Arctic Wolf พบ loader .NET ตัวเดียวกันส่ง XWorm ในฟิชชิงอ้างหมายศาลโคลอมเบียและเคสในอังกฤษ — ใช้ loader ซ้ำแต่ยังไม่ใช่ผู้โจมตีกลุ่มเดียวกัน

สรุปสั้น

XWorm คือ โทรจันควบคุมเครื่องระยะไกล (RAT) ที่ขายในตลาดใต้ดินและถูกใช้อย่างกว้างขวาง ก่อนหน้านี้มีรายงานว่ามันพัฒนาเป็นแพลตฟอร์มสอดแนมที่มีปลั๊กอินยึดเซสชันเบราว์เซอร์ (2026/10/107 ) ล่าสุดบริษัท Arctic Wolf เผยแพร่ผลวิเคราะห์แคมเปญฟิชชิงที่เล็งองค์กรในโคลอมเบีย อีเมลภาษาสเปนส่งมาจากองค์กรในโคลอมเบียเอง อ้างเป็นหนังสือทางศาลหรือเอกสารราชการ และแนบไฟล์ VBScript หรือ JavaScript ที่ตั้งชื่อเลียนแบบเอกสาร เมื่อเหยื่อเปิด สคริปต์จะถอดรหัสหลายชั้นจนได้ PowerShell ที่โหลด DLL .NET เข้าหน่วยความจำ แล้วใช้ DLL นั้นฉีด XWorm เข้าโปรแกรม RegAsm.exe ของ Microsoft

ประเด็นสำคัญ คือ DLL ตัวนี้ตรงกับเคสที่เชื่อมกับอังกฤษซึ่งมีการบันทึกไว้เมื่อวันที่ 10 กันยายน 2569 ทุกไบต์ แม้วิธีส่งมัลแวร์ของ 2 เคสจะต่างกัน Arctic Wolf ย้ำว่าข้อมูลนี้ยืนยันแค่การใช้ loader ซ้ำ ไม่ได้แปลว่าเป็นผู้โจมตีกลุ่มเดียวกัน เพราะ payload, โปรแกรมเป้าหมายที่ถูกฉีด และเซิร์ฟเวอร์ C2 ต่างกันทั้งหมด และยังพบ loader เดียวกันส่ง DCRat ด้วย ผู้ดูแลควรบล็อกการรันไฟล์ .vbs และ .js จากไฟล์แนบอีเมล และบล็อก C2 ที่ระบุใน IoCs

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่าผู้โจมตีใช้ loader ของ XWorm ซ้ำในแคมเปญฟิชชิงที่เล็งโคลอมเบียและสหราชอาณาจักร โดยอ้างผลวิเคราะห์ที่ Arctic Wolf เผยแพร่ในคลัง wolf-tools บน GitHub ตามข้อมูลของ Arctic Wolf อีเมลในแคมเปญโคลอมเบียเขียนเป็นภาษาสเปน เร่งให้ผู้รับรีบดำเนินการ และตั้งชื่อไฟล์แนบเลียนแบบหนังสือราชการหรือเอกสารศาล เพื่อหลอกให้รันสคริปต์ที่ปลอมเป็นเอกสาร

หลักฐานว่า loader ถูกใช้ซ้ำมีสองข้อ ข้อแรก DLL ที่กู้คืนมาตรงกับ DLL ในรายงานของนักวิจัยชื่อ Buschbeck เมื่อเดือนกันยายนทั้งค่าแฮชและรูปแบบการเรียกใช้ แม้เคสนั้นจะส่งผ่าน JavaScript ตั้งให้ฉีดเข้า MSBuild.exe และใช้ payload กับ C2 คนละชุด ข้อสอง endpoint ของ C2 3 รายการปรากฏในบันทึก sandbox สาธารณะของ XWorm build อื่นที่มีค่าแฮช mutex และ group ต่างกัน ซึ่งชี้ว่าโครงสร้างพื้นฐานถูกใช้ซ้ำข้าม build ที่ตั้งค่าแยกกัน ไม่ใช่การเห็นไฟล์เดียวกันซ้ำ ภาพรวมของห่วงโซ่ยังคล้ายแคมเปญ XWorm อื่น เช่น เคสที่ Fortinet รายงานซึ่งใช้ Excel ส่งต่อไป HTA แล้วรัน XWorm ใน MSBuild.exe แต่ยังไม่มีหลักฐานว่าเกี่ยวกับแคมเปญนี้โดยตรง ข้อจำกัดของหลักฐาน คือ รายงานไม่ระบุชื่อกลุ่มผู้โจมตี จำนวนเหยื่อ หรือองค์กรที่ถูกปลอมเป็นผู้ส่ง และ Arctic Wolf ตั้งใจแยกการวิเคราะห์ loader การตั้งค่า payload และโครงสร้างพื้นฐานออกจากกัน เพื่อไม่ให้สรุปเกินหลักฐาน

วิธีการโจมตี

ขั้นที่ 1: สคริปต์ซ่อนโค้ดหลายชั้น — ไฟล์ VBScript ใช้ชื่อตัวแปรที่สร้างขึ้นแบบสุ่ม ตัวแปรตั้งค่าหลอก การต่อสตริงที่เข้ารหัส และตัวห่อการรันโค้ด ชั้นในใช้การถอดรหัสแบบ Base93 ที่เขียนเอง แล้วผ่านตารางแทนที่ตัวอักษรที่มีกุญแจ การจัดการระดับบิต และการเข้ารหัสแบบบล็อกขนาด 8 และ 12 ไบต์ที่เขียนเอง ซึ่งต่อบล็อกด้วย XOR กับ ciphertext ก่อนหน้าคล้าย CBC ก่อนจะมีชั้น AES-256-CBC อีกชั้นเพื่อได้ PowerShell ออกมา ส่วนไฟล์ JavaScript ซ่อน PowerShell ด้วยสตริงที่เข้ารหัส การต่อสตริง และชื่อฟังก์ชันที่สร้างขณะรัน การซ้อนหลายชั้นแบบนี้ทำให้เครื่องมือสแกนแบบ static จับได้ยาก

ขั้นที่ 2: PowerShell แกะ loader — ตัวแกะ PowerShell ประมวลผลสตริงที่ป้องกันไว้ 2 ชุดด้วยกุญแจและ IV แยกกัน ใช้การเข้ารหัส Base52 ที่เขียนเอง ตารางแทนที่ 256 รายการ พฤติกรรมของ System.Random ใน .NET ที่คาดเดาได้ และตัวสร้างสตรีมแบบ RC4 จนได้ DLL .NET แบบ PE32 และไฟล์ VB.NET

ขั้นที่ 3: โหลดเข้าหน่วยความจำแล้วฉีดเข้าโปรแกรมของ Microsoft — PowerShell โหลด DLL ชื่อ RSG_UnityApp แบบ reflective (โหลดจากหน่วยความจำโดยไม่เขียนลงดิสก์) แล้วเรียกเมธอด static ที่รับ 6 อาร์กิวเมนต์ ในนั้นมี path ของ RegAsm.exe และไบต์ของ XWorm DLL ระบุตัวเองเป็นเวอร์ชัน 1.1.0.0 และป้องกันด้วย Crypto Obfuscator การรันมัลแวร์ภายในโปรแกรมที่ Microsoft ลงนามทำให้กลมกลืนกับโปรเซสปกติ

ขั้นที่ 4: XWorm สื่อสารกับ C2 — XWorm ถอดรหัสค่าตั้งค่าด้วยกุญแจที่ได้จาก MD5 ของชื่อ mutex และ AES-256-ECB การสื่อสารกับ C2 ใช้ AES-128-ECB นำหน้าข้อความด้วยความยาวไบต์และตัวคั่น NUL และใช้ตัวคั่น <XWormmm> ข้อความแรก (INFO beacon) ส่งชื่อผู้ใช้ ระบบปฏิบัติการ วันติดตั้ง สถานะสิทธิ์ admin การมีเว็บแคม สเปกฮาร์ดแวร์ และสถานะแอนติไวรัส คำสั่งที่รองรับมีทั้งอัปเดต ดาวน์โหลดและรันไฟล์ จัดการไฟล์ รัน shell จับภาพหน้าจอ โหลดปลั๊กอิน โจมตี DDoS และแก้ไฟล์ hosts

