Ontinue ได้เผยแพร่รายงานเชิงเทคนิคที่เชื่อมโยง Psychedelic Stealer เข้ากับแพลตฟอร์ม MaaS ชื่อ Lunex ซึ่งก่อนหน้านี้บริษัท Arctic Wolf เคยรายงานเฉพาะแคมเปญ ClickFix ที่เจาะเว็บธุรกิจยูเครนเพื่อปล่อยมัลแวร์ตัวนี้ (ดูโพสต์หมายเลข 192) นาย Rhys Downing นักวิจัยภัยคุกคามของ Ontinue ระบุว่า “ห่วงโซ่การโจมตีเริ่มจากหน้า CAPTCHA ปลอม และจบลงด้วยการวางเอเจนต์ C2 ที่ทำงานได้เต็มรูปแบบ ตัวขโมยข้อมูลจะดึง credential และข้อมูลจากเบราว์เซอร์ตระกูล Chromium 7 ตัว ขโมยกระเป๋าเงินคริปโต และสร้างการเข้าถึงระบบไฟล์ระยะไกลแบบคงอยู่ผ่าน Native Messaging Host ที่ใช้ PowerShell ซึ่งถูกติดตั้งไว้ในเบราว์เซอร์ของเหยื่อ”

การติดเชื้อเริ่มจากตัวติดตั้ง MSI ปลอมที่ถูกส่งผ่านกล ClickFix เพื่อจุดชนวนการทำงานหลายขั้น รวมถึงการปล่อยตัวโหลดชื่อ LunexLoader ที่ออกแบบมาข้าม User Account Control (UAC) บน Windows ด้วย COM object ชื่อ CMSTPLUA จากนั้นจึงใช้เทคนิค BYOVD เพื่อหลบเลี่ยงการตรวจจับ ก่อนดาวน์โหลด payload ตัวขโมยข้อมูลในขั้นสุดท้าย นาย Downing ให้สัมภาษณ์กับ The Hacker News ว่า “ก่อนที่ตัวขโมยข้อมูลจะถูกปล่อย มัลแวร์จะใช้ไดรเวอร์ที่ถูกกฎหมายแต่มีช่องโหว่มาปิดเครื่องมือความปลอดภัยบนเครื่องของเหยื่อ เมื่อการป้องกันเหล่านั้นถูกปิดลง ตัวขโมยข้อมูลจึงถูกนำมาวางเพื่อดูดรหัสผ่านเบราว์เซอร์ คุกกี้เซสชัน และข้อมูลกระเป๋าเงินคริปโต”

Ontinue ยังชี้ว่าทั้ง Psychedelic Stealer และ LunexStealer หมายถึงองค์ประกอบเดียวกันของแพลตฟอร์ม MaaS โดย “Psychedelic” คือชื่อไฟล์มัลแวร์ที่ทำงานบนเครื่องเหยื่อ ส่วน “Lunex” คือชื่อแพลตฟอร์มเบื้องหลังที่ถูกขายให้กลุ่มอาชญากรหลายกลุ่ม การอ้างอิงถึง Lunex ครั้งแรกสุดในวงการความปลอดภัยย้อนไปถึงเดือนมิถุนายน 2569 เมื่อนาย Luke Wilkinson จาก BlueTeamCool ระบุแผงสั่งการและควบคุม (C2) ของ Lunex Stealer ที่ยังทำงานอยู่ 6 จุดในสหรัฐฯ ฟินแลนด์ เยอรมนี เนเธอร์แลนด์ และยูเครน

