สรุปสั้น
หน้าดาวน์โหลดซอฟต์แวร์ปลอมกำลังล่อผู้ใช้ Windows เข้าสู่แคมเปญมัลแวร์ที่เชื่อมโยงกับกลุ่ม Silver Fox โดยหน้าเหล่านี้เลียนแบบผู้ผลิตซอฟต์แวร์ที่คุ้นเคยและแจกตัวติดตั้งที่ทำให้เครื่องที่ติดเชื้อเปิดช่องให้ผู้โจมตีเข้าถึงต่อเนื่อง บริษัท Microsoft ระบุว่าพบการบุกรุกในหลายอุตสาหกรรมโดยกระทบผู้ใช้ที่พูดภาษาจีนเป็นหลัก และประเมินด้วยความมั่นใจปานกลางว่าแคมเปญตัวติดตั้งปลอมนี้สอดคล้องกับกลุ่ม Silver Fox หรือที่เรียกอีกชื่อว่า Yinhu แต่ยังไม่ระบุว่าเป็นกลุ่มที่รัฐหนุนหลัง ผู้โจมตีอาศัยพฤติกรรมง่าย ๆ ของผู้ใช้ที่ค้นหาแอปพลิเคชัน เห็นแบรนด์ที่จำได้ แล้วคลิกดาวน์โหลด ขณะเดียวกันนักวิจัยที่ Pelagos Intel ระบุอีกสายการโจมตีที่แยกต่างหาก ซึ่งใช้ข้อความ WhatsApp ธีมการเงินส่งไปยังผู้รับในมาเลเซีย โดยไฟล์แนบบรรจุโปรแกรมที่ลงลายเซ็นและไลบรารีที่ไม่ได้ลงลายเซ็น อย่างไรก็ตาม การค้นพบนี้ยังไม่ยืนยันว่าปฏิบัติการ WhatsApp ใช้เว็บไซต์ปลอมเดียวกัน
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 29 กันยายน 2569 อ้างอิงรายงานของ Microsoft และ Pelagos Intel ว่ากลุ่มที่เชื่อมโยงกับ Silver Fox สร้างเว็บไซต์ดาวน์โหลดซอฟต์แวร์ปลอมที่คัดลอกหน้าตาของเว็บดาวน์โหลดจริง ทั้งหน้าของเบราว์เซอร์ เครื่องมือความปลอดภัย และยูทิลิตีทั่วไป Microsoft ติดตามผู้เข้าชมจากหน้าปลอมไปยังโฮสต์ดาวน์โหลดที่เสิร์ฟไฟล์ ZIP โดยพบว่า archive สองชุดที่ใช้ชื่อเดียวกันถูกดาวน์โหลดห่างกันราว 69 วินาทีแต่มีเนื้อหาต่างกัน Microsoft ระบุว่า archive สามารถถูกสร้างใหม่ได้ทุกครั้งที่มีการร้องขอ ในขณะที่ชื่อและที่อยู่ดาวน์โหลดยังคงเดิม ทำให้การใช้ค่าแฮชของ archive เพียงค่าเดียวเป็นวิธีที่ไม่ดีในการจดจำสำเนาทุกชุด แต่ก็ไม่ใช่หลักฐานว่าเว็บไซต์เจาะจงหลอกลวงนักวิจัยความปลอดภัยแบบเลือกเป้า เมื่อเปิด archive ขึ้นมา มันจะรัน wrapper ที่วางโค้ดอันตรายไว้ในโฟลเดอร์ Windows ที่ตั้งชื่อแบบสุ่ม อีกเส้นทางหนึ่งที่พบทำงานผ่าน Windows Installer ซึ่งเป็นองค์ประกอบของระบบ ผู้ใช้ที่คาดหวังการติดตั้งตามปกติจึงอาจพลาดโปรแกรมส่วนเกินที่เริ่มทำงานอยู่เบื้องหลัง โดยเฉพาะเมื่อหน้าดาวน์โหลดที่มองเห็นดูน่าเชื่อถือ กลุ่มนี้เคยถูกรายงานพฤติกรรมมาก่อน เช่น ปล่อย ValleyRAT (โพสต์ 076 ) และมัลแวร์ MODBEACON (โพสต์ 107 ) ซึ่งเป็นปฏิบัติการที่แยกต่างหากจากกัน
วิธีการโจมตี
