พบมัลแวร์ตัวใหม่ TWINLOOT
ตรวจพบมัลแวร์ตัวใหม่ TWINLOOT มีการใช้ระบบคลาวด์ของไมโครซอฟต์เป็นศูนย์บัญชาการ
จากรายงานโดยเว็บไซต์ CSO Online ได้กล่าวถึงการตรวจพบแคมเปญของมัลแวร์ประเภท เฟรมเวิร์ก (Framework) และแบบเปิดประตูหลังของระบบ หรือ Backdoor ที่มีชื่อว่า TWINLOOT ที่ทางทีมวิจัยจากองค์กร Ontinue Cyber Defense Center ตรวจพบในช่วงเดือนกรกฎาคมที่ผ่านมา โดยมัลแวร์ตัวนี้นั้นมีรูปแบบการทำงานที่น่าสนใจคือมีการใช้ระบบบริการคลาว ด์หลากรูปแบบของทางไมโครซอฟท์มาเป็นโครงสร้างพื้นฐานของตัวมัลแวร์ ไม่ว่าจะเป็น
SharePoint นำมาใช้งานเป็นจุดรับ/ฝากไฟล์ (File-Based Dead Drop) ซึ่งจุดนี้จะเป็นจุดพักในการรับส่งคำสั่งจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) และเป็นแหล่งพักไฟล์ที่ถูกลักลอบส่งออก (Exfiltration) มาจากเครื่องของเหยื่อเพื่อเลี่ยงการถูกตรวจจับและสาวถึงเซิร์ฟเวอร์ C2
โครงสร้างพื้นฐาน TURN ของ Microsoft Teams ใช้เป็นช่องทางการติดต่อสื่อสารระหว่างเซิร์ฟเวอร์ C2 กับตัวมัลแวร์ เพื่อเลี่ยงการถูกตรวจจับสัญญาณการจราจรข้อมูล (Traffic Scanning)
Headless Edge Browser และ Microsoft Graph API โดยมัลแวร์จะใช้งานเว็บเบราว์เซอร์แบบซ่อนหน้าต่าง (Headless) ของ Edge ขึ้นมาเพื่อใช้งาน Microsoft Graph API ในการส่งคำขอ (Request) กลับไปยังเซิร์ฟเวอร์ C2 ของมัลแวร์
เมื่อทางทีมวิจัยได้ทำการวิเคราะห์เจาะลึกแล้วก็พบว่าตัวสถาปัตยกรรมของมัลแวร์ TWINLOOT นั้นได้ถูกออกแบบมาอย่างดีด้วยการแยกช่องทางทำงานทั่วไปเป็นประจำ (Routine) กับช่องทางติดต่อ (Interactive) ออกจากกัน เช่น
ช่องทาง Routine นั้นตัวมัลแวร์จะมีการติดต่อกับ SharePoint ทุก ๆ 15 วินาทีเพื่อตรวจสอบว่ามีคำสั่งใหม่ถูกส่งมาจากเซิร์ฟเวอร์ควบคุมหรือไม่พร้อมส่งข้อมูลรหัสที่ถูกขโมยได้และข้อมูลการสำรวจลาดเลาบนระบบ (Reconnaissance) กลับไปยังเซิร์ฟเวอร์