วิธีการโจมตี

หัวใจของห่วงโซ่นี้คือการใช้ BYOVD ที่ Ontinue ระบุว่าพบไม่บ่อยนักในฐานะด่านนำก่อน payload ปลายทางอย่างอินโฟสตีลเลอร์ Lunex ฉวยไดรเวอร์ระดับเคอร์เนลของ AMD Radeon Software ชื่อ PDFWKRNL.sys ซึ่งมีช่องโหว่ CVE-2023-20598 มายกระดับสิทธิ์และทำให้กระบวนการที่เกี่ยวกับความปลอดภัย “ตาบอด” ทั้งที่ยังคงทำงานอยู่ Ontinue อธิบายว่าแทนที่จะสั่งปิด (terminate) โปรเซสความปลอดภัยแบบตรง ๆ มัลแวร์กลับใช้วิธีลบ kernel callback ตามคำแนะนำจากไฟล์ PDB ซึ่งเป็นแนวทางที่เงียบกว่าและทำให้ผลิตภัณฑ์ความปลอดภัยยังทำงานต่อไปแต่มองไม่เห็นพฤติกรรมของมัลแวร์ ที่น่ากังวลคือการทดสอบยืนยันแล้วว่าทั้ง HVCI และ Microsoft Vulnerable Driver Blocklist เวอร์ชันปัจจุบันไม่สามารถกันไม่ให้ไดรเวอร์ PDFWKRNL.sys รุ่นที่ใช้ในห่วงโซ่นี้โหลดเข้าระบบได้

เมื่อถูกรัน LunexStealer จะติดต่อแผง Lunex ที่ 193.178.159[.]128 ผ่าน HTTP เพื่อขโมยข้อมูลอย่างครอบคลุม ได้แก่ การดูด credential จาก Google Chrome, Microsoft Edge, Brave, Yandex Browser, Opera, Opera GX และ Vivaldi การค้นหากระเป๋าเงินคริปโตแบบเดสก์ท็อป 5 ตัว (Bitcoin Core, Litecoin, Exodus, Atomic Wallet และ Electrum) และส่วนขยายเบราว์เซอร์ 4 ตัว (MetaMask, MetaMask Legacy, OKX Wallet และ SafePal Wallet) จากนั้นตั้งการคงอยู่ด้วย Registry Run key, scheduled task ที่ซ่อนไว้ชื่อ “psychedelicloveUtils” และลงทะเบียน Native Messaging Host กับเบราว์เซอร์

องค์ประกอบที่ทำให้ Lunex อันตรายเป็นพิเศษคือ Native Messaging Host ซึ่ง Ontinue ระบุว่าถูกหนุนหลังด้วยสคริปต์ PowerShell ขนาด 13,200 ไบต์ที่ฝังอยู่ในส่วน .rdata และทำงานภายใต้บริบทของโปรเซส Chrome โดย NMH นี้จะอยู่รอดแม้ไฟล์ตัวขโมยข้อมูลถูกลบ ระบบรีบูต หรือเบราว์เซอร์ถูกรีสตาร์ต และรองรับคำสั่งจัดการระบบไฟล์ถึง 6 แบบ ได้แก่ list_drives (ไล่ไดรฟ์ C ถึง Z), list_dir (แสดงเนื้อหาไดเรกทอรีพร้อมขนาดไฟล์), read_file (อ่านไฟล์ใด ๆ ทีละก้อน 512 KB ได้ถึง 524 MB), write (เขียนข้อมูลลงไฟล์ใด ๆ), download (ดาวน์โหลดไฟล์ออกจากเครื่อง) และ run (รันโปรแกรมใด ๆ) นอกจากนี้ LunexStealer ยัง inject ส่วนขยาย Chrome ที่เป็นอันตรายด้วยการแก้ไข Chrome Secure Preferences และประกาศสิทธิ์กว้างขวางทั้ง cookies, history, bookmarks, tabs, storage, proxy, scripting, declarativeNetRequest และทุก URL แบบ HTTP/HTTPS ทำให้ผู้โจมตีมองเห็นและควบคุมกิจกรรมทั้งหมดในเบราว์เซอร์ของเหยื่อ

การวิเคราะห์แผง Lunex ชี้ว่าผู้พัฒนาน่าจะพูดภาษารัสเซีย และพบแผงที่ไม่ซ้ำกันถึง 28 จุดใน 13 ประเทศ ซึ่งขยายตัวมากจากเดือนมิถุนายน 2569 โดยโฮสต์อยู่ในรัสเซีย สหรัฐฯ สหราชอาณาจักร เนเธอร์แลนด์ ฝรั่งเศส เยอรมนี ตุรกี และบังกลาเทศ ทั้งนี้แผงหนึ่งที่โฮสต์ในตุรกีถูกพบว่าผูกกับโดเมนฟิชชิง 5 รายการ บ่งชี้ว่าชุดความสามารถของแพลตฟอร์มขยายเกินกว่าการขโมย credential ไปสู่การปลอมแบรนด์และฟิชชิงด้วย

