สรุปสั้น
Microsoft ออกคำเตือนถึงแคมเปญฟิชชิงที่แจกจ่ายตัวติดตั้งของซอฟต์แวร์จัดการและเฝ้าระวังระยะไกล (Remote Monitoring and Management หรือ RMM) ชื่อ MSP360 โดยปลอมตัวอยู่ในรูปของคำเชิญเข้าประชุม เหยื่อล่อธีมไฟล์ PDF หน้าแจ้งอัปเดตซอฟต์แวร์ และเนื้อหาวิศวกรรมสังคมอื่น ๆ ทีมวิจัย Microsoft Security Research ระบุว่า เมื่อรันตัวติดตั้ง MSP360 ที่ถูกกฎหมายแต่ถูกแจกจ่ายภายใต้ชื่อไฟล์หลอกลวง มันจะสร้างการเข้าถึงเพื่อจัดการระยะไกลบนอุปกรณ์ที่ได้รับผลกระทบ และเปิดทางให้ผู้โจมตีได้หัวสะพานแรกด้วยซอฟต์แวร์ดูแลระบบที่น่าเชื่อถือ
หัวสะพานแรกนี้จะถูกใช้ดาวน์โหลดและติดตั้งไคลเอนต์ ConnectWise ScreenConnect เพิ่มเติม เพื่อให้ผู้โจมตีมีช่องทางเข้าถึงระยะไกลสำรองไปยังเครื่องปลายทางที่ถูกยึด จากนั้นการเข้าถึงดังกล่าวจะถูกนำไปใช้ส่งเครื่องมือเพิ่มเติม รวบรวมข้อมูล และดำเนินการขโมยข้อมูลรับรอง โดยกิจกรรมนี้ยังไม่ถูกเชื่อมโยงกับกลุ่มผู้โจมตีที่รู้จัก ห่วงโซ่การบุกรุกหลายขั้นตอนนี้ถูกตรวจพบครั้งแรกเมื่อเดือนกรกฎาคม 2026
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 กันยายน 2569 ว่า ห่วงโซ่การโจมตีเริ่มจากอีเมลฟิชชิงที่แจกตัวติดตั้ง MSP360 RMM เวอร์ชัน 2.5.0.67 ที่มีลายเซ็นดิจิทัล ภายใต้ชื่อไฟล์หลอกลวง เช่น VIP_ECARD_INVITATION, ZoomSetup_Installation, PDF Reader & Editor the Adobe Acrobatte, RSVP_INVITATION_E_CARD และ SSA.GOV_STATEMENT โดยแพ็กเกจตัวติดตั้งถูกวางพักไว้บนโครงสร้างพื้นฐานที่ผู้โจมตีควบคุมและบนบริการคลาวด์ที่ถูกกฎหมาย ได้แก่ Amazon S3, Cloudflare R2, Dropbox, GitLab และ Supabase เพื่อเพิ่มความน่าเชื่อถือและหลบเลี่ยงการตรวจจับ
Microsoft ระบุว่ายังพบชุดการโจมตีแยกอีกชุดหนึ่งในเดือนกรกฎาคม 2026 ที่สลับจากการใช้ MSP360 ไปใช้ Faronics Deploy Agent เป็นช่องทางเข้าแทน แล้วใช้ติดตั้ง ScreenConnect ต่อ ซึ่งบ่งชี้ว่าผู้โจมตีกำลังเตรียมเครื่องมือ RMM หลายตัวไว้สำหรับการเข้าถึงระยะไกล ทีมวิจัยชี้ว่ากิจกรรมนี้สะท้อนว่าผู้โจมตียังคงนำซอฟต์แวร์ดูแลระบบระยะไกลที่ถูกกฎหมายมาใช้ในทางมิชอบ เพื่อกลมกลืนกับงานไอทีปกติพร้อมคงการเข้าถึงและลดโอกาสถูกตรวจจับ
วิธีการโจมตี
เมื่อรันตัวติดตั้ง มันจะปล่อยไฟล์ DLL หลายตัว พร้อมเรียกตัวเองซ้ำผ่านกระบวนการยกระดับสิทธิ์ของ Windows User Account Control (UAC) เพื่อรันในบริบทที่มีสิทธิ์สูง จากนั้นจึงติดตั้ง MSP360 เพื่อสร้างการเข้าถึงแบบคงอยู่ และใช้เครื่องมือ RMM นั้นรัน PowerShell เพื่อติดตั้ง ScreenConnect อย่างเงียบ ๆ ตัวติดตั้งยังตรวจนับ .NET runtime ที่ติดตั้งอยู่ ลงทะเบียนบริการ Windows สองรายการคือ RMM.Agent.exe และ RMM.Agent.Launcher.exe และสร้างรายการ autorun ใน Registry เพื่อให้ MSP360 ถูกเรียกอัตโนมัติทุกครั้งที่ผู้ใช้ลงชื่อเข้าเครื่อง นอกจากนี้ยังแก้การตั้งค่า Windows Firewall ให้อนุญาตทราฟฟิก UDP ขาเข้าไปยัง MSP360 (RMM.Agent.exe) บนพอร์ต 48678 โดยการใช้ RMM สองตัว (dual-RMM) ช่วยให้ผู้โจมตีถ่ายโอนไฟล์ปฏิบัติการเพิ่มเติมและดำเนินกิจกรรมหลังการบุกรุกได้ ขณะอำพรางกิจกรรมไว้ในเวิร์กโฟลว์การดูแลระบบระยะไกลตามปกติ โดยเพย์โหลดจะถูกรันผ่านฟังก์ชัน RunFile ของ ScreenConnect
ผลกระทบ
การนำเครื่องมือ RMM ที่ถูกกฎหมายมาใช้ในทางมิชอบเป็นปัญหาที่ตรวจจับยาก เพราะ MSP360 และ ScreenConnect เป็นซอฟต์แวร์ที่องค์กรจำนวนมากใช้งานจริงในการดูแลระบบระยะไกล ทำให้กิจกรรมของผู้โจมตีกลมกลืนกับทราฟฟิกและกระบวนการปกติ การใช้ RMM สองตัวยังสร้างช่องทางเข้าถึงสำรอง ทำให้แม้จะตรวจพบและถอนตัวหนึ่งออก ผู้โจมตีก็ยังคงเข้าถึงเครื่องได้ผ่านอีกช่องทาง การตั้ง autorun และบริการ Windows รวมถึงการแก้ไฟร์วอลล์ยังช่วยให้การเข้าถึงคงอยู่ข้ามการรีสตาร์ต ความเสี่ยงปลายทางคือการขโมยข้อมูลรับรอง การรวบรวมข้อมูล และการส่งเครื่องมือเพิ่มเติมเพื่อขยายการบุกรุกภายในองค์กร
คำแนะนำ
ผู้ดูแลระบบควรทำบัญชีอนุญาต (allowlist) เฉพาะเครื่องมือ RMM ที่องค์กรใช้งานจริง และตั้งการแจ้งเตือนหรือบล็อกการติดตั้ง RMM นอกรายการ เช่น MSP360, ScreenConnect และ Faronics Deploy Agent หากไม่ได้ใช้งาน ควรเฝ้าระวังการติดตั้งไฟล์ปฏิบัติการที่ตั้งชื่อหลอกลวงเลียนแบบคำเชิญประชุมหรือเอกสาร PDF และตรวจสอบบริการ Windows ชื่อ RMM.Agent.exe และ RMM.Agent.Launcher.exe รวมถึงรายการ autorun ใน Registry และกฎไฟร์วอลล์ที่อนุญาต UDP ขาเข้าบนพอร์ต 48678 ที่น่าสงสัย ควรฝึกผู้ใช้ให้ระวังการเปิดไฟล์แนบที่ปลอมเป็นคำเชิญหรืออัปเดตซอฟต์แวร์ และเฝ้าระวังการเชื่อมต่อออกไปยังบริการคลาวด์อย่าง S3, Cloudflare R2, Dropbox, GitLab และ Supabase ที่ผิดปกติ ซึ่งอาจถูกใช้พักไฟล์ติดตั้ง
Indicators of Compromise (IoCs)
ชื่อไฟล์ตัวติดตั้งหลอกลวง (MSP360 RMM v2.5.0.67):
- VIP_ECARD_INVITATION_rmm_v2.5.0.67_oid[redacted].exe
- ZoomSetup_Installation_v2.5.0.67_oid[redacted].exe
- PDF Reader & Editor the Adobe Acrobatte_rmm_v2.5.0.67_oid[redacted].exe
- RSVP_INVITATION_E_CARD_rmm_v2.5.0.67_oid[redacted].exe
- SSA.GOV_STATEMENT_rmm_v2.5.0.67_oid[redacted].exe
บริการ/การคงอยู่: RMM.Agent.exe, RMM.Agent.Launcher.exe · รายการ autorun ใน Registry · กฎ Windows Firewall อนุญาต UDP ขาเข้าพอร์ต 48678