ไฟล์แนบ WhatsApp ปลอมเป็นเอกสารการเงิน ฝัง VulcanRAT207.A ยึด Windows ถึงสิทธิ์ SYSTEM — inject เข้า Task Scheduler ใช้ไดรเวอร์ GoFly ปิดโปรแกรมความปลอดภัย

สรุปสั้น

บริษัท Morphisec เปิดเผยแคมเปญมัลแวร์ที่ส่งไฟล์แนบผ่าน WhatsApp เป็นไฟล์ ZIP ที่ปลอมเป็นเอกสารการเงิน เช่น statement หรือเอกสารภาษี ภายในมีไฟล์ปฏิบัติการชื่อ Statement.exe เมื่อเหยื่อเปิดไฟล์ มัลแวร์จะเริ่มห่วงโซ่การโจมตีหลายขั้นที่ซ่อนตัว ไล่จาก process ระดับผู้ใช้ไปจนถึงบริการ Windows ที่รันด้วยสิทธิ์ LocalSystem และติดตั้ง payload สุดท้ายชื่อ VulcanRAT207.A ซึ่งเป็นโทรจันควบคุมระยะไกล (RAT) ที่เก็บข้อมูลระบบ รันคำสั่ง จัดการไฟล์ จับภาพหน้าจอ บันทึกการกดแป้นพิมพ์ สร้างหรือแก้ไขบัญชีผู้ใช้ภายในเครื่อง และติดตั้ง payload เพิ่มได้

จุดเด่นของแคมเปญนี้คือการแยกพฤติกรรมออกเป็นหลายขั้นเพื่อลดสิ่งที่น่าสงสัยในแต่ละไฟล์ ตั้งแต่การบีบอัดซ่อน loader การตรวจว่าไม่ใช่ sandbox การยกระดับสิทธิ์ การ inject โค้ดเข้า Task Scheduler ด้วยเทคนิค PoolParty Variant 7 การโหลด DLL ผ่านโปรแกรม VulkanInfo ที่มีลายเซ็นถูกต้องของ Intel และการใช้ไดรเวอร์ GoFly64.sys ที่มีลายเซ็นถูกต้องเพื่อปิดโปรแกรมความปลอดภัยในระดับ kernel ก่อนตั้ง scheduled task ชื่อ USOPrivate Kit ให้ RAT กลับมาทำงานด้วยสิทธิ์ SYSTEM ทุกครั้งที่รีบูต องค์กรที่พนักงานรับใบแจ้งหนี้ เอกสารภาษี หรือเอกสารการชำระเงินผ่านแอปแชตมีความเสี่ยงสูงเป็นพิเศษ

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 12 ตุลาคม 2569 ว่านักวิเคราะห์ของ Morphisec ตรวจพบห่วงโซ่มัลแวร์ที่เริ่มจากไฟล์แนบ WhatsApp และจบที่การเชื่อมต่อ RAT ผ่าน WebSocket แบบเต็มรูปแบบ ผู้โจมตีแบ่งกิจกรรมเป็นขั้นแยกกันสำหรับการแตกไฟล์ การยกระดับสิทธิ์ การ inject โค้ด การดาวน์โหลด payload การรบกวนเครื่องมือความปลอดภัย การคงอยู่ในระบบ และการควบคุมระยะไกล ทำให้การตรวจสอบจากไฟล์ใดไฟล์หนึ่งเห็นภาพไม่ครบ

ไฟล์ที่ถูกส่งผ่าน WhatsApp มีชื่อหลอกให้ดูเป็นเอกสารภาษี เช่น Tax-202609078869.exe และ Statement.exe ไฟล์แรกที่ทำงานถูกบีบอัดด้วย NRV2E เพื่อซ่อน loader ตัวจริงจากการตรวจแบบ static เมื่อรันแล้ว loader จะตรวจว่าเครื่องเป็นเครื่องผู้ใช้จริงหรือสภาพแวดล้อมวิเคราะห์อัตโนมัติ โดยดูพื้นที่ดิสก์ ข้อมูลหน้าจอ หน่วยความจำ CPU event log รีจิสทรี ร่องรอยเครื่องเสมือน และโปรแกรมความปลอดภัยที่ติดตั้ง และใช้การตรวจเวลาเพื่อหยุดทำงานใน sandbox ที่ช้าหรือระบบจำลอง

