สรุปสั้น

บริษัท Flashpoint วิเคราะห์ตัวอย่างใหม่ของ CastleStealer มัลแวร์ขโมยข้อมูลที่เขียนด้วยภาษา C# และพบว่าผู้พัฒนาเพิ่มความสามารถสำคัญ 2 อย่าง อย่างแรกคือการทะลวง App-Bound Encryption ของเบราว์เซอร์ตระกูล Chromium ผ่านอินเทอร์เฟซ IElevator COM ของ Chrome ทำให้ขโมยคุกกี้และข้อมูลเบราว์เซอร์ที่ได้รับการป้องกันได้ ซึ่งรุ่นก่อนทำไม่ได้กับเบราว์เซอร์ที่อัปเดตแล้ว อย่างที่สองคือฟังก์ชัน remote shell ที่ให้ผู้โจมตีสั่งคำสั่ง ส่งไฟล์ให้รัน หรือสั่งดาวน์โหลดและรันเพย์โหลดอื่นจาก URL ได้

ผลคือ CastleStealer ไม่ได้เป็นแค่ตัวเก็บรหัสผ่านและคุกกี้ที่ทำงานครั้งเดียวจบอีกต่อไป แต่กลายเป็นเครื่องมือเข้าถึงระยะไกลแบบพื้นฐานที่ผู้โจมตีใช้ตัดสินใจขั้นต่อไปหลังเห็นข้อมูลที่ขโมยได้ Flashpoint ระบุว่าแม้มัลแวร์นี้ยังไม่แพร่หลายเท่าตระกูลใหญ่ แต่กำลังพัฒนาเร็ว ข้อมูลที่ขโมยถูกส่งออกเป็นชิ้นเล็กเข้ารหัส AES ผ่าน TCP ดิบ แทนการอัปโหลดไฟล์บีบอัดก้อนเดียว เพื่อกลมกลืนกับทราฟฟิกปกติ

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 9 ตุลาคม 2569 อ้างการวิเคราะห์ของ Flashpoint ว่า CastleStealer ถูกระบุต่อสาธารณะครั้งแรกเมื่อเมษายน 2569 ในแคมเปญ ClickFix ที่หลอกให้เหยื่อรันสคริปต์ Python ซึ่งเปิด CastleLoader ต่อมาในเดือนมิถุนายน วิธีส่งมัลแวร์เปลี่ยนเป็นโฆษณา Google ปลอมที่พาผู้ค้นหา Node.js ไปยังเว็บตัวติดตั้งปลอม ซึ่งส่งไฟล์ batch และตัวโหลด OXLOADER ที่วาง CastleStealer ไว้ในหน่วยความจำ ตามที่เว็บไซต์นี้รายงานไว้ในโพสต์ 2026/06/151

เมื่อเริ่มทำงาน มัลแวร์ตรวจว่าภาษา Multilingual User Interface ของ Windows เป็นภาษารัสเซีย (ru-RU) หรือไม่ จากนั้นติดต่อเซิร์ฟเวอร์ C2 ส่ง UUID ของ build และข้อมูลพื้นฐานของเครื่อง แล้วเก็บข้อมูลเครื่องเพิ่ม เป้าหมายการขโมยครอบคลุม

  • เบราว์เซอร์ตระกูล Chromium: ข้อมูลล็อกอิน คุกกี้ ประวัติ web data ข้อมูลส่วนขยาย IndexedDB และ extension storage
  • Firefox: ข้อมูลล็อกอิน คุกกี้ ประวัติ และประวัติฟอร์ม
  • Steam: ไฟล์ config.vdf, loginusers.vdf และ local.vdf
  • โฟลเดอร์ APPDATA ของ Discord และ Telegram
  • ไฟล์ในเครื่องที่ชื่อมีคำว่า “wallet” โดยยกเว้นไฟล์บางประเภทและไฟล์ที่มีคำว่า “backup”
CastleStealer malware bypasses Chrome App-Bound Encryption and adds a remote shell

วิธีการโจมตี

ทะลวง App-Bound Encryption

App-Bound Encryption เป็นกลไกที่ Chrome เพิ่มเข้ามาเพื่อให้ขโมยคุกกี้ได้ยากขึ้น โดยผูกข้อมูลที่เข้ารหัสไว้กับตัวแอปเบราว์เซอร์และเครื่อง CastleStealer รุ่นเก่าเข้าถึงข้อมูลจากเบราว์เซอร์ที่อัปเดตแล้วไม่ได้ แต่ตัวอย่างใหม่ใช้อินเทอร์เฟซ IElevator COM ของ Chrome เพื่อข้ามการป้องกัน ได้ข้อมูลเบราว์เซอร์ที่เคยเข้าไม่ถึง เทคนิคนี้สอดคล้องกับแนวโน้มที่มัลแวร์ขโมยข้อมูลหลายตระกูลใช้ส่วนประกอบด้าน elevation ของเบราว์เซอร์มาถอดข้อมูลที่ถูกป้องกัน คุกกี้ session ที่ได้ไปช่วยให้ผู้โจมตีเข้าบัญชีได้โดยไม่ต้องรู้รหัสผ่านหรือผ่าน MFA

