Warlock แรนซัมแวร์สัญชาติจีนเจาะช่องโหว่ SharePoint ถล่มองค์กรโครงสร้างพื้นฐานในกลุ่มประเทศภาษาสเปน–โปรตุเกส — ยึด SYSVOL ให้ Active Directory กระจายเพย์โหลดเอง

สรุปสั้น

บริษัท Symantec เปิดเผยรายงานล่าสุดว่ากลุ่มแรนซัมแวร์สัญชาติจีนที่ชื่อ Warlock ซึ่งบริษัท Symantec ติดตามในชื่อ “Longlegs” และบริษัท Microsoft เรียกว่า “Storm-2603” ได้เปลี่ยนรูปแบบการโจมตีอย่างเห็นได้ชัด โดยในระยะสองเดือนที่ผ่านมาหันไปพุ่งเป้าเฉพาะองค์กรในประเทศที่ใช้ภาษาสเปนและโปรตุเกสเป็นภาษาหลัก กินพื้นที่ทั้งทวีปยุโรป แอฟริกา และละตินอเมริกา จากเดิมที่เคยโจมตีแบบกระจายทั่วประเทศพัฒนาแล้วอย่างบราซิล อินเดีย ญี่ปุ่น รัสเซีย ไต้หวัน และสหรัฐฯ กลุ่มนี้เลือกเหยื่อน้อยลงแต่มีมูลค่าสูงขึ้น โดยเหยื่ออย่างน้อย 4 รายที่นักวิจัยพบ ได้แก่ กิจการประปา ผู้ให้บริการโทรคมนาคม หน่วยงานรัฐระดับภูมิภาค และมหาวิทยาลัย ซึ่งล้วนเป็นองค์กรขนาดใหญ่และโครงสร้างพื้นฐานสำคัญ

จุดเด่นของ Warlock คือการใช้ช่องโหว่ใน Microsoft SharePoint แบบ on-premises เป็นทางเข้า โดยเริ่มจากชุดการโจมตีที่รู้จักกันในชื่อ “ToolShell” ก่อนจะปลูก webshell ขโมยกุญแจเข้ารหัสของ ASP.NET เพื่อปลอมเพย์โหลด __VIEWSTATE และสั่งรันโค้ดภายใน application pool ของ SharePoint จากนั้นใช้เทคนิค living-off-the-land ที่กลมกลืนกับทราฟฟิกปกติ เช่น การ sideload ไฟล์ DLL การใช้ไดรเวอร์ที่เซ็นรับรองแต่มีช่องโหว่ (BYOVD) เพื่อปิดโปรเซสความปลอดภัย และการใช้ฟีเจอร์ remote tunnel ของ Visual Studio Code เปิดช่องทางเข้าถึงระยะไกล ลูกเล่นที่โดดเด่นที่สุดคือการนำเพย์โหลดแรนซัมแวร์ไปวางในแชร์ SYSVOL ของโดเมน แล้วปล่อยให้กลไกจำลองข้อมูลของ Active Directory กระจายไฟล์ไปยังโดเมนคอนโทรลเลอร์ทุกเครื่องโดยอัตโนมัติ แทนการไล่ส่งทีละเครื่องด้วยเครื่องมืออย่าง PsExec หรือ WMI

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 1 ตุลาคม 2569 โดยอ้างงานวิจัยล่าสุดของบริษัท Symantec ว่ากลุ่ม Warlock ได้ปรับกลยุทธ์มาโจมตีองค์กรในกลุ่มประเทศที่ใช้ภาษาสเปนและโปรตุเกสอย่างเจาะจง นาย Dick O’Brien นักวิเคราะห์ข่าวกรองหลักของทีม Symantec Threat Hunter ระบุว่ากลุ่มนี้ปรากฏตัวครั้งแรกช่วงกลางปี 2025 ด้วยแคมเปญที่มีชั้นเชิง เทคนิค และกระบวนการ (TTPs) คล้ายปฏิบัติการจารกรรมระดับรัฐ ทว่ากลับลงมือเหมือนแก๊งอาชญากรไซเบอร์ที่ปล่อยแรนซัมแวร์ใส่เหยื่อโดยไม่เลือกหน้า จึงจัดกลุ่มได้ยากว่าเป็น APT หรือกลุ่มอาชญากรรมธรรมดา

