สรุปสั้น

บริษัท Netskope เปิดเผยรายงานล่าสุดว่ามัลแวร์ XWorm ซึ่งเป็น Remote Access Trojan (RAT) บน Windows ที่พบครั้งแรกในปี 2565 ได้พัฒนาตัวเองจากเครื่องมือขโมยข้อมูลไปเป็นแพลตฟอร์มสอดแนมเต็มรูปแบบ โดยจำนวนปลั๊กอินที่ยืนยันได้เพิ่มจาก 35 ตัวในเดือนกรกฎาคม 2568 เป็น 46 ตัว และมีหลายตัวที่ออกแบบมาเพื่อสอดแนมโดยตรง ทั้งการติดตามพิกัด GPS โดยไม่มีหน้าต่างขออนุญาต การดักเสียงจากไมโครโฟนแบบสด การถ่ายภาพจากเว็บแคมตามคำสั่ง และปลั๊กอิน HBrowser ที่ให้ผู้โจมตีควบคุมเบราว์เซอร์ของเหยื่อได้แบบโต้ตอบ

จุดที่น่ากังวลที่สุดคือ HBrowser ไม่ได้ขโมยรหัสผ่านหรือคุกกี้ออกไปใช้ที่อื่น แต่ให้ผู้โจมตีสั่งงานเบราว์เซอร์บนเครื่องเหยื่อโดยตรง แท็บใดที่ผู้ใช้ล็อกอินและผ่าน MFA ไว้แล้วจึงตกอยู่ในมือผู้โจมตีทันที ไม่ต้องล็อกอินใหม่ เว้นแต่แอปพลิเคชันนั้นจะบังคับยืนยันตัวตนซ้ำเอง ด้านสถิติ Netskope พบเหตุตรวจจับ XWorm 1,236 ครั้งในลูกค้ากว่า 100 องค์กรช่วงไตรมาส 3 ปี 2569 มากกว่าช่วงเดียวกันของปีก่อนราว 4 เท่า โดยราว 35% เป็นภาคบริการทางการเงิน และกระจุกตัวในอินเดีย บราซิล อิตาลี ปานามา และสหรัฐอเมริกา ซึ่งเป็นตัวเลขจากข้อมูลลูกค้าของ Netskope เท่านั้น ไม่ใช่จำนวนการติดเชื้อทั่วโลก

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 13 ตุลาคม 2569 ว่าบริษัท Netskope Threat Labs เผยแพร่บทความวิเคราะห์ชื่อ “XWorm Reborn: From infostealer to surveillance platform” เขียนโดยนาย Jan Michael Alcantara เมื่อวันที่ 12 ตุลาคม 2569 ซึ่งต่อยอดจากรายงาน XWorm V6 ที่บริษัทเคยเผยแพร่ในเดือนกรกฎาคม 2568 ที่บันทึกความสามารถพื้นฐานไว้แล้ว ได้แก่ การรันในหน่วยความจำ การ bypass AMSI การคงอยู่ผ่านรีจิสทรี และการตั้งตัวเองเป็น critical process เพื่อกันการถูกปิด

บริษัท Netskope ชี้ว่ากิจกรรมของมัลแวร์ XWorm พุ่งสูงขึ้นอย่างชัดเจน หลังจาก builder ฉบับแคร็กถูกปล่อยสู่สาธารณะในเดือนมิถุนายน 2568 และซอร์สโค้ดรุ่น 6.4 ที่ถูกดัดแปลงหลุดออกมาในเดือนสิงหาคม 2568 การตรวจจับเพิ่มขึ้นกว่า 4 เท่าระหว่างไตรมาส 3 และ 4 ปี 2568 แตะระดับ 7 เท่าของค่าฐานในไตรมาส 1 ปี 2569 และทรงตัวสูงตลอดไตรมาส 2 ส่วนเดือนกันยายน 2569 เดือนเดียวมีเหตุตรวจจับ 601 ครั้ง

