Arctic Wolf ชี้แพตเทิร์นซ้ำในเคสหลายร้อยราย — แชตภายนอก Microsoft Teams ปลอมเป็น "IT Support (Internal)" จาก tenant ใช้แล้วทิ้ง หลอกติดตั้ง RMM ปูทางแรนซัมแวร์

สรุปสั้น

การโทรหรือแชตปลอมเป็นฝ่ายไอทีผ่าน Microsoft Teams เป็นเทคนิคที่กลุ่มแรนซัมแวร์ใช้ต่อเนื่อง และเคยรายงานไว้ใน 2026/07/294 กับ 2026/07/306 รอบนี้บริษัท Arctic Wolf ผู้ให้บริการด้านความปลอดภัย ถอยออกมามองภาพรวมจากเคสที่สอบสวนหลายร้อยราย และพบแพตเทิร์นที่ซ้ำกันอย่างชัดเจน ผู้โจมตีใช้ tenant ของ Microsoft 365 ที่สร้างใหม่หรือซื้อต่อมาแบบใช้แล้วทิ้ง ตั้งชื่อแสดงผลอย่าง “IT Support (Internal)” ทักแชตภายนอกเข้าหาพนักงานผ่าน Teams แล้วหลอกให้เปิดเครื่องมือควบคุมระยะไกล (RMM) อย่าง Quick Assist หรือ AnyDesk ให้ผู้โจมตีเข้ามาคุมเครื่องเอง ก่อนวางแบ็กดอร์ ขโมยข้อมูล และปล่อยแรนซัมแวร์ในบางเคส

สิ่งที่รายงานนี้เพิ่มจากที่เคยรู้ คือ รายละเอียดของโครงสร้างที่ผู้โจมตีใช้ซ้ำ ได้แก่ ราว 30-40% ของเคสใช้โดเมน onmicrosoft.com ที่ Microsoft สร้างให้อัตโนมัติ ตั้งชื่อ tenant ให้ฟังดูเป็นฝ่ายไอที และระยะหลังเปลี่ยนไปจดโดเมนแบบเสียเงินซึ่งครึ่งหนึ่งเป็น .top นอกจากนี้ผู้โจมตีเลี่ยงการวาง URL ลงแชตเพื่อไม่ให้ระบบสแกนลิงก์ของ Microsoft ทำงาน แล้วเปิดไฟล์อันตรายเองระหว่างคุมเครื่อง การตรวจข้อความในแชตจึงไม่พอ องค์กรที่เปิดให้แชตกับผู้ใช้ภายนอก Teams ได้อิสระควรจำกัดการเข้าถึงภายนอกและควบคุมเครื่องมือ RMM ที่อนุญาตให้ใช้

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 26 ตุลาคม 2569 โดยอ้างรายงานของ Arctic Wolf Labs ที่ส่งให้ The Hacker News ว่าเคสเหล่านี้เป็น “แพตเทิร์นวิศวกรรมสังคมที่เกิดซ้ำ” ผู้โจมตีใช้ tenant ใช้แล้วทิ้งชุดเดิม ชื่อแสดงผลแบบเดิม เครื่องมือควบคุมระยะไกลชุดเดิม และระยะหลังเริ่มใช้โดเมนส่ง payload ชุดเดียวกันด้วย

ด้านโดเมน Arctic Wolf พบว่าราว 30-40% ของเคสใช้ซับโดเมนของ onmicrosoft.com ซึ่ง คือ โดเมนสำรองถาวรที่ Microsoft สร้างให้อัตโนมัติเมื่อมีการสร้าง tenant ใหม่ ผู้โจมตีตั้งชื่อ tenant ด้วยคำที่สื่อถึง help desk หรือฝ่ายสนับสนุน เช่น helpdeskteam365 และ itcoreportal ส่วนในช่วงไม่กี่เดือนหลัง ผู้โจมตีหันไปใช้โดเมนระดับบนสุดแบบเสียเงิน ในกลุ่มนี้ราว 50% ใช้ .top ราว 40% ใช้ .com และอีกกว่า 5% ใช้โดเมนหลายระดับ เช่น .com.pl, .com.vn และ .com.br

ด้านชื่อแสดงผล ผู้โจมตีใช้ชื่อเชิงไอทีหรือชื่อคนที่ฟังดูเป็นมิตร เช่น “Help Desk”, “IT Service Desk – Liam” และ “Enterprise IT & Security (Internal)” เพื่อลดน้ำหนักของคำเตือนผู้ใช้ภายนอกที่ Teams แสดง และในรอบหลัง ๆ เริ่มใส่ชื่อบริษัทหรือโดเมนขององค์กรเป้าหมายลงในชื่อแสดงผลด้วย เพื่อให้ดูเหมือนคนในมากขึ้น