Microsoft พบว่าขั้นตอนถัด ๆ ไปสร้าง scheduled task เพื่อรีสตาร์ตโปรแกรมอันตราย และรัน task ด้วยสิทธิ์ระบบสูงในช่วงสั้น ๆ เพื่อเปลี่ยนค่า security exclusion นอกจากนี้มัลแวร์ยังพยายามปิด Windows Update ลบสำเนากู้คืน (recovery copies) และติดต่อโครงสร้างพื้นฐานที่ผู้โจมตีควบคุม การเปลี่ยนแปลงเหล่านี้ทำให้การค้นพบและการล้างเครื่องยากขึ้นหลังตัวติดตั้งเดิมปิดตัวลง ส่วนเคส WhatsApp ที่ Pelagos Intel วิเคราะห์ใช้เส้นทางเทคนิคต่างออกไป โดย launcher ที่ลงลายเซ็นถูกต้องเรียกฟังก์ชันในไลบรารีที่ไม่ได้ลงลายเซ็นซึ่งปลอมตัวเป็นองค์ประกอบเดสก์ท็อปของ Windows ไลบรารีจะถอดรหัสข้อมูลและคัดลอกเนื้อหาที่แปลงแล้วเข้าสู่หน่วยความจำที่รันได้ จากนั้นคัดลอกไฟล์ชุดเดิมเข้าไปในโปรไฟล์ผู้ใช้ พร้อมตั้งค่า startup registry entry ให้รันซ้ำ ระหว่างการทดสอบ Pelagos บันทึกความพยายามเชื่อมต่อ 96 ครั้งห่างกันราวสามวินาที และสังเกตการถอดรหัสที่สำเร็จซึ่งความยาวตรงกับการแปลงข้อมูลที่ระบุระหว่างวิเคราะห์โค้ด ทั้งนี้รายงานย้ำว่าข้อสังเกตเหล่านี้สนับสนุนว่าเป็น loader ที่ตั้งค่าและฝังตัวถาวร แต่ไม่ได้พิสูจน์ว่าสายนี้กับแคมเปญเว็บปลอมของ Microsoft เป็นการบุกรุกเดียวกัน
ผลกระทบ
แคมเปญนี้กระทบผู้ใช้ Windows ที่ถูกหลอกให้ดาวน์โหลดซอฟต์แวร์จากเว็บปลอมที่ดูน่าเชื่อถือ โดยกลุ่มเป้าหมายหลักคือผู้ใช้ที่พูดภาษาจีนในหลายอุตสาหกรรม ส่วนในภูมิภาคอาเซียน Pelagos Intel รายงานว่ามีผู้รับในมาเลเซียตกเป็นเป้าของข้อความ WhatsApp ธีมการเงินที่เชื่อมโยงกับ Silver Fox ซึ่งสะท้อนว่ากลุ่มนี้ใช้หลายช่องทางส่งมอบมัลแวร์และมีเป้าหมายในภูมิภาคนี้จริง จุดที่ต้องระวังเป็นพิเศษคือการที่ตัวติดตั้งบรรจุซอฟต์แวร์ที่คุ้นเคยและอาจมีลายเซ็นดิจิทัลถูกต้อง ทำให้ผู้ใช้และแม้แต่นักวิเคราะห์เผลอมองข้ามโค้ดที่รันอยู่เบื้องหลัง ทั้งนี้ทั้งสองสายการโจมตียังไม่ได้รับการยืนยันว่าใช้โครงสร้างพื้นฐานเดียวกัน ทีมความปลอดภัยจึงควรระบุให้ชัดว่ากำลังสืบสวนสายใดก่อนนำ indicator ไปใช้
คำแนะนำ