ปัจจุบันมีมัลแวร์ XWorm หมุนเวียนในระบบต่าง ๆ พร้อมกันถึง 4 เวอร์ชัน ได้แก่

  • V6.4 (ใช้ป้ายแบรนด์ celestialproject.org)
  • V6.5 “XWorm Reborn” (เปลี่ยนเป็น c3lestial.fun เพิ่มปลั๊กอินใหม่ 5 ตัว และบังคับใช้ไลเซนส์ผ่าน KeyAuth)
  • V7.2 (อำพรางโค้ดระดับ native ด้วย Xerin ตรวจจับ VM 6 เทคนิค และปลอมข้อมูลไฟล์เป็นโปรแกรม Voicemod)
  • V7.4 (ตัว dropper XBinder ปลด hook ของ NTdll.dll จากโฟลเดอร์ %AppData% และใช้ LocaltoNet เป็นโครงสร้าง C2) นอกจากปลั๊กอินสอดแนมแล้ว ยังมีปลั๊กอินใหม่อย่าง Rootkit, SteamTokenRecovery, HRDP, Cmstp-Bypass และ ResetSurvival รวมถึงนำปลั๊กอินที่เคยถูกถอดออกใน V6.0 กลับมาใช้อีก

บริษัท Netskope ระบุว่า “XWorm ยังพัฒนาต่อเนื่องและเพิ่มความสามารถการสอดแนมเข้ามาแล้ว เมื่อ builder และซอร์สโค้ดหลุดออกมา เราคาดว่าจะเห็นการอัปเกรดและการใช้งานชุดเครื่องมือนี้ต่อไป” ทั้งนี้ รายงานไม่ได้ระบุกลุ่มผู้โจมตีรายใดเป็นการเฉพาะ เพราะเมื่อ builder หลุดออกมาแล้ว ผู้ใช้ XWorm ก็กระจายไปหลายกลุ่ม

XWorm RAT adds HBrowser plugin to hijack authenticated browser sessions

วิธีการโจมตี

HBrowser — ยึดเซสชันที่ล็อกอินอยู่ (มีตั้งแต่เวอร์ชัน 6) ผู้โจมตีเลือกเบราว์เซอร์เป้าหมายจากแผงควบคุม แผงจะส่งคำสั่ง OpenBrowser พร้อมรหัสเบราว์เซอร์และขนาดหน้าจอผ่านช่อง C2 จากนั้นทุกการกระทำของผู้โจมตีจะถูกแปลงเป็นคำสั่ง C2 ได้แก่ keyboardClick, LeftDown, LeftUp, MoveCursor, ScrollDown, ScrollUp, paste และ CloseHBrowser เครื่องเหยื่อจะเล่นอินพุตเหล่านั้นบนหน้าต่างเบราว์เซอร์ แล้วส่งภาพหน้าจอกลับไปต่อเนื่อง ข้อมูลคีย์บอร์ดและคลิปบอร์ดเข้ารหัสแบบ base64 และทุกคำสั่งวิ่งผ่านช่อง C2 มาตรฐานที่เข้ารหัสด้วย AES ของ XWorm สำหรับผู้โจมตีจึงเหมือนได้เซสชันเบราว์เซอร์ระยะไกลเต็มรูปแบบ

ประเด็นสำคัญที่ต้องเข้าใจ คือ HBrowser ไม่ได้ทำลายกลไกเข้ารหัสของ MFA และไม่ได้หลบขั้นตอนยืนยันตัวตนครั้งแรก แต่ฉวยใช้สิทธิ์ที่ผู้ใช้ตัวจริงยืนยันไว้แล้ว ทราฟฟิกที่ออกไปยังบริการปลายทางจึงมาจากเครื่อง เบราว์เซอร์ และ IP ของเหยื่อเอง ทำให้การตรวจจับด้วยการผูกเซสชันกับอุปกรณ์หรือการเฝ้าดูการล็อกอินจากที่ผิดปกติแทบไม่ได้ผล

Maps — ติดตามพิกัดโดยไม่มีหน้าต่างขออนุญาต ปลั๊กอินเขียนค่า Allow ลงคีย์ ConsentStore ด้านตำแหน่งของ CapabilityAccessManager ในรีจิสทรีของผู้ใช้ปัจจุบัน ก่อนเรียก GeoCoordinateWatcher.TryStart รอสูงสุด 15 วินาที ถ้าไม่มี GPS จะหันไปใช้ geolocation จาก IP ผ่าน ip-api.com แทน และค่าความยินยอมที่เขียนไว้จะค้างอยู่ถาวร ทำให้ไม่มีหน้าต่างขออนุญาตเด้งขึ้นอีก