ชุดติดตั้งที่ดาวน์โหลดมาประกอบด้วยโปรแกรม VulkanInfo ของจริงที่มีลายเซ็นของ Intel ไฟล์ vulkan-1.dll ที่เป็นอันตราย ไฟล์ vulkan-1.bin ที่บรรจุ RAT และ DLL สำหรับติดตั้ง ก่อนตั้งค่าการคงอยู่ DLL ติดตั้งจะพยายามติดตั้งไดรเวอร์ GoFly64.sys ซึ่งเป็นไดรเวอร์กรองเครือข่ายสัญชาติจีนที่มีลายเซ็นถูกต้อง แล้วส่ง process ID ที่ต้องการปิดให้ไดรเวอร์ผ่าน control code 0x12227A

Morphisec พบว่าเส้นทางนี้เล็งปิด bdservicehost.exe และ bduserhost.exe ซึ่งเป็นของโปรแกรมความปลอดภัยของ Baidu การใช้ไดรเวอร์ที่มีลายเซ็นทำให้มัลแวร์ทำงานในระดับ kernel และสั่งปิด process ของโปรแกรมป้องกันได้ ก่อนหน้านี้ไดรเวอร์ตระกูล GoFly เคยถูกใช้ในการโจมตีแบบ BYOVD เพื่อปิดโปรแกรมความปลอดภัยมาแล้ว (ดูโพสต์ 2026/07/284 )

VulcanRAT207.A สื่อสารกับเซิร์ฟเวอร์เดียวกันที่ใช้ดาวน์โหลด payload ผ่าน WebSocket เวอร์ชัน 13 หลังจากใช้ HTTP ในขั้นดึง payload ก่อนหน้า

วิธีการโจมตี

ขั้นที่ 1 — ยกระดับสิทธิ์และปลดการเฝ้าระวัง หาก loader ยังไม่มีสิทธิ์ผู้ดูแล จะพยายามยกระดับผ่าน COM object และถอยไปใช้ฟังก์ชัน runas ของ Windows ที่จะเด้งขอสิทธิ์จากผู้ใช้ จากนั้นเปิดใช้ SeDebugPrivilege และโหลด ntdll.dll ฉบับสะอาดกลับเข้ามาแทน เพื่อลบ hook ที่โปรแกรมความปลอดภัยฝังไว้ในระดับ user-mode

ขั้นที่ 2 — inject เข้า Task Scheduler ด้วย PoolParty Variant 7 แทนที่จะใช้ CreateRemoteThread ซึ่งเป็นวิธีที่ EDR จับได้ง่าย มัลแวร์ใช้เทคนิค PoolParty Variant 7 ที่อาศัยระบบ I/O completion ของ Windows thread pool ให้โค้ดไปทำงานใน process ที่โฮสต์บริการ Task Scheduler เนื่องจาก Task Scheduler รันด้วยสิทธิ์ LocalSystem ส่วนประกอบที่ทำงานต่อจากนี้จึงได้สิทธิ์ SYSTEM ทันทีโดยไม่ต้องยกระดับอีก shellcode ที่ inject เข้าไปติดต่อ C2 61[.]18[.]208[.]27 พอร์ต 8888 และดาวน์โหลดชุดติดตั้งเข้าหน่วยความจำ

ขั้นที่ 3 — ปิดโปรแกรมความปลอดภัยด้วย BYOVD DLL ติดตั้งสร้างไฟล์ไดรเวอร์ชั่วคราวชื่อรูปแบบ tp_<tick>.tmp ในไดเรกทอรี System32\drivers สร้าง service สำหรับไดรเวอร์ GoFly64.sys แล้วเปิด device \\.\GoFly ส่ง IOCTL 0x12227A พร้อม PID ของ process ความปลอดภัยที่ต้องการปิด

ขั้นที่ 4 — คงอยู่ผ่าน DLL sideloading มัลแวร์เขียน vulkaninfo-64.exe, vulkan-1.dll และ vulkan-1.bin ลงใน C:\Program Files\Common Files\ แล้วสร้าง scheduled task สิทธิ์ SYSTEM ชื่อ USOPrivate Kit หรือ USOPrivate ซึ่งตั้งชื่อให้คล้ายบริการอัปเดตของ Microsoft (Update Session Orchestrator) เมื่อ task สั่งรัน VulkanInfo ที่มีลายเซ็น โปรแกรมจะค้นหา vulkan-1.dll ในโฟลเดอร์เดียวกันและโหลดไฟล์อันตรายแทน DLL จะอ่านไฟล์ .bin สร้าง RAT ขึ้นในหน่วยความจำ และให้ process ที่น่าเชื่อถือทำงานต่อ