สำหรับแคมเปญเว็บปลอม Microsoft แนะนำให้ดาวน์โหลดซอฟต์แวร์จากแหล่งที่ตรวจสอบได้เท่านั้น เฝ้าระวังการดาวน์โหลด archive ที่ไม่คาดคิด และตั้งการแจ้งเตือนเมื่อพบ scheduled task ที่น่าสงสัยหรือการเปลี่ยนค่าความปลอดภัย ส่วนสาย WhatsApp Pelagos ชี้ว่า startup entry ที่ผิดปกติ คู่ไฟล์ที่ถูก stage ไว้ และความพยายามเชื่อมต่อออกเป็นระยะ เป็นเบาะแสที่ใช้สืบสวนได้ดี องค์กรควรตรวจสอบการสร้าง scheduled task และ Run key ที่น่าสงสัย เฝ้าระวังการปิด Windows Update และการลบสำเนากู้คืน รวมถึงตรวจ DLL sideloading ที่ใช้ไฟล์ลงลายเซ็นถูกต้อง และควรยืนยันว่ากำลังสืบสวนสายการโจมตีใดก่อนนำ indicator ด้านล่างไปใช้
Indicators of Compromise (IoCs)
หมายเหตุ: IP และโดเมนถูก defang ไว้ (เช่น
[.]) เพื่อป้องกันการ resolve หรือสร้างลิงก์โดยไม่ตั้งใจ ให้ re-fang เฉพาะภายในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM
| ประเภท | Indicator | คำอธิบาย |
|---|---|---|
| SHA-256 | 9F2CAEDA208C9D729B44F31C32B5E1EEEF18D84D6E36B04AFE15D894D3809672 | ไฟล์ ZIP ที่ส่งมอบ |
| SHA-256 | E2BF8B7CD396EE950A5B6911EA098C2E49D4ED002A6C04D5D660CCD4F7D66BAA | ไฟล์ IMG disk image |
| SHA-256 | F712C2A8B4ABF2E299A2B480020333DEB0F43364E9686CDA78B1243C62E4830D | ไฟล์ปฏิบัติการที่ลงลายเซ็น |
| SHA-256 | C1E184615241FE69DB3BF4093A22C7C0BF5D6072D2F51E558142B844E871084F | DLL คู่หูที่ไม่ได้ลงลายเซ็น |
| Network endpoint | 134.122.155[.]135:443 | ปลายทางที่พยายามเชื่อมต่อออกซ้ำ ๆ |
| File name | PDF_C2841_20260911100446.zip | ไฟล์แนบใน WhatsApp |
| File name | PDF_C2089_20260911100446.exe | ไฟล์ปฏิบัติการที่ลงลายเซ็น |
| File name | active_desktop_render_x64.dll | DLL คู่หู |
| Staging path | %APPDATA%\Microsoft\Update\ | ไดเรกทอรีที่ใช้ stage ทั้งสองไฟล์ |
| Registry key | HKCU\Software\Microsoft\Windows\CurrentVersion\Run | ตำแหน่ง persistence ตอนเริ่มระบบ |
| Registry value | MicrosoftUpdate | ชื่อค่า startup ที่พบ |
| Signer | Guangzhou Kugou Technology Co., Ltd. | ผู้ลงลายเซ็นของไฟล์ปฏิบัติการ |
| Certificate thumbprint | 757BDD02CBA91CA59C46E2098A5479C1ABC1FDBE | ตัวระบุใบรับรอง |
| PDB path | D:\buildbot\build1\desktop_screen\build\bin\active_desktop_launcher_x64.pdb | ร่องรอย build-path |
| Configuration marker | @@RAPID_CFG_START@@ | มาร์กเกอร์ที่พบในข้อมูลที่ถอดรหัส |
| Hunting string | ReleaseFromExplorer | คำใช้จัดกลุ่มใน static analysis |
| Hunting string | _ipcfr_wqkqzk | คำใช้จัดกลุ่มใน static analysis |