Kaspersky แกะเคส Storm-2603 เจาะ SharePoint ผ่าน ToolShell ช่วงคริสต์มาสอีฟ ฝังเว็บเชลล์ในหน่วยความจำ ใช้ Velociraptor คงสิทธิ์ ก่อนสั่งรัน Warlock แต่ถูกบล็อก

สรุปสั้น

ToolShell คือ ชื่อเรียกชุดช่องโหว่ใน Microsoft SharePoint แบบติดตั้งในองค์กร รวมถึง CVE-2025-53770 และ CVE-2025-53771 ที่ให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ได้ด้วยคำขอเว็บที่สร้างขึ้นมา ช่องโหว่นี้ถูกใช้โจมตีวงกว้างตั้งแต่กรกฎาคม 2568 และ Microsoft โยงฝั่งแรนซัมแวร์ของการโจมตีไปที่ Storm-2603 กลุ่มที่โยงกับจีนและใช้แรนซัมแวร์ Warlock (ดูโพสต์ 2026/10/006 ) ล่าสุด Securelist ฝ่ายวิจัยภัยคุกคามของบริษัท Kaspersky เผยแพร่รายงานเมื่อ 5 พฤศจิกายน 2569 แกะเคสหนึ่งที่ Storm-2603 เจาะ SharePoint ของลูกค้า ฝังเว็บเชลล์ที่อยู่ในหน่วยความจำเท่านั้น แล้วไต่ระดับจนสั่งรัน Warlock

ผู้โจมตีเข้ามาจริงในคืนคริสต์มาสอีฟ ซึ่งทีมรักษาความปลอดภัยหลายแห่งมีคนเฝ้าน้อย จากนั้นติดตั้งเครื่องมือนิติวิทยาศาสตร์ Velociraptor เวอร์ชันมีช่องโหว่เพื่อคงสิทธิ์ เปิดช่องทางเข้าสำรองหลายทาง และวางไดรเวอร์มีช่องโหว่เพื่อปิดแอนติไวรัส ขั้นสุดท้ายถูกระบบของ Kaspersky บล็อกก่อนเข้ารหัสไฟล์ได้ บทเรียน คือ เซิร์ฟเวอร์ที่ไม่ได้แพตช์ยังถูกเจาะหลายเดือนหลังช่องโหว่เปิดเผย และการแพตช์อย่างเดียวไม่พอ ต้องหมุน MachineKey และไล่หาร่องรอยคงสิทธิ์ด้วย

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 6 พฤศจิกายน 2569 โดยอ้างรายงานของ Securelist ว่าทีมพบกิจกรรมนี้จากการทบทวนล็อกของลูกค้าในเดือนธันวาคม (ต้นฉบับไม่ระบุปี) ไทม์ไลน์เริ่มเมื่อ 20 ธันวาคม มีคำขอหนึ่งครั้งยิงไปที่ endpoint ToolPane ของ SharePoint เพื่อตรวจว่าเครื่องมีช่องโหว่ CVE-2025-53770 หรือไม่ คำขอนี้มาจากโครงสร้างของ ONYPHE แพลตฟอร์มสแกนอินเทอร์เน็ต ราว 12 นาทีต่อมามีการเชื่อมต่อครั้งที่สองจากผู้ให้บริการโฮสติ้งแบบ bulletproof ชื่อ Pfcloud UG แต่ยังไม่มีการเจาะ และเงียบไป 3 วัน ทีมจึงจัดความสำคัญต่ำในตอนแรก