Arctic Wolf ระบุว่ากิจกรรมนี้สอดคล้องกับ STAC4749 กลุ่มที่บริษัท Sophos ติดตามอยู่ ซึ่งมีประวัติสร้างโดเมนคลาวด์ธีมไอทีภายใต้ .top และใช้ชื่อผู้ใช้ที่ดูเหมือนพนักงานจริง โดย Sophos รายงานว่าการโจมตีของกลุ่มนี้นำไปสู่การปล่อยแรนซัมแวร์ Chaos อย่างไรก็ตาม รายงานใช้คำว่า “สอดคล้อง” ไม่ได้ยืนยันว่าทุกเคสเป็นฝีมือกลุ่มเดียว และไม่ได้เปิดเผยจำนวนเคสที่ไปถึงขั้นแรนซัมแวร์จริง

วิธีการโจมตี

สร้างเหตุให้เหยื่ออยากได้ความช่วยเหลือ — หลายเคสเริ่มจาก email bombing คือ การถล่มกล่องจดหมายของเหยื่อด้วยจดหมายยืนยันการสมัครรับข่าวสารนับร้อยฉบับในเวลาสั้น ๆ เพื่อสร้างความวุ่นวายและความเร่งรีบ จากนั้นไม่นานข้อความจาก “ฝ่ายไอที” ใน Teams ก็มาถึงพร้อมข้อเสนอว่าจะช่วยแก้ปัญหา

ทักแชตภายนอกจาก tenant ปลอม — ผู้โจมตีเล็งองค์กรที่เปิด external access ใน Teams ไว้ แล้วทักจากบัญชีใน tenant ที่ตั้งชื่อให้ดูเป็นฝ่ายไอที วิธีนี้ได้ผลเพราะอาศัยความไว้ใจ ไม่ได้อาศัยช่องโหว่ซอฟต์แวร์ใด ชื่อแสดงผลที่มีคำว่า “Internal” หรือชื่อบริษัทของเหยื่อทำให้คำเตือนว่าเป็นผู้ใช้ภายนอกดูไม่น่ากังวล

หลอกให้เปิดทางควบคุมเครื่อง — ผู้โจมตีใช้การโทรหลอก (vishing) ควบคู่ ชวนให้เหยื่อเปิดเครื่องมือ RMM ที่ถูกกฎหมาย เช่น Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport หรือ LogMeIn เพื่อให้ผู้โจมตีควบคุมคีย์บอร์ดและเมาส์ได้โดยตรง

หลบระบบสแกนลิงก์ — ผู้โจมตีมักไม่วาง URL ลงในแชต Teams เพราะจะไปกระตุ้นการสแกนของ Safe Links และ ZAP แต่จะเปิดหน้าเว็บที่เก็บ payload เองระหว่างควบคุมเครื่อง บางเคสใช้แอปโน้ตของ Microsoft ร่วมด้วย ผล คือ ร่องรอยสำคัญไปอยู่ที่ endpoint และระบบตัวตน ไม่ได้อยู่ในข้อความแชต

วาง payload และสำรวจ Active Directory — ในเคสหนึ่ง ผู้โจมตีสั่งให้ผู้ใช้รันคำสั่ง PowerShell ดาวน์โหลดตัวติดตั้ง MSI จาก Microsoft Azure Blob Storage เมื่อรันแล้วจะเรียกสคริปต์ PowerShell ที่แตกและรัน Python implant ที่ฝังอยู่ข้างใน แบ็กดอร์ตัวนี้รันตัวติดตั้ง MSI อีกรอบเพื่อส่งคำค้น LDAP ดึงรายชื่อคอมพิวเตอร์และผู้ใช้ทั้งหมดใน Active Directory แล้วส่งออกไปยังเซิร์ฟเวอร์ภายนอก

ขยายผลจนถึงแรนซัมแวร์ — การเข้าถึงระยะไกลถูกใช้สำรวจเครือข่าย ติดตั้ง payload เพิ่ม เช่น แบ็กดอร์ GoGRPC ขยับไปยัง domain controller และติดตั้ง RMM ตัวอื่น เช่น Level ไว้เป็นช่องทางสำรอง ก่อนขโมยข้อมูลสำคัญออกไปและปล่อยไฟล์แรนซัมแวร์

อัปเดต 28 ต.ค. 2569: ตัวเลขเพิ่มเติมและความเชื่อมโยงกับ Black Basta

อัปเดต 28 ต.ค. 2569: เว็บไซต์ Dark Reading รายงานเพิ่มเติมจากบล็อกของนาย Shubham Dubey นักวิจัยของ Arctic Wolf และการให้สัมภาษณ์ของนาย Justin Moore ผู้อำนวยการฝ่ายปฏิบัติการด้านผู้โจมตีของ Arctic Wolf ซึ่งให้ภาพที่ชัดขึ้นในหลายประเด็น