ขั้นที่ 5 — ควบคุมระยะไกล VulcanRAT207.A เก็บข้อมูลเครื่อง บัญชีผู้ใช้ การเชื่อมต่อเครือข่าย แอปที่ติดตั้ง process บริการ event log และไฟล์ที่ผู้ควบคุมเลือก เปิด command shell ระยะไกล จับภาพหน้าจอ บันทึกคีย์ ควบคุมเมาส์และคีย์บอร์ด แก้ไขข้อมูลใน clipboard บล็อกทราฟฟิกเครือข่ายผ่านกฎ Windows Filtering Platform inject payload เข้า process อื่น สร้างบัญชีผู้ดูแลภายในเครื่อง เปลี่ยนรหัสผ่าน ดาวน์โหลดและรันไฟล์ และลงทะเบียนไดรเวอร์เพิ่มได้

ผลกระทบ

เครื่องที่ติดเชื้อตกอยู่ภายใต้การควบคุมเต็มรูปแบบในระดับ SYSTEM ผู้โจมตีขโมยข้อมูล ดักรหัสผ่านจากการพิมพ์ สร้างบัญชีแอดมินลับเพื่อกลับเข้ามาภายหลัง และใช้เครื่องเป็นฐานขยายการโจมตีในเครือข่ายองค์กรได้ ความสามารถในการแก้ clipboard ยังเปิดโอกาสให้เปลี่ยนเลขบัญชีหรือที่อยู่กระเป๋าคริปโตที่ผู้ใช้คัดลอก ซึ่งเข้ากับเหยื่อล่อที่เป็นเอกสารการเงิน

การเลือกปิดโปรแกรมความปลอดภัยของ Baidu บ่งชี้ว่าเป้าหมายน่าจะเป็นผู้ใช้กลุ่มที่ใช้ภาษาจีน แต่ Morphisec ยังไม่ได้ระบุกลุ่มผู้โจมตีหรือประเทศเป้าหมายชัดเจน ในเชิงกว้าง แคมเปญนี้แสดงว่าแอปแชตอย่าง WhatsApp กลายเป็นช่องทางส่งมัลแวร์ที่หลบการกรองของ email gateway ได้ทั้งหมด และเทคนิค thread pool injection กับ BYOVD ที่เคยเห็นในมัลแวร์ระดับสูงกำลังถูกนำมาใช้กับ RAT ทั่วไปมากขึ้น

คำแนะนำ

• บล็อกหรือจำกัดการรับไฟล์ปฏิบัติการและไฟล์ ZIP ผ่าน WhatsApp และแอปแชตอื่นบนเครื่ององค์กร โดยเฉพาะไฟล์ที่อ้างเป็น statement ใบแจ้งหนี้ หรือเอกสารภาษี และกำหนดช่องทางรับเอกสารการเงินที่ผ่านการสแกน
• ล่าหาสัญญาณการโจมตี: process ของ Task Scheduler ที่มีกิจกรรมหน่วยความจำผิดปกติ การสร้าง task ชื่อ USOPrivate Kit/USOPrivate ไฟล์ vulkaninfo-64.exe, vulkan-1.dll, vulkan-1.bin ใน C:\Program Files\Common Files\ และการรัน vulkaninfo-64.exe จากโฟลเดอร์นี้
• ตั้งการแจ้งเตือนระดับสูงเมื่อมีการสร้าง driver service ใหม่ โดยเฉพาะจากไฟล์ .tmp ใน System32\drivers และการพยายามปิด process ของ EDR/AV
• เปิดใช้ Microsoft Vulnerable Driver Blocklist และ HVCI (Memory Integrity) เพื่อสกัดการโหลดไดรเวอร์ที่ถูกนำมาใช้ในทางที่ผิด
• บล็อกการเชื่อมต่อไปยัง 61[.]18[.]208[.]27:8888 และเฝ้าระวังการเชื่อมต่อ WebSocket ไปยัง IP โดยตรงที่ไม่มีชื่อโดเมน
• อบรมพนักงานฝ่ายการเงินและบัญชีให้ไม่เปิดไฟล์ .exe ที่ได้รับเป็น “เอกสาร” ไม่ว่าจะมาจากช่องทางใด และให้ตรวจนามสกุลไฟล์จริงก่อนเปิด

Indicators of Compromise (IoCs)

ข้อมูลจาก Morphisec — IP ถูก defang แล้ว

แหล่งอ้างอิง

• WhatsApp Attachment Deploys Malware That Gains SYSTEM Access on Windows — Cyber Security News
• VulcanRAT207.A Intrusion Chain Explained — Morphisec