แฮ็กเกอร์ส่งใบกำกับภาษี FedEx ปลอมเล็งฝ่ายบัญชีเกาหลีใต้ — PDF เปล่าปล่อย Sirius Backdoor รันในหน่วยความจำ ปิด ETW และอยู่รอดแม้รีเซ็ต Windows

สรุปสั้น

Sirius Backdoor คือ มัลแวร์ประตูหลังที่ให้ผู้โจมตีควบคุมเครื่อง Windows จากระยะไกล บริษัท Trellix เผยแพร่รายงานเมื่อวันที่ 26 ตุลาคม 2569 ว่าพบแคมเปญฟิชชิงที่ส่งอีเมลภาษาเกาหลีปลอมเป็นใบกำกับภาษีของ FedEx ไปยังพนักงานที่ดูแลบิลและการชำระเงิน เพื่อติดตั้ง Sirius Backdoor สายพันธุ์ใหม่ที่ยังไม่เคยมีการบันทึกมาก่อน อีเมลอ้างว่ามียอดภาษี 217,740 วอนใกล้ครบกำหนด เพื่อเร่งให้ผู้รับเปิดไฟล์แนบ ไฟล์แนบเป็น ZIP ที่มี PDF หน้าเปล่า เมื่อเปิด PDF และผู้ใช้กดยอมรับคำเตือน PDF จะสั่ง PowerShell ถอดรหัสโค้ดหลายชั้นแล้วรันในหน่วยความจำโดยตรง จึงแทบไม่ทิ้งร่องรอยบนดิสก์

มัลแวร์ยังพยายามทำให้เครื่องมือป้องกันมองไม่เห็นด้วยการปิดกลไก ETW ที่ EDR ใช้เก็บข้อมูล แล้วซ่อนตัวในโปรเซสที่เชื่อถือได้อย่าง msbuild.exe หรือ svchost.exe และฝังกลไกให้รันใหม่แม้ผู้ใช้รีเซ็ต Windows เมื่อควบคุมเครื่องได้ ผู้โจมตีเปิดเดสก์ท็อปซ่อน ดักกล้องและไมโครโฟน ขโมยรหัสผ่านในเบราว์เซอร์ และสลับที่อยู่กระเป๋าคริปโตในคลิปบอร์ดได้ ผู้ดูแลระบบควรบล็อก Adobe Reader ไม่ให้สร้าง child process และเฝ้าดูการที่โปรแกรมอ่าน PDF เรียก PowerShell

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 27 ตุลาคม 2569 ว่าแฮ็กเกอร์ใช้ใบกำกับภาษี FedEx ปลอมหลอกผู้ใช้ให้ติดตั้ง Sirius Backdoor บน Windows อ้างอิงรายงานของบริษัท Trellix ที่เผยแพร่เมื่อวันที่ 26 ตุลาคม 2569

ด้านที่มาของการค้นพบ ทีม Threat Response ของ Trellix พบแคมเปญนี้ระหว่างสืบสวนเหตุที่ลูกค้ารายสำคัญแจ้งเข้ามา จุดเริ่ม คือ การแจ้งเตือนว่ามีไฟล์ PDF ที่ไม่คาดคิดทำงานบนเครื่อง สิ่งที่ดูเหมือนอีเมลฟิชชิงทั่วไปกลับเป็นแคมเปญหลายขั้นที่ปล่อย Sirius Backdoor สายพันธุ์ที่ยังไม่เคยมีการบันทึก

ส่วนกลุ่มเป้าหมาย อีเมลเขียนเป็นภาษาเกาหลี ใช้หัวเรื่องว่า “[FedEx] ออกใบกำกับภาษีแล้ว” และอ้างยอดภาษี 217,740 วอน ซึ่งชี้ว่าเล็งพนักงานบัญชีในเกาหลีใต้ที่ต้องจัดการใบกำกับภาษีเป็นประจำ

