ผู้ขาย StealC กลับมาหลัง Operation Endgame ด้วย Stadia — RAT แบบโมดูลรวม HVNC, ขโมยข้อมูล, รันคำสั่งและโหลดเพย์โหลด ขายรายเดือน 300-900 ดอลลาร์ แจกลูกค้า StealC เดิมใช้ฟรีหนึ่งเดือน

สรุปสั้น

ทีม Threat Labs ของบริษัท Varonis เปิดเผยว่าผู้ขายมัลแวร์ขโมยข้อมูล StealC ซึ่งถูกปฏิบัติการ Operation Endgame ของ Europol ทลายโครงสร้างพื้นฐานไปเมื่อเดือนมิถุนายน 2569 ได้กลับมาอีกครั้งพร้อมผลิตภัณฑ์ใหม่ชื่อ Stadia ซึ่งเริ่มโฆษณาขายเมื่อวันที่ 16 ตุลาคม 2569 Stadia ไม่ได้เป็นแค่ตัวขโมยข้อมูลอีกต่อไป แต่เป็น remote access trojan (RAT) แบบโมดูลที่รวมการขโมยรหัสผ่านและข้อมูลคริปโต หน้าจอซ่อน (hidden VNC) การรันคำสั่ง การจัดการไฟล์และโปรเซส และตัวโหลดเพย์โหลดไว้ในตัวเดียว เปลี่ยนจากการขโมยข้อมูลครั้งเดียวไปเป็นการควบคุมเครื่องเหยื่อแบบต่อเนื่อง

Varonis ได้ build ของ Stadia มาวิเคราะห์ พบโค้ดของ StealC อยู่ในตัว agent และ changelog ของแผงควบคุมระบุการอัปเกรดโมดูลขโมยข้อมูลเป็น StealC 3.5.0 อย่างชัดเจน ผู้ขายตั้งราคาแบบสมาชิกรายเดือน 300 ถึง 900 ดอลลาร์สหรัฐ และแจกแพ็กเกจสูงสุดให้ลูกค้า StealC เดิมใช้ฟรีหนึ่งเดือน ซึ่งเชื่อมการกลับมาครั้งนี้เข้ากับฐานลูกค้าเดิมโดยตรง กรณีนี้สะท้อนข้อจำกัดของการทลายโครงสร้างพื้นฐาน เมื่อผู้พัฒนายังลอยนวล ความสามารถในการขโมยข้อมูลก็กลับมาในรูปแบบที่อันตรายกว่าเดิม

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 23 ตุลาคม 2569 ตามผลวิจัยของ Varonis Threat Labs ว่าการกลับมาของ StealC เกิดขึ้นราวสี่เดือนหลังปฏิบัติการ Operation Endgame เมื่อเดือนมิถุนายน 2569 ที่เล็งทั้ง StealC, Amadey และ SocGholish (2026/06/169 ) ครั้งนั้น Europol รายงานว่าเจ้าหน้าที่และพันธมิตรภาคเอกชนจัดการเซิร์ฟเวอร์ 326 เครื่องและโดเมน 142 โดเมน กู้คืนข้อมูลรับรองที่ถูกขโมยได้ราว 27 ล้านรายการ ทั้งนี้ตัวเลขดังกล่าวเป็นผลรวมของทั้งปฏิบัติการ ไม่ใช่ของ StealC เพียงตัวเดียว

Stadia มี 6 โมดูล ได้แก่ hidden VNC, ตัวขโมยข้อมูล, Remote CMD, ตัวโหลด, File Explorer และ Process Manager ราคาแบ่งเป็น Basic 300 ดอลลาร์ Team 550 ดอลลาร์ และ Pro 900 ดอลลาร์ต่อเดือน มีเพียงแพ็กเกจ Pro ที่ได้ครบทั้ง 6 โมดูล แท็บ builder ในแผงควบคุมคอมไพล์ agent จากเวอร์ชันล่าสุดที่เผยแพร่ ผู้ใช้เพียงสร้าง build ดาวน์โหลดไฟล์ .exe แล้วนำไปปล่อย แถบด้านข้างจัดข้อมูลที่ขโมยมาตามประเภท ทั้งรหัสผ่าน บัตรเครดิต แอปแชต ซอฟต์แวร์ session token ของ Chrome, Discord, Steam, Roblox และ Azure รวมถึงส่วน seed phrase ของกระเป๋าคริปโต

ภาพหน้าจอ HVNC ที่ผู้ขายใช้โฆษณาเป็นเซสชันรีโมตเดสก์ท็อปจริงบนเครื่อง Windows 11 ที่ติดเชื้อ โดยมีกล่องข้อความแจ้งข้อผิดพลาดภาษาสเปนค้างอยู่บนหน้าจอเหยื่อ Varonis ยืนยันการทำงานด้วยการ reverse engineer ไฟล์ปฏิบัติการและสังเกตแผงควบคุมสื่อสารกับเครื่อง Windows ที่นักวิจัยควบคุมไว้

วิธีการโจมตี

ตัวอย่างที่วิเคราะห์ชื่อ stadia_x32.exe เป็นไฟล์ Windows ขนาด 560,128 ไบต์ที่ไม่มีลายเซ็นดิจิทัล คอมไพล์ด้วย Microsoft Visual C++ ระบุตัวเองว่า STADIA_BETA เวอร์ชัน 1.1.2 และ import เพียง KERNEL32.dll แล้ว resolve API ที่ใช้งานจริงแบบไดนามิก แม้ไฟล์ไม่ได้ถูก pack แต่สตริงสำคัญถูกซ่อนด้วยการเข้ารหัส RC4 ตามด้วย Base64 นักวิจัยถอดสตริงได้ 542 รายการ ซึ่งเผยข้อมูลคอนฟิก ชุดคำสั่ง รายชื่อเบราว์เซอร์เป้าหมาย และแม่แบบการคงอยู่ในระบบ