Microphone — ดักเสียงแบบสด ใช้ WaveInEvent ของไลบรารี NAudio ไล่หาอุปกรณ์บันทึกเสียงแล้วอัดที่ 8 kHz 16 บิต โมโน เป็นบัฟเฟอร์ละ 500 มิลลิวินาที แต่ละบัฟเฟอร์ถูกบีบอัดด้วย gzip เข้ารหัส base64 ส่งเป็นคำสั่ง MICGET ผ่านช่องที่เข้ารหัส AES-128-ECB ผู้โจมตีเลือกอุปกรณ์ หยุดอัด (CLOSEMIC) หรือจบเซสชัน (ENDMIC) ได้จากระยะไกล ส่วนการจับภาพจากเว็บแคมใช้ได้ตามคำสั่ง แต่รายงานไม่ได้ให้รายละเอียดทางเทคนิคเพิ่มเติม

ผลกระทบ

การที่ XWorm ขยับจาก “ขโมยข้อมูลรับรอง” ไปสู่ “ใช้เซสชันที่ยืนยันตัวตนแล้ว” ทำให้การลงทุนด้าน MFA อย่างเดียวไม่พอจะป้องกันบัญชีเมื่อเครื่องปลายทางถูกยึดแล้ว ระบบที่เปิดค้างไว้ทั้งวัน เช่น อีเมลองค์กร คอนโซลคลาวด์ ระบบ ERP หรือ internet banking ฝั่งองค์กร อาจถูกผู้โจมตีใช้งานต่อได้จากเครื่องของพนักงานเอง ภาคการเงินซึ่งคิดเป็นราวหนึ่งในสามของลูกค้าที่ได้รับผลกระทบในข้อมูลของ Netskope จึงเสี่ยงทั้งการทำธุรกรรมฉ้อโกงและการแก้ไขข้อมูลบัญชีผ่านหน้าจอจริงของพนักงาน

ปลั๊กอินติดตามตำแหน่ง ดักเสียง และเว็บแคม ยังทำให้การติดเชื้อหนึ่งครั้งกลายเป็นการสอดแนมสภาพแวดล้อมรอบตัวเหยื่อ ไม่ว่าจะเป็นบทสนทนาในห้องประชุมหรือที่อยู่จริงของผู้บริหาร และเมื่อ builder กับซอร์สโค้ดหลุดสู่สาธารณะแล้ว ผู้โจมตีทักษะต่ำก็เข้าถึงความสามารถเหล่านี้ได้ คาดว่าจะเห็นสายพันธุ์ดัดแปลงตามมาอีก

คำแนะนำ

  • ตั้งกฎตรวจจับบน EDR สำหรับการเขียนค่าใต้ HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location โดยโปรเซสที่ไม่ใช่ Settings ของ Windows และการเข้าถึงไมโครโฟน/เว็บแคมโดยโปรเซสที่ไม่รู้จัก
  • เฝ้าระวังโปรเซสที่ไม่ใช่เบราว์เซอร์แต่สั่งเปิดและส่งอินพุตเข้าเบราว์เซอร์ การจับภาพหน้าจอต่อเนื่อง และการเชื่อมต่อออกไปยังบริการ tunnel อย่าง LocaltoNet หรือ ip-api.com จากเครื่องที่ไม่ควรใช้
  • ลดอายุเซสชันและบังคับยืนยันตัวตนซ้ำ (step-up authentication) ก่อนการกระทำสำคัญ เช่น โอนเงิน เปลี่ยนข้อมูลบัญชี เพิ่มสิทธิ์ผู้ดูแล หรือส่งออกข้อมูลจำนวนมาก เพราะ MFA ตอนล็อกอินไม่ช่วยเมื่อเครื่องถูกยึดแล้ว
  • ใช้ Conditional Access ร่วมกับสถานะความปลอดภัยของอุปกรณ์ (device compliance) และตัดเซสชันทั้งหมดทันทีเมื่อ EDR แจ้งเตือนมัลแวร์บนเครื่องนั้น
  • ตรวจหา XWorm ด้วยสัญญาณที่ Netskope ระบุ (Gen:Variant.Application.Lazy, Trojan.Generic) และ indicator ใน README บน GitHub ที่ Netskope อ้างถึง พร้อมสอดส่องการ unhook NTdll.dll จากสำเนาใน %AppData%
  • สร้างความตระหนักแก่ผู้ใช้เรื่องช่องทางแพร่ของ RAT ทั่วไป เช่น ไฟล์แนบอีเมล ตัวติดตั้งซอฟต์แวร์ปลอม และโปรแกรมแคร็ก

แหล่งอ้างอิง