ข้อจำกัดของหลักฐาน คือ รายงานไม่ได้ระบุตัวกลุ่มผู้โจมตี จำนวนเหยื่อ หรือองค์กรที่ถูกโจมตี และไม่ได้เชื่อมแคมเปญนี้กับกลุ่มใดที่รู้จัก โดเมนที่ใช้วางเพย์โหลดขั้นสุดท้ายเป็นโดเมน .ae ซึ่งอาจเป็นเว็บไซต์ที่ถูกเจาะมาใช้ ไม่ได้บอกที่ตั้งของผู้โจมตี

วิธีการโจมตี

ขั้นที่ 1 อีเมลและไฟล์แนบ — อีเมลแนบไฟล์ Fedex_tax_receipt.zip ซึ่งภายในมี Fedex_tax_receipt.pdf การซ่อนเพย์โหลดใน ZIP ช่วยให้หลุดผ่านเครื่องสแกนอีเมลแบบง่าย PDF แสดงหน้าเปล่าโดยตั้งใจ เพราะไฟล์มีไว้รันโค้ดเท่านั้น

ขั้นที่ 2 PDF สั่ง PowerShell — PDF ใช้คำสั่ง /OpenAction และ /Launch ที่ซ่อนอยู่เพื่อเรียก PowerShell ทันทีที่เปิดไฟล์ แต่ผู้ใช้ยังต้องกดยอมรับคำเตือนความปลอดภัยของโปรแกรมอ่าน PDF แคมเปญจึงต้องหลอกผู้ใช้อีกครั้ง PowerShell ไม่ได้ดาวน์โหลดไฟล์ EXE แต่ถอดรหัสก้อนข้อมูลที่เข้ารหัส AES และบีบอัด GZip ในหน่วยความจำ แล้วโหลดเป็น .NET assembly

ขั้นที่ 3 ตัวโหลดแบบตุ๊กตาซ้อน — ตัวโหลดสร้างกุญแจ RC4 จาก SHA256 แล้วประกอบขั้นถัดไปด้วยการเก็บไบต์ทุกตัวที่สามและทิ้งไบต์ขยะที่อยู่ระหว่างกลาง แต่ละขั้นมีไว้แกะขั้นถัดไปเท่านั้น โค้ดสุดท้ายจึงไม่เคยถูกเก็บบนดิสก์ในรูปที่อ่านได้

ขั้นที่ 4 ทำให้ EDR มองไม่เห็น — ตัวฉีดขั้นที่สองแก้ไข Event Tracing for Windows (ETW) ใน ntdll.dll ETW เป็นแหล่งข้อมูลหลักที่ผลิตภัณฑ์ EDR ใช้ติดตามพฤติกรรมโปรเซส การปิด ETW จึงตัดข้อมูลสำคัญของเครื่องมือป้องกัน จากนั้นจึงดาวน์โหลดเพย์โหลดสุดท้าย zeus.dat จาก dubaitechnicalservice[.]ae แล้วฉีดเข้าโปรเซสที่เชื่อถือได้อย่าง msbuild.exe หรือ svchost.exe ด้วยเทคนิค Early Bird APC injection ซึ่งฉีดโค้ดก่อนโปรเซสเป้าหมายเริ่มทำงานจริง

ขั้นที่ 5 คงอยู่แม้รีเซ็ตเครื่อง — ถ้ามีสิทธิ์ผู้ดูแล Sirius วาง provisioning package ใน C:\Recovery\Customizations และสร้าง SetupComplete.cmd ให้รันด้วยสิทธิ์ SYSTEM ระหว่างติดตั้ง Windows ทำให้อยู่รอดแม้รีเซ็ตระบบ ถ้าไม่มีสิทธิ์ผู้ดูแล จะเขียน updater.vbs ลงโฟลเดอร์ Startup แล้วขอยกระดับสิทธิ์ และยังคัดลอกตัวเองเข้า System32 ในชื่อ user32.dll เพื่อทำ DLL sideloading ได้