ก่อนติดตั้ง Stadia ตรวจภาษาของระบบและจะหยุดทำงานหากเป็นภาษารัสเซีย ยูเครน เบลารุส คาซัค หรืออุซเบก และใช้ mutex จากชื่อผู้ใช้กับชื่อเครื่องเพื่อกันการรันซ้ำ ตัว agent ติดตั้งในไดเรกทอรีสุ่ม 12 ตัวอักษรใต้ C:\ProgramData โดยใช้ชื่อไฟล์เลียนแบบโปรแกรมอัปเดตที่ดูปกติ เช่น MicrosoftEdgeUpdate.exe, RuntimeBroker.exe หรือ GoogleUpdate.exe แล้วสร้าง scheduled task แบบซ่อนที่รันตอนล็อกอินและทุก 15 นาที ตั้งระยะเวลาไว้ 3,650 วัน หากได้สิทธิ์สูง agent จะเรียก PowerShell เพิ่มไดเรกทอรีติดตั้งเข้าไปในรายการยกเว้นของ Microsoft Defender

การสื่อสารกับเซิร์ฟเวอร์สั่งการ 3 เครื่องใช้ HTTP ธรรมดา แต่เนื้อข้อความเป็น JSON ที่เข้ารหัส RC4 แล้วเข้ารหัส Base64 อีกชั้น ทั้งที่ประกาศ content type เป็น application/json agent ไล่ลองเซิร์ฟเวอร์ทีละเครื่อง และรอ 300 วินาทีก่อนลองใหม่หากไม่มีเครื่องใดตอบ ส่วนตัวโหลดรองรับเพย์โหลด EXE, PowerShell, CMD และ MSI ทั้งแบบเขียนลงดิสก์และรันในหน่วยความจำ ขณะที่ตัวขโมยข้อมูลเล็งเบราว์เซอร์กว่า 50 ตัว ส่วนขยายกระเป๋าคริปโตกว่า 120 ตัว กระเป๋าคริปโตบนเดสก์ท็อปกว่า 50 ตัว รวมถึงแอปแชต เซสชันเกม โปรแกรมอีเมล และซอฟต์แวร์ VPN

ผลกระทบ

การที่ StealC ขยายจากตัวขโมยข้อมูลมาเป็น RAT ครบวงจรเปลี่ยนลักษณะความเสียหายจากการติดเชื้อ เดิมเหยื่อเสียรหัสผ่านและ session token ในครั้งเดียว แต่ Stadia ให้ผู้โจมตีกลับเข้ามาควบคุมเครื่องได้เรื่อย ๆ ผ่านหน้าจอซ่อนที่เหยื่อมองไม่เห็น และใช้ตัวโหลดวางมัลแวร์ขั้นถัดไปได้ ซึ่งเป็นรูปแบบที่ initial access broker และกลุ่มแรนซัมแวร์ต้องการ การขโมย session token ของบริการอย่าง Azure ยังเปิดทางข้าม MFA ไปสู่ระบบคลาวด์ขององค์กรได้

ในมุมกว้าง กรณีนี้ตอกย้ำว่าการยึดเซิร์ฟเวอร์และโดเมนทำให้บริการสะดุดได้ชั่วคราว แต่ไม่ได้ลบความสามารถของผู้พัฒนา เมื่อผู้ขายยังทำงานต่อได้และมีฐานลูกค้าเดิม การกลับมาในชื่อใหม่พร้อมฟีเจอร์มากขึ้นจึงใช้เวลาเพียงไม่กี่เดือน การแจกแพ็กเกจ Pro ฟรีให้ลูกค้าเก่ายังช่วยให้ผู้ใช้ StealC เดิมย้ายมาใช้ Stadia ได้เร็ว

คำแนะนำ

• ค้นหาไฟล์ปฏิบัติการที่ใช้ชื่อโปรแกรมอัปเดต เช่น MicrosoftEdgeUpdate.exe, RuntimeBroker.exe, GoogleUpdate.exe ในไดเรกทอรีชื่อสุ่มใต้ C:\ProgramData ซึ่งไม่ใช่ตำแหน่งปกติของโปรแกรมเหล่านี้
• ตรวจ scheduled task แบบซ่อนที่รันตอนล็อกอินและซ้ำทุก 15 นาที โดยเฉพาะที่ตั้งระยะเวลานานผิดปกติ
• เฝ้าระวังการเพิ่ม exclusion ของ Microsoft Defender ผ่าน PowerShell (Add-MpPreference -ExclusionPath) และเปิด Tamper Protection
• บล็อก IP สั่งการในตาราง IoCs และค้นย้อนหลังในล็อก firewall/proxy หาการเชื่อมต่อ HTTP ที่ส่ง application/json แต่เนื้อหาเป็น Base64
• เมื่อพบเครื่องติดเชื้อ ให้ถือว่ารหัสผ่าน session token และกระเป๋าคริปโตบนเครื่องรั่วทั้งหมด เพิกถอน session ของบริการคลาวด์ (รวมถึง Azure) และบังคับเปลี่ยนรหัสผ่าน
• ลดการบันทึกรหัสผ่านไว้ในเบราว์เซอร์ และใช้ตัวจัดการรหัสผ่านที่องค์กรควบคุมได้

Indicators of Compromise (IoCs)

IP ในตารางนี้ defang แล้ว ([.]) ก่อนใช้ต้องแปลงกลับ

แหล่งอ้างอิง

• Varonis — StealC Returns
• GBHackers — StealC Infostealer Returns as Powerful Remote Access Trojan After Europol Takedown