บริษัท Symantec ไม่สามารถยืนยันได้ว่า Warlock ยังใช้ช่องโหว่ ToolShell ชุดเดิมอยู่หรือหันไปใช้ช่องโหว่ SharePoint รุ่นใหม่กว่า ซึ่งหน่วยงาน CISA ของสหรัฐฯ ได้เพิ่มเข้าในบัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (KEV) ไปหลายรายการช่วงฤดูร้อนที่ผ่านมา โดยนาย O’Brien ระบุว่า “exploit ของช่องโหว่รุ่นใหม่เหล่านี้มีพฤติกรรมคล้ายคลึงกับ ToolShell มาก” ย้อนกลับไปเมื่อเดือนกรกฎาคม 2025 บริษัท Microsoft เคยพบว่ากลุ่มที่เชื่อมโยงกับจีนหลายกลุ่มกำลังใช้ช่องโหว่ zero-day ใน SharePoint แบบ on-premises ผ่านชุด ToolShell โดยสองในนั้นคือ APT27 (หรือ Emissary Panda, Linen Typhoon) และ APT31 (หรือ Zirconium, Violet Typhoon) ซึ่งเป็นกลุ่มจารกรรมที่มีขีดความสามารถสูง ส่วนกลุ่มที่สามยังระบุตัวไม่ได้ในขณะนั้น บริษัท Microsoft จึงตั้งชื่อว่า Storm-2603 ซึ่งปัจจุบันรู้จักกันดีในชื่อ Warlock และพบว่าแคมเปญของกลุ่มนี้จบลงด้วยการปล่อยแรนซัมแวร์ Warlock ควบคู่กับ Lockbit แม้นักวิเคราะห์จะยังไม่ฟันธงแรงจูงใจที่แท้จริงของกลุ่มได้

เว็บไซต์ The Hacker News รายงานเพิ่มเติมเมื่อวันที่ 3 ตุลาคม 2569 จากรายงานของทีม Symantec and Carbon Black Threat Hunter ฉบับเดียวกันว่า Warlock ยังถูกติดตามในอีกชื่อหนึ่งคือ Gold Salem และมีความทับซ้อนกับคลัสเตอร์กิจกรรมเก่าที่รู้จักในชื่อ CL-CRI-1040, CamoFei และ ChamelGang ช่วงต้นปีที่ผ่านมากลุ่มนี้ยังถูกเชื่อมโยงกับการเจาะบริษัท SmarterTools ผ่านเซิร์ฟเวอร์ SmarterMail ที่ยังไม่แพตช์ และเคยใช้เครื่องมือถูกกฎหมายอย่าง Velociraptor เป็นช่องทางสั่งการ (C2) ส่วนไดรเวอร์ K7RKScan.sys ที่ใช้ปิดระบบความปลอดภัยนั้นเคยถูกกลุ่มแรนซัมแวร์ DragonForce ใช้มาก่อนแล้ว บริษัท Symantec ประเมินว่าการที่เป้าหมายช่วงหลังกระจุกอยู่ในประเทศภาษาสเปนและโปรตุเกส อาจเป็นได้ทั้งการเลือกเหยื่อแบบฉวยโอกาสตามเซิร์ฟเวอร์ SharePoint ที่เปิดเผยและมีช่องโหว่ หรือเป็นการรับคำสั่งเจาะจงเป้าหมาย ซึ่งยังสรุปไม่ได้ว่าเป็นแบบใด