Remote shell

ผู้ควบคุมสั่งงานได้ 3 แบบ คือส่งคำสั่ง shell ส่งไฟล์ให้รัน หรือสั่งดาวน์โหลดและรันเพย์โหลดอื่นจาก URL ความสามารถนี้เปิดทางให้ส่งมัลแวร์ขโมยข้อมูลตัวอื่น โทรจันเข้าถึงระยะไกล หรือให้คนลงมือทำต่อบนเครื่องเดียวกัน

ส่งข้อมูลเป็นชิ้นเล็กและลบตัวเอง

แทนการรวมข้อมูลเป็นไฟล์บีบอัดก้อนเดียวแล้วส่งไปเซิร์ฟเวอร์หรือช่อง Telegram CastleStealer ส่งข้อมูลเป็นชิ้นเล็กผ่าน TCP ดิบ แต่ละชิ้นเข้ารหัส AES โครงสร้างแพ็กเก็ตคือ ขนาด 4 ไบต์ ตามด้วย IV ของ AES และข้อมูลที่เข้ารหัส วิธีนี้ช่วยเลี่ยงทราฟฟิกขาออกที่พุ่งสูงจากการอัปโหลดไฟล์ใหญ่ เมื่อทำงานเสร็จ มัลแวร์ลบตัวเองด้วยเทคนิคหน่วงเวลาด้วยคำสั่ง ping

ผลกระทบ

การที่มัลแวร์ขโมยข้อมูลมี remote shell เปลี่ยนวิธีรับมือเหตุการณ์ การล้างไฟล์มัลแวร์และเปลี่ยนรหัสผ่านไม่เพียงพอ เพราะผู้โจมตีอาจใช้ช่วงเวลาที่มัลแวร์ทำงานวางเครื่องมืออื่นไว้แล้ว เครื่องที่พบ CastleStealer จึงต้องถือว่าอาจถูกควบคุมแบบโต้ตอบ และการขโมยคุกกี้ session ที่ผ่าน App-Bound Encryption ได้ทำให้ MFA ไม่ช่วยหากผู้โจมตีนำ session ที่ยังใช้ได้ไปใช้ต่อ

ข้อจำกัดสำคัญคือรายงานนี้ไม่ได้เผยแพร่แฮช โดเมน C2 IP หรือ URL ดาวน์โหลด การตรวจจับจึงต้องอาศัยพฤติกรรมเป็นหลัก

คำแนะนำ

  • เฝ้าระวังโปรเซสที่ไม่ใช่เบราว์เซอร์แต่เรียกใช้บริการ elevation หรือ IElevator COM ของ Chrome/Edge ซึ่งเป็นสัญญาณของการทะลวง App-Bound Encryption
  • ตรวจการเชื่อมต่อ TCP ขาออกแบบดิบที่ผิดปกติจากเครื่องผู้ใช้ การใช้ PowerShell และไฟล์ที่ดาวน์โหลดใหม่ พร้อมดู process tree และ command line ของโปรเซสลูก
  • เมื่อพบการแจ้งเตือน ให้แยกเครื่อง ยกเลิก session เบราว์เซอร์ของบัญชีที่ใช้บนเครื่องนั้น เปลี่ยนรหัสผ่าน และตรวจล็อกการยืนยันตัวตนย้อนหลัง
  • อบรมผู้ใช้ไม่ให้รันคำสั่งจากหน้ายืนยันตัวตนปลอมแบบ ClickFix และดาวน์โหลดซอฟต์แวร์อย่าง Node.js จากเว็บทางการเท่านั้น ไม่ใช่จากโฆษณาในผลการค้นหา
  • บล็อกการรันสคริปต์และไฟล์ batch จากโฟลเดอร์ดาวน์โหลดผ่านนโยบาย application control สำหรับผู้ใช้ทั่วไป

Indicators of Compromise (IoCs)

ต้นฉบับไม่ได้เผยแพร่แฮช โดเมน IP หรือ URL · รายการด้านล่างใช้ประกอบการล่าภัยเชิงพฤติกรรมเท่านั้น

ประเภทค่าการใช้งาน
ส่วนประกอบChrome IElevator COM interfaceแจ้งเตือนเมื่อโปรเซสที่ไม่ใช่เบราว์เซอร์เรียกใช้
รูปแบบเครือข่าย{ขนาด 4 ไบต์} → {AES IV} → {ข้อมูลเข้ารหัส} ผ่าน TCP ดิบใช้ประกอบการวิเคราะห์แพ็กเก็ต ไม่ใช่ signature เดี่ยว
ไฟล์เป้าหมายconfig.vdf, loginusers.vdf, local.vdfตรวจการเข้าถึงไฟล์ Steam จากโปรเซสแปลกปลอม
การตรวจภาษาMUI ภาษา ru-RUพฤติกรรมเลี่ยงเครื่องในรัสเซีย

แหล่งอ้างอิง