ขั้นที่ 6 ความสามารถหลังยึดเครื่อง — ผู้โจมตีเปิดเดสก์ท็อปซ่อน ใช้ SOCKS5 proxy ในตัว ดักภาพจากกล้องและเสียงจากไมโครโฟน ขโมยข้อมูลรับรองจากเบราว์เซอร์ตระกูล Chromium และสลับที่อยู่กระเป๋าคริปโตในคลิปบอร์ด มัลแวร์ยังเพิ่มข้อยกเว้นใน Microsoft Defender และลบ Volume Shadow Copies เพื่อตัดทางกู้คืน

ผลกระทบ

ผู้ที่เสี่ยงโดยตรง คือ พนักงานฝ่ายบัญชีและการเงินในองค์กรเกาหลีใต้ที่รับใบกำกับภาษีทางอีเมล เครื่องของกลุ่มนี้มักเข้าถึงระบบบัญชี ธนาคารออนไลน์ และข้อมูลการเงิน ผู้โจมตีที่ยึดเครื่องได้จึงขโมยข้อมูลรับรอง สอดแนมผ่านกล้องและไมโครโฟน และใช้ SOCKS5 proxy เป็นทางเข้าเครือข่ายภายในได้

ในเชิงเทคนิค การรวมการรันในหน่วยความจำ การปิด ETW และการฝังตัวในโฟลเดอร์ Recovery ทำให้แคมเปญนี้ตรวจจับและกำจัดยาก การล้างเครื่องด้วยการรีเซ็ต Windows ซึ่งทีมไอทีมักใช้เป็นทางออกสุดท้ายอาจไม่พอ เพราะมัลแวร์ออกแบบให้รันใหม่ระหว่างติดตั้ง การลบ Shadow Copies ยังเพิ่มความเสียหายหากผู้โจมตีปล่อยแรนซัมแวร์ตามมา

คำแนะนำ

• บล็อก Adobe Reader ไม่ให้สร้าง child process — เปิดกฎ Microsoft Defender ASR “Block Adobe Reader from creating child processes” ตามที่ Trellix แนะนำ เพื่อตัดขั้นที่ PDF เรียก PowerShell
• ล่าหาร่องรอยด้วย IoC ด้านล่าง — ค้นแฮชไฟล์ในอีเมลและ EDR และบล็อกการเชื่อมต่อไปยัง C2 185.114.206[.]45:4449 และโดเมน dubaitechnicalservice[.]ae
• เฝ้าดูสายโปรเซสผิดปกติ — ตั้งการแจ้งเตือนเมื่อโปรแกรมอ่าน PDF เรียก PowerShell และเมื่อ msbuild.exe หรือ svchost.exe เชื่อมต่อออกอินเทอร์เน็ตไปยังพอร์ตแปลก
• เปิด PowerShell Constrained Language Mode และ Script Block Logging — เก็บ Event ID 4104 เข้า SIEM เพื่อเห็นสคริปต์ที่ถอดรหัสแล้วรันในหน่วยความจำ
• ตรวจจุดฝังตัวบนเครื่องที่สงสัย — เช็ก C:\Recovery\Customizations, ไฟล์ SetupComplete.cmd, updater.vbs ในโฟลเดอร์ Startup, ไฟล์ user32.dll ที่ผิดที่ รวมถึงข้อยกเว้นใน Defender และ scheduled task ที่เพิ่มใหม่
• ถ้าพบการติดเชื้อ — แยกเครื่องออกจากเครือข่าย เปลี่ยนรหัสผ่านที่เก็บในเบราว์เซอร์ทั้งหมด และติดตั้งระบบใหม่จากสื่อที่สะอาด ไม่ใช้การรีเซ็ตจากพาร์ทิชัน Recovery ของเครื่องเดิม

Indicators of Compromise (IoCs)

ข้อมูลจากรายงานของ Trellix · โดเมนและ IP ถูก defang แล้ว (เช่น [.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ

แหล่งอ้างอิง

• Hackers Use Fake FedEx Invoices to Deploy Sirius Backdoor and Evade Windows Security — Cyber Security News
• Sirius Backdoor: Fileless Campaign Using Fake FedEx Invoices — Trellix