วิธีการโจมตี

Warlock ใช้ช่องโหว่ใน Microsoft SharePoint Server เป็นจุดเริ่มต้นของการเจาะระบบ โดยชุด ToolShell ประกอบด้วย CVE-2025-49704 และ CVE-2025-49706 ขณะที่การ bypass ในภายหลังได้รับรหัส CVE-2025-53770 และ CVE-2025-53771 หน่วยงาน CISA ยืนยันว่าชุดการโจมตีนี้เปิดทางให้เข้าถึงเซิร์ฟเวอร์ SharePoint แบบ on-premises โดยไม่ได้รับอนุญาต เปิดเผยการตั้งค่าภายใน และสั่งรันโค้ดจากระยะไกลได้

ตามรายงานของบริษัท Symantec กลุ่ม Longlegs มักวาง ASPX webshell ไว้ในไดเรกทอรี LAYOUTS ของ SharePoint โดยเล็งหลายเวอร์ชันของผลิตภัณฑ์พร้อมกัน จากนั้น webshell จะดึงกุญแจเข้ารหัส (machine key) ของ ASP.NET ออกมา ทำให้ผู้โจมตีปลอมเพย์โหลด __VIEWSTATE ที่มีลายเซ็นถูกต้องและสั่งรันโค้ดภายใน application pool ของ SharePoint ได้ มัลแวร์ขั้นถัดไปจะถูกโหลดผ่านการ sideload ไฟล์ DLL ส่วนตัวติดตั้งจะถูกดึงมาจากบริการโฮสต์ที่ถูกกฎหมายอย่าง Catbox และ Wasabi เพื่อให้ทราฟฟิกอันตรายดูเหมือนกิจกรรมคลาวด์ตามปกติ

ในการบุกรุกโครงสร้างพื้นฐานสำคัญรายหนึ่ง กิจกรรมเริ่มขึ้นเมื่อวันที่ 22 กรกฎาคม 2026 เมื่อมี webshell ปรากฏบนเซิร์ฟเวอร์ SharePoint ผู้โจมตีรันคำสั่งสำรวจอย่าง whoami, net user /domain และ nltest /domain_trusts วางคู่ไฟล์สำหรับ sideload และใช้เครื่องมือ NetExec เพื่อสำรวจ Active Directory พ่นรหัสผ่าน (credential spraying) และสั่งรันโค้ดจากระยะไกล นอกจากนี้ยังติดตั้งไฟล์ code-insiders.exe ที่เซ็นรับรองโดย Microsoft เป็นเซอร์วิส แล้วใช้ฟีเจอร์ tunnel ของ Visual Studio Code สร้างช่องทางเข้าถึงลับ ๆ ผ่านโครงสร้างที่ผู้ดูแลระบบมักเข้าใจว่าเป็นของผู้ดูแลหรือนักพัฒนาตัวจริง

ก่อนจะเข้ารหัสไฟล์ กลุ่ม Longlegs ได้ปล่อยเครื่องมือปิดการทำงานของ AV และ EDR ไปยังเครื่องอย่างน้อย 40 เครื่องภายในเวลาราวสองชั่วโมง ปฏิบัติการล่าสุดใช้ไดรเวอร์ K7RKScan ที่เซ็นรับรองแต่มีช่องโหว่ (ติดตามในชื่อ CVE-2025-1055) เพื่อปิดโปรเซสสิทธิ์สูงจากระดับ kernel ซึ่งเป็นเทคนิค BYOVD หน่วยงาน NIST ระบุว่าช่องโหว่นี้เกิดจากการขาดการตรวจสอบสิทธิ์ใน IOCTL handler ของไดรเวอร์ และกระทบ K7 Security Anti-Malware เวอร์ชันก่อน 23.0.0.10 แม้นักสืบสวนจะระบุไม่ได้แน่ชัดว่าไดรเวอร์ตัวใดถูกใช้ในการบุกรุกครั้งนี้ หลังจากนั้นแรนซัมแวร์ Warlock ก็ทำงานทันทีบนเครื่องอย่างน้อย 33 เครื่อง โดยผู้โจมตีวางไฟล์ run.exe, rune.exe และโน้ตเรียกค่าไถ่ “how to restore your files.txt” ไว้ในแชร์ SYSVOL ของโดเมนที่ถูกเจาะ เนื่องจาก SYSVOL จะถูกจำลองข้ามโดเมนคอนโทรลเลอร์และอ่านได้ทั่วทั้งโดเมน กลไก Distributed File System Replication ตามปกติจึงช่วยส่งเพย์โหลดไปอย่างกว้างขวาง เปลี่ยนโครงสร้าง Active Directory ที่ได้รับความเชื่อถือให้กลายเป็นช่องทางแพร่กระจายแรนซัมแวร์