การเจาะจริงเกิดเมื่อ 24 ธันวาคม ผู้โจมตีส่งคำขอจาก 45.91.94[.]204 ซึ่งเป็นโหนดของ Safing Privacy Network ที่ซ่อนต้นทางไว้หลังรีเลย์หลายชั้น คำขอนี้โหลดเว็บเชลล์เข้าโปรเซส IIS โดยตรง หลังจากนั้นผู้โจมตีติดตั้ง Velociraptor เปิดช่องทางสำรอง และเตรียมปิดแอนติไวรัส ก่อนจะสั่งรัน Warlock ซึ่งถูกบล็อก Securelist ระบุตัว Storm-2603 ด้วยความเชื่อมั่นระดับกลาง โดยอาศัยหลักฐาน 3 ข้อ ข้อแรก คือ การใช้ ToolShell ข้อสอง คือ เครื่องมือของ Warlock และข้อสาม คือ รูปแบบการใช้ Velociraptor ที่ตรงกับเคสก่อนหน้า ข้อจำกัดของข้อมูล คือ รายงานไม่ระบุชื่อ อุตสาหกรรม หรือประเทศของเหยื่อ

วิธีการโจมตี

สแกนล่วงหน้า แล้วเจาะในวันที่คนเฝ้าน้อย — ผู้โจมตีตรวจว่าเครื่องมีช่องโหว่ตั้งแต่ 20 ธันวาคม แต่รอถึงคืนคริสต์มาสอีฟจึงลงมือ ช่วงห่างนี้ทำให้สัญญาณแรกดูไม่สำคัญ และวันหยุดทำให้การตอบสนองช้าลง

เว็บเชลล์ที่ไม่แตะดิสก์ — คำขอที่ใช้ช่องโหว่ ToolShell โหลดเว็บเชลล์เข้าโปรเซส IIS worker (w3wp.exe) โดยตรง มันทำงานในหน่วยความจำและหายไปถ้า application pool ถูกรีไซเคิลหรือ IIS รีสตาร์ต เว็บเชลล์เป็นเฟรมเวิร์ก C# แบบโมดูล ส่วนหลักชื่อ G.cs ลงทะเบียน VirtualPathProvider ที่ทำให้ ASP.NET ให้บริการหน้าที่ไม่มีไฟล์จริง มันตื่นเฉพาะเมื่อคำขอมี User-Agent ที่กำหนด คุยกับผู้โจมตีด้วยโปรโตคอลไบนารีที่สลับข้อมูลด้วย XOR และใช้เครื่องมือพร็อกซี suo5 ทำอุโมงค์ผ่าน SharePoint เข้าไปหาเครื่องอื่นในเครือข่าย

ยกสิทธิ์เป็น SYSTEM — โมดูลอื่นใช้สำรวจโปรเซส ผู้ใช้ และการเชื่อมต่อ ติดตั้งแพ็กเกจ MSI แบบเงียบ และสร้างบัญชีผู้ดูแลผ่านการเรียก API ระดับล่างแทนคำสั่งปกติ เพื่อหลบการตรวจจับ ส่วนการยกสิทธิ์ใช้เทคนิค named pipe ที่ลอกมาจากเครื่องมือ EfsPotato ซึ่งได้ผลเพราะโปรเซส IIS มีสิทธิ์ impersonation อยู่แล้ว

ใช้เครื่องมือจริงคงสิทธิ์และเปิดทางสำรองหลายทาง — ไม่นานหลังเว็บเชลล์ทำงาน w3wp.exe เรียก msiexec.exe ติดตั้งแพ็กเกจจาก Supabase ซึ่ง คือ Velociraptor 0.73.4.0 เครื่องมือนิติวิทยาศาสตร์ที่มีช่องโหว่ CVE-2025-6264 ผู้โจมตีใช้มันคงสิทธิ์ สำรวจ เก็บข้อมูล และรันเพย์โหลด แล้วเปิดช่องทางสำรองทั้ง Zoho Assist, VS Code tunnel, Cloudflare Tunnel และ reverse proxy ขนาดเล็ก ทำให้ไม่ต้องพึ่งเว็บเชลล์หรือช่องโหว่ ToolShell อีก การลบเครื่องมือตัวเดียวจึงไม่ตัดการเข้าถึง