ผลกระทบ

การที่ Lunex ใช้ BYOVD เป็นด่านนำก่อนปล่อยอินโฟสตีลเลอร์นับเป็นสัญญาณที่น่ากังวล เพราะแสดงว่าเทคนิคระดับเคอร์เนลที่เคยสงวนไว้กับมัลแวร์ระดับสูงกำลังถูกนำมาใช้ในตลาด MaaS ที่ใครก็เช่าได้ วิธีลบ kernel callback แทนการปิดโปรเซสทำให้ EDR และแอนติไวรัสยังแสดงสถานะว่าทำงานปกติ แต่แท้จริงมองไม่เห็นพฤติกรรมของมัลแวร์ ซึ่งทำให้ทีมความปลอดภัยตรวจจับได้ยากขึ้นมาก ยิ่งเมื่อ HVCI และ Vulnerable Driver Blocklist ปัจจุบันยังกันไดรเวอร์ตัวนี้ไม่ได้ ช่องว่างนี้จึงเปิดให้ผู้โจมตีที่เช่า Lunex นำไปใช้ได้ทันที นอกจากนี้ Native Messaging Host ที่อยู่รอดแม้ลบไฟล์หลักและรีบูต ยังเปลี่ยนการติดเชื้อจากการขโมยข้อมูลครั้งเดียวให้กลายเป็นการเข้าถึงระบบไฟล์ระยะไกลแบบถาวร ทำให้เครื่องที่ติดกลายเป็นหัวสะพานสำหรับการโจมตีขั้นต่อไป และการขยายตัวเป็น 28 แผงใน 13 ประเทศยังยืนยันว่าฐานผู้ใช้มัลแวร์นี้กำลังเติบโต

คำแนะนำ

• ตรวจสอบและบล็อกการโหลดไดรเวอร์ PDFWKRNL.sys ที่มีช่องโหว่ CVE-2023-20598 ด้วย Application Control หรือ WDAC และติดตามแนวทางแก้ไขจาก AMD Security Bulletin AMD-SB-6009
• อย่านำคำสั่งที่คัดลอกจากหน้าเว็บ (โดยเฉพาะหน้าอ้างว่าเป็น CAPTCHA หรือการยืนยัน Cloudflare) ไปวางและรันในกล่อง Windows Run หรือ Terminal ซึ่งเป็นจุดเริ่มของกล ClickFix
• เฝ้าระวังการเรียก msiexec.exe และ PowerShell ที่ดึงไฟล์จากอินเทอร์เน็ต การใช้ CMSTPLUA เพื่อข้าม UAC และ scheduled task ผิดปกติชื่อ “psychedelicloveUtils”
• ตรวจสอบเบราว์เซอร์หา Native Messaging Host และส่วนขยายที่ถูก inject โดยไม่ได้รับอนุญาต รวมถึงความผิดปกติของไฟล์ Chrome Secure Preferences
• อย่าเชื่อสถานะ “ทำงานปกติ” ของ EDR เพียงอย่างเดียว ควรใช้การตรวจสอบเชิงพฤติกรรมและ telemetry ระดับเครือข่ายประกอบ และบล็อกตัวบ่งชี้ในตาราง IoC ด้านล่าง

Indicators of Compromise (IoCs)

หมายเหตุ: ที่อยู่ IP และโดเมนถูก defang ไว้ (เช่น [.]) เพื่อป้องกันการเชื่อมต่อโดยไม่ตั้งใจ ให้ re-fang เฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM เท่านั้น

แหล่งอ้างอิง

• Lunex Stealer Abuses AMD Driver to Disable Security Monitoring and Steal Browser Credentials — The Hacker News
• Lunex Unmasked: A New Information Stealer Deployed Through BYOVD — Ontinue
• AMD Security Bulletin AMD-SB-6009 — AMD