ผลกระทบ

การโจมตีชุดนี้แสดงให้เห็นว่าเหตุใดการแพตช์เพียงอย่างเดียวจึงไม่เพียงพอหลังสงสัยว่าถูกเจาะผ่าน SharePoint เพราะเมื่อผู้โจมตีขโมย machine key และฝังตัวสำเร็จแล้ว การอุดช่องโหว่ภายหลังก็ไม่ได้ลบช่องทางที่ฝังไว้ออกไป เหยื่อที่ถูกเลือกล้วนเป็นองค์กรโครงสร้างพื้นฐานสำคัญ ทั้งกิจการประปา โทรคมนาคม หน่วยงานรัฐ และสถาบันการศึกษา ซึ่งการถูกเข้ารหัสทั้งโดเมนย่อมหมายถึงการหยุดชะงักของบริการสาธารณะในวงกว้าง การที่กลุ่มสัญชาติจีนขยายเป้าหมายออกไปยังภูมิภาคที่ใช้ภาษาสเปนและโปรตุเกส สะท้อนว่าเหยื่อที่ป้องกันอ่อนในประเทศตะวันตกเริ่มหายาก ผู้โจมตีจึงกระจายไปยังภูมิภาคใหม่ ๆ มากขึ้น องค์กรที่ยังเปิดเซิร์ฟเวอร์ SharePoint แบบ on-premises สู่อินเทอร์เน็ตโดยตรงจึงตกอยู่ในความเสี่ยงไม่ว่าจะตั้งอยู่ที่ใด

คำแนะนำ

ผู้ดูแลระบบควรเร่งตรวจค้นหา webshell และพฤติกรรมผิดปกติของ worker process บน SharePoint หมุนเปลี่ยนกุญแจ machine key ของ ASP.NET และ IIS ทันทีหลังกำจัดช่องทางที่ผู้โจมตีฝังไว้ เปิดใช้ AMSI ในโหมด Full Mode ติดตั้ง EDR จำกัดการเปิด SharePoint สู่อินเทอร์เน็ต และตรวจสอบคำขอที่น่าสงสัยไปยัง ToolPane.aspx นอกจากนี้ หน่วยงาน CISA ยังแนะนำให้วางระบบที่จำเป็นต้องเปิดสู่สาธารณะไว้หลัง proxy ระดับ Layer 7 ที่ต้องยืนยันตัวตน และบล็อกการเข้าถึง Central Administration จากภายนอก สำหรับผู้ให้บริการด้านประปา โทรคมนาคม หน่วยงานรัฐ และการศึกษา การชะลอการแก้ไขอาจเปลี่ยนเซิร์ฟเวอร์ที่เปิดเผยเพียงเครื่องเดียวให้กลายเป็นการหยุดชะงักระดับทั้งโดเมน

Indicators of Compromise (IoCs)

ค่า hash ของไฟล์ (SHA-256):

ตัวบ่งชี้ด้านเครือข่าย (ทำ defang ไว้แล้ว):

แหล่งอ้างอิง

• Dark Reading — Warlock Ransomware Hits Large Spanish, Portuguese Orgs
• Symantec — Warlock Ransomware: Critical Infrastructure
• Cyber Security News — Warlock Ransomware Exploiting SharePoint Flaws
• The Hacker News — Warlock Exploits SharePoint Flaws to Disable Security Tools and Deploy Ransomware