ผลกระทบ

กลุ่มที่โดนโดยตรง คือ องค์กรในโคลอมเบียที่ได้รับอีเมลอ้างเอกสารศาล ซึ่งมาจากที่อยู่ขององค์กรโคลอมเบียจริง จึงดูน่าเชื่อถือกว่าฟิชชิงทั่วไป เครื่องที่ติด XWorm จะถูกควบคุมจากระยะไกลเต็มรูปแบบ ทั้งขโมยไฟล์ จับภาพหน้าจอ รันคำสั่ง และโหลดปลั๊กอินเพิ่ม ซึ่งเปิดทางไปสู่การขโมยข้อมูลหรือการเจาะเครือข่ายต่อ

อีกด้านหนึ่ง การที่ loader ตัวเดียวกันโผล่ทั้งในเคสโคลอมเบีย เคสอังกฤษ และเคสที่ส่ง DCRat ชี้ว่า loader นี้น่าจะถูกขายหรือแจกจ่ายในหมู่ผู้โจมตีหลายราย กฎตรวจจับที่จับ loader ได้จึงใช้ป้องกันได้หลายแคมเปญพร้อมกัน แม้ payload และ C2 จะเปลี่ยนไป

คำแนะนำ

• บล็อกไฟล์แนบสคริปต์ ตั้ง mail gateway ให้กักไฟล์ .vbs, .js, .jse, .wsf และไฟล์บีบอัดที่มีไฟล์เหล่านี้ และเปลี่ยน default handler ของ .vbs/.js ใน Windows ให้เปิดด้วย Notepad แทน Windows Script Host
• บล็อก C2 ในตาราง IoCs ที่ firewall, DNS และ proxy และไล่ล็อกย้อนหลังหาการเชื่อมต่อไปยังโดเมนและ IP เหล่านี้ รวมถึงพอร์ต 4521, 3008 และ 1177
• ล่าหา loader ในล็อก EDR มองหา wscript.exe หรือ cscript.exe ที่สร้าง powershell.exe แล้วตามด้วย RegAsm.exe หรือ MSBuild.exe ที่เชื่อมต่อออกอินเทอร์เน็ต และการโหลด assembly ชื่อ RSG_UnityApp
• เปิด PowerShell Script Block Logging และ AMSI เพื่อให้เห็น PowerShell หลังถอดรหัสแล้ว และจำกัด PowerShell ด้วย Constrained Language Mode บนเครื่องผู้ใช้ทั่วไป
• ถ้าพบเครื่องติด ให้แยกเครื่อง เปลี่ยนรหัสผ่านของผู้ใช้เครื่องนั้นและเซสชันเบราว์เซอร์ที่ล็อกอินอยู่ แล้วตรวจไฟล์ hosts และปลั๊กอินที่ XWorm อาจติดตั้งไว้
• อบรมพนักงานฝ่ายกฎหมายและธุรการ ซึ่งเป็นเป้าของอีเมลอ้างหมายศาล ให้รู้ว่าเอกสารราชการจริงไม่มาเป็นไฟล์สคริปต์

Indicators of Compromise (IoCs)

ค่าทั้งหมด defang แล้ว (เช่น [.]) เพื่อป้องกันการคลิกหรือ resolve โดยไม่ตั้งใจ

แหล่งอ้างอิง

• Hackers Reuse XWorm Malware Loader Across Phishing Campaigns Targeting Colombia and the UK — GBHackers
• Colombia judicial phishing delivers XWorm via reused .NET loader — Arctic Wolf (wolf-tools)