ปิดแอนติไวรัสก่อนรันแรนซัมแวร์ — กลุ่มวางไดรเวอร์มีช่องโหว่ชื่อ rsndispot.sys ซึ่ง คือ เทคนิค BYOVD หรือการนำไดรเวอร์ที่มีช่องโหว่มาใช้ปิดระบบป้องกัน คู่กับ DLL ที่ sideload และถูกระบุว่าเป็นตัวฆ่าแอนติไวรัสของ Warlock ขั้นสุดท้าย Proactive Defense Module ของ Kaspersky บล็อกโปรเซส Warlock ก่อนเข้ารหัสไฟล์ได้

ผลกระทบ

กลุ่มที่เสี่ยง คือ องค์กรที่ยังใช้ SharePoint แบบติดตั้งในองค์กรและเปิดสู่อินเทอร์เน็ต โดยเฉพาะที่แพตช์ไม่ครบหรือแพตช์แล้วแต่ไม่ได้หมุน MachineKey เคสนี้เกิดหลายเดือนหลังช่องโหว่เปิดเผยเมื่อกรกฎาคม 2568 แปลว่าเซิร์ฟเวอร์ที่ตกค้างยังเป็นเป้าของกลุ่มแรนซัมแวร์ ไม่ใช่แค่กลุ่มจารกรรม

เคสนี้รอดเพราะระบบป้องกันปลายทางบล็อกขั้นสุดท้ายได้ แต่ถ้าไม่ได้บล็อก ผู้โจมตีมีทั้งสิทธิ์ SYSTEM ช่องทางสำรองหลายทาง และไดรเวอร์ที่ปิดแอนติไวรัสได้ ซึ่งพอสำหรับเข้ารหัสทั้งเครือข่าย อีกประเด็น คือ เว็บเชลล์แบบไม่แตะดิสก์และการใช้เครื่องมือจริงอย่าง Velociraptor และ VS Code ทำให้การสแกนไฟล์แบบเดิมแทบมองไม่เห็น

คำแนะนำ

• ผู้ดูแล SharePoint ในองค์กร — ทำทันที: ติดตั้งอัปเดตความปลอดภัยฉุกเฉินของ Microsoft สำหรับ ToolShell ให้ครบทุกเซิร์ฟเวอร์
• ทำทันทีหลังแพตช์: หมุน ASP.NET MachineKey ของ SharePoint เพราะคีย์ที่หลุดไปแล้วยังใช้โจมตีต่อได้แม้แพตช์แล้ว
• ตรวจว่าโดนแล้วหรือยัง: ไล่ดูพฤติกรรมแปลกของ w3wp.exe เช่น การเรียก msiexec.exe การลงทะเบียน VirtualPathProvider ใหม่ และการเชื่อมต่อขาออกที่ไม่คาดคิด
• ตรวจเครื่องมือคงสิทธิ์: ค้นหา Velociraptor, Zoho Assist, VS Code tunnel และ cloudflared ที่ไม่ได้ติดตั้งโดยทีมไอที รวมถึงไดรเวอร์ rsndispot.sys
• ถ้ายืนยันว่าถูกเจาะ: ถือว่าทั้งเครื่องถูกยึด เก็บหน่วยความจำและล็อก IIS ไว้ก่อนรีสตาร์ต เพราะเว็บเชลล์จะหายไปพร้อมหลักฐาน แล้วไล่ตัดช่องทางสำรองทุกทาง
• ระยะยาว: ไม่เปิด SharePoint ในองค์กรสู่อินเทอร์เน็ตโดยตรง และเพิ่มคนเฝ้าระวังช่วงวันหยุดยาว

Indicators of Compromise (IoCs)

หมายเหตุ: IP โดเมน และ URL ทำ defang แล้ว

แหล่งอ้างอิง

• Storm-2603 Hackers Exploit SharePoint ToolShell Flaws to Hide Fileless Backdoor and Launch Ransomware Attack — Cyber Security News
• Storm-2603 fileless ToolShell attack — Kaspersky Securelist