ขนาดและอัตราความสำเร็จ — Arctic Wolf พบแพตเทิร์นนี้ในเหตุการณ์จริงกว่า 400 เคส ผู้โจมตีมักทักหาผู้ใช้หลายคนในองค์กรเดียวกันภายในช่วงเวลาสั้นราว 5 นาที และเมื่อเหยื่อยอมเปิดทาง ขั้นตอนจะไปถึงการรัน payload ได้ภายในไม่ถึง 15 นาที นาย Moore ระบุว่าราว 15% ของเคสไปได้ไกลกว่าขั้นแรกจนเจาะระบบสำเร็จ ซึ่งถือว่าคุ้มสำหรับผู้โจมตีเมื่อเทียบกับปริมาณแคมเปญ

ใครอยู่เบื้องหลัง — นาย Moore ไม่ฟันธงการระบุตัวผู้โจมตี แต่ระบุว่ากิจกรรมที่เกี่ยวข้องกับ Black Basta ยังเป็นหนึ่งในตัวขับเคลื่อนหลักของการใช้แชต Teams ในทางมิชอบ เทคนิค email bombing นี้ Microsoft พบว่า Black Basta ใช้ตั้งแต่กลางปี 2024 และต่อมาพบในแคมเปญของ 3AM, Cactus, Chaos และ GoGRPC ด้วย สิ่งที่รายงานของ Arctic Wolf เพิ่มเข้ามา คือ หลักฐานว่าเทคนิคนี้ถูกใช้ในระดับอุตสาหกรรม ด้วยโครงสร้างพื้นฐานและรูปแบบการตั้งชื่อที่ซ้ำกันข้ามหลายร้อยเคส

ลำดับหลังได้สิทธิ์เข้าเครื่อง — นาย Dubey อธิบายลำดับที่พบบ่อย ได้แก่ สำรวจเครื่องด้วย whoami และ systeminfo รัน payload ผ่าน PowerShell วาง beacon ติดต่อ C2 ขยับไปเครื่องอื่นเพื่อขโมยข้อมูลยืนยันตัวตนด้วยเทคนิคโจมตี Kerberos อย่าง Kerberoasting และ GoldenPAC แล้วติดตั้งเครื่องมือควบคุมระยะไกลเชิงพาณิชย์ตัวที่สอง ซึ่งเป็นช่องทางควบคุมแยกที่ยังอยู่ได้แม้ implant ตัวแรกถูกกำจัดแล้ว

ร่องรอยการตั้งชื่อเพิ่มเติม — นอกจากชื่อแสดงผลภาษาอังกฤษ ผู้โจมตียังปรับชื่อตามภาษาของเป้าหมาย เช่น “Supporte TI” สำหรับองค์กรที่ใช้ภาษาฝรั่งเศสและสเปน และใช้อีโมจิต่างกันถึง 100 แบบในชื่อแสดงผล

จุดตรวจจับหลักและทิศทางต่อไป — ก่อนเริ่มหลอก ผู้โจมตีจะเปิดแชตแบบตัวต่อตัวเพื่อเลี่ยงแชตกลุ่ม ซึ่ง Microsoft บันทึกในเทเลเมทรีเป็นเหตุการณ์ ChatCreated และ Arctic Wolf ประเมินว่านี่ คือ จุดตรวจจับหลักที่ควรตั้งการแจ้งเตือน นาย Moore เสริมว่าเริ่มพบแคมเปญที่ผสมการหลอกผ่านแชต Teams เข้ากับเทคนิคแบบ ClickFix แล้ว ด้านโฆษกของ Microsoft ระบุว่าเดือนหน้า Teams จะเริ่มใช้ระบบตรวจจับฟิชชิงด้วย AI ที่อ่านบริบทของบทสนทนา โดยเน้นแชตครั้งแรกกับผู้ใช้ภายนอก

ผลกระทบ

กลุ่มที่โดนโดยตรง คือ องค์กรที่ใช้ Microsoft 365 และเปิดให้ผู้ใช้ Teams แชตกับบัญชีภายนอกได้โดยไม่จำกัดโดเมน ซึ่งเป็นค่าที่หลายองค์กรเปิดไว้เพื่อคุยกับลูกค้าหรือคู่ค้า พนักงานทั่วไปที่ไม่ได้อยู่สายไอที คือ เป้าหลัก เพราะแยกได้ยากว่าข้อความจาก “IT Service Desk” เป็นของจริงหรือไม่ ขนาดของปัญหาสะท้อนจากจำนวนเคสหลายร้อยรายที่ Arctic Wolf สอบสวนเอง ซึ่งยังเป็นเพียงภาพจากลูกค้าของผู้ให้บริการรายเดียว

ผลที่ตามมาจริงไล่ตั้งแต่เครื่องพนักงานถูกควบคุมระยะไกล ข้อมูล Active Directory ทั้งหมดรั่ว การยึด domain controller ไปจนถึงการขโมยข้อมูลและเข้ารหัสระบบด้วยแรนซัมแวร์ ความยากของการป้องกันอยู่ที่ทุกขั้นตอนใช้ของถูกกฎหมาย ทั้ง tenant ของ Microsoft ฟีเจอร์แชตภายนอก และเครื่องมือ RMM ที่ฝ่ายไอทีใช้จริง อีกทั้งผู้โจมตีจงใจหลบระบบสแกนลิงก์ การป้องกันที่ตรวจเฉพาะอีเมลหรือข้อความจึงพลาดการโจมตีนี้ได้ง่าย

คำแนะนำ

• จำกัดการแชตภายนอกใน Teams ทันที — เปลี่ยน external access จาก “อนุญาตทุกโดเมน” เป็น allowlist เฉพาะโดเมนคู่ค้าที่จำเป็น และพิจารณาบล็อกการติดต่อจากซับโดเมน onmicrosoft.com ที่ไม่รู้จัก
• ควบคุมเครื่องมือ RMM — กำหนดให้ใช้เครื่องมือควบคุมระยะไกลที่องค์กรอนุมัติเพียงตัวเดียว แล้วบล็อกการติดตั้งหรือรัน Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport, LogMeIn และ Level ที่ไม่ได้รับอนุมัติด้วย application control
• ปิดช่องที่ tenant ใช้แล้วทิ้งเข้าถึงได้ — บล็อกแชตจากบัญชีที่ไม่มีองค์กรดูแลและบัญชี Teams แบบผู้ใช้ทั่วไป ปิดตัวเลือกที่ให้ผู้ใช้ภายนอกที่ไม่มีองค์กรดูแลเริ่มบทสนทนาได้ และบล็อก federation กับ tenant ที่เป็นแบบทดลองใช้เท่านั้น ตามคำแนะนำของ Arctic Wolf
• ตั้งแจ้งเตือนเหตุการณ์ ChatCreated จากผู้ใช้ภายนอก — โดยเฉพาะแชตตัวต่อตัวที่ชื่อแสดงผลมีคำว่า IT Support, Help Desk หรือ (Internal) และตามด้วยการเปิด RMM ภายในไม่กี่นาที
• ตรวจหาร่องรอยฝั่ง endpoint และ identity — ค้นหาการรัน RMM ที่ไม่คาดคิดทันทีหลังมีแชตภายนอกใน Teams, คำสั่ง PowerShell ที่ดาวน์โหลด MSI จาก Azure Blob Storage, ตัวติดตั้ง MSI ที่แตก Python ออกมา และคำค้น LDAP จำนวนมากจากเครื่องผู้ใช้ทั่วไป
• ใช้ email bombing เป็นสัญญาณเตือน — ตั้งกฎแจ้งเตือนเมื่อกล่องจดหมายใดได้รับจดหมายสมัครสมาชิกจำนวนมากผิดปกติในเวลาสั้น ๆ แล้วรีบติดต่อเจ้าของกล่องผ่านช่องทางที่รู้จักก่อนผู้โจมตีทักเข้ามา
• ถ้าพบว่าโดนแล้ว — แยกเครื่องออกจากเครือข่าย ถอน RMM ทุกตัวที่ผู้โจมตีติดตั้ง รวมถึงตัวสำรอง ตรวจ domain controller และเปลี่ยนรหัสผ่านบัญชีที่อาจถูกขโมย
• กำหนดช่องทางยืนยันฝ่ายไอทีที่ชัดเจน — แจ้งพนักงานว่าฝ่ายไอทีจริงจะไม่ทักผ่านแชตภายนอกหรือขอให้เปิด Quick Assist เอง และกำหนดวิธีโทรกลับหรือเปิดตั๋วผ่านระบบภายในเพื่อยืนยันทุกครั้ง

Indicators of Compromise (IoCs)

indicator ถูก defang แล้ว ([.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ

แหล่งอ้างอิง

• Attackers Use Microsoft Teams IT Support Scams to Deploy Malware and Ransomware — The Hacker News
• Threat actors abuse Microsoft Teams external chat for initial access — Arctic Wolf
• Add or replace your onmicrosoft.com domain — Microsoft Learn
• External Teams Chats Anchor 15-Minute Malware Delivery — Dark Reading