แฮ็กเกอร์ซ่อนมัลแวร์ในตัวติดตั้ง 7-Zip ด้วยเทคนิคหลบเลี่ยงใหม่ — ฝัง loader ในโค้ดแตกไฟล์ที่คอมไพล์ใหม่ (OpenSUpdater)

สรุปสั้น

ผู้ปฏิบัติการมัลแวร์กำลังซ่อนโค้ดไว้ในส่วนของตัวติดตั้ง 7-Zip ที่ทำหน้าที่แตกไฟล์ ทำให้การติดตั้งที่ดูปกติเริ่มทำงานพร้อมกับ loader ที่ซ่อนอยู่ติดต่อไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม โดยผู้ใช้และนักวิเคราะห์อาจมองข้ามขั้นตอนนั้นเพราะปกติมันทำเพียงเตรียมการติดตั้งที่มองเห็นได้ ตัวอย่างที่พบจัดอยู่ในตระกูล OpenSUpdater ซึ่งเคยเชื่อมโยงกับกลเม็ดเรื่องใบรับรองมาก่อน ผู้โจมตีนำตัวติดตั้ง foobar2000 ของจริงใส่ไว้ใน self-extracting archive เพื่อให้แพ็กเกจดูมีประโยชน์ นักวิเคราะห์ที่บริษัท G Data Software เป็นผู้ระบุองค์ประกอบที่ถูกดัดแปลง ขณะที่ ESET ตรวจจับตัวอย่างล่าสุดในชื่อ OpenSUpdater และ Microsoft ใช้ชื่อ Snackarcin ทั้งนี้ G Data ระบุว่างานวิจัยนี้ไม่ได้ยืนยันทั้งจำนวนการติดเชื้อหรือแคมเปญการแพร่กระจาย และนี่ไม่ใช่ช่องโหว่ในไฟล์ 7-Zip ทุกไฟล์ แต่เป็นองค์ประกอบตัวติดตั้งที่ถูกดัดแปลงโดยเจตนาและจับคู่กับโปรแกรมที่ถูกกฎหมาย

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 29 กันยายน 2569 อ้างอิงรายงานของบริษัท G Data Software ว่าผู้โจมตีได้สร้างโค้ดตัวติดตั้งโอเพนซอร์สขึ้นใหม่เพื่อซ่อน loader ไว้ภายใน โดยตัวติดตั้งแบบ 7-Zip self-extracting จะแตก archive ออกมาและรันไฟล์ที่กำหนดไว้ ซึ่งตามปกตินักวิเคราะห์จะตรวจไฟล์ที่ถูกกำหนดและการตั้งค่าของตัวติดตั้งก่อนเป็นอันดับแรก แต่ในกรณีนี้ทั้งสองอย่างกลับเบี่ยงเบนความสนใจออกจากโปรแกรมแตกไฟล์ที่ถูกดัดแปลง archive บรรจุตัวติดตั้งเครื่องเล่นเสียงของจริง แต่ผู้ลงลายเซ็นกลับเป็น Animated Productions, LLC ซึ่งนักวิจัยระบุว่านำเสนอตัวเองเป็นผู้พัฒนาเกมแอป ความไม่สอดคล้องนี้จึงชวนสงสัย นอกจากนี้ใบรับรองยังมีไบต์ padding ซ้ำ ๆ และรายละเอียดเวอร์ชันที่คล้ายคำที่ไม่เกี่ยวข้องกัน นักวิจัยเสนอว่า padding อาจใช้เปลี่ยนค่าแฮชของ build โดยไม่ทำให้ลายเซ็นเสีย แต่ยังไม่ยืนยันสาเหตุ จึงถือเป็นเบาะแสไม่ใช่ข้อพิสูจน์ ทั้งนี้เคสนี้แตกต่างจากแคมเปญ 7-Zip archive อันตรายอื่นที่ใช้ช่องโหว่ข้ามคำเตือนของ Windows แยกต่างหาก

วิธีการโจมตี

ผู้โจมตีสร้างองค์ประกอบแตกไฟล์โอเพนซอร์สขึ้นใหม่และแทรกการเรียก loader ของตนเข้าไปก่อนที่แถบความคืบหน้าการติดตั้งจะเริ่มทำงาน โดยจุดเริ่มต้น ข้อความ และฟังก์ชันที่ import เข้ามาดูคล้ายองค์ประกอบทั่วไป การตรวจสอบอย่างรวดเร็วจึงอาจพลาดการดัดแปลง เพราะการเรียกที่เพิ่มเข้ามาอยู่กลางรูทีนแตกไฟล์ปกติ ไม่ใช่ที่จุดเข้า (entry point) ที่ชัดเจน โค้ดที่ซ่อนอยู่จะดึงที่อยู่เซิร์ฟเวอร์ที่ถูกอำพรางและลงทะเบียนด้วยลำดับไบต์เฉพาะ จากนั้นไลบรารีเครือข่ายในตัวจะดาวน์โหลดคอมโพเนนต์ DLL สองตัวและ data blob ที่เข้ารหัส loader จะรันฟังก์ชันในคอมโพเนนต์ตัวแรก แล้วรันฟังก์ชันในตัวที่สองเพื่อถอดรหัส blob จากนั้นโหลด DLL ที่ได้เข้าสู่หน่วยความจำและเรียกอีกฟังก์ชันที่นักวิจัยเชื่อว่าเป็นจุดเริ่มของ payload สุดท้าย อย่างไรก็ตาม นักวิจัยไม่สามารถเก็บคอมโพเนนต์เหล่านั้นได้ ทำให้พฤติกรรมของ payload ยังไม่ได้รับการยืนยัน ในสายพันธุ์ที่เป็น NSIS ผู้โจมตีดัดแปลงปลั๊กอิน NSIS โอเพนซอร์สให้ loader ทำงานเฉพาะเมื่อฟังก์ชันหนึ่งได้รับสตริงว่าง และเก็บที่อยู่เซิร์ฟเวอร์ไว้ในรูปแบบบีบอัดก่อนร้องขอ payload

ผลกระทบ

เทคนิคนี้เพิ่มความยากในการตรวจจับ เพราะซ่อนโค้ดอันตรายไว้ในองค์ประกอบที่นักวิเคราะห์มักมองข้าม และอาศัยตัวติดตั้งของโปรแกรมจริงคู่กับใบรับรองที่ดูถูกต้องเพื่อสร้างความน่าเชื่อถือ จุดสำคัญที่ข่าวนี้ตอกย้ำคือลายเซ็นดิจิทัลที่ถูกต้องไม่ได้การันตีว่าทั้งแพ็กเกจปลอดภัย โดยเฉพาะเมื่อผู้ลงลายเซ็นแทบไม่มีความเชื่อมโยงกับโปรแกรมที่ถูกบรรจุมา รูปแบบร่วมของตัวอย่างทั้งหมดคือตัวติดตั้งจริงซ้อนอยู่ในตัวติดตั้งอีกชั้น ใบรับรองที่ถูกต้องแต่มี padding เกินปกติ และ loader ที่ซุกอยู่ในโค้ดโอเพนซอร์สที่ถูกดัดแปลง สำหรับทีมความปลอดภัย นี่หมายความว่าการตรวจเฉพาะไฟล์ที่ถูกแตกออกมาอาจพลาดคำสั่งที่ผู้โจมตีเพิ่มเข้าไป ทั้งนี้ยังไม่มีข้อมูลจำนวนการติดเชื้อหรือขอบเขตการแพร่กระจายที่ชัดเจน

คำแนะนำ

G Data Software แนะนำให้นักวิเคราะห์ตรวจสอบไฟล์ที่น่าสงสัยต่อไปแม้โปรแกรมที่มองเห็นจะดูสะอาด สัญญาณที่ควรกระตุ้นให้ตรวจเส้นทางโค้ดที่ไม่ชัดเจน ได้แก่ ตัวติดตั้งที่ซ้อนอยู่ในตัวติดตั้งอีกชั้น รายละเอียดเวอร์ชันที่แปลก หรือใบรับรองที่มี padding ผิดปกติ องค์กรควรระวังการดาวน์โหลดตัวติดตั้งซอฟต์แวร์จากแหล่งที่ไม่ยืนยัน ไม่พึ่งพาลายเซ็นดิจิทัลเพียงอย่างเดียวในการตัดสินว่าไฟล์ปลอดภัย และควรตรวจสอบความสอดคล้องระหว่างผู้ลงลายเซ็นกับซอฟต์แวร์ที่ถูกบรรจุ นอกจากนี้ควรเฝ้าระวังพฤติกรรมของกระบวนการติดตั้งที่ดาวน์โหลด DLL หรือ blob เพิ่มเติมและเชื่อมต่อออกไปยังปลายทางภายนอก และนำ indicator ด้านล่างไปใช้ในการ hunt ภายในสภาพแวดล้อมของตน

Indicators of Compromise (IoCs)

หมายเหตุ: IP และโดเมนถูก defang ไว้ (เช่น hxxps, (dot)) เพื่อป้องกันการ resolve หรือสร้างลิงก์โดยไม่ตั้งใจ ให้ re-fang เฉพาะภายในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM

แหล่งอ้างอิง

• Cyber Security News — Hackers Hide Malware Inside 7-Zip Installers Using a New Evasion Technique
• G Data Software — OpenSUpdater evades with recompiled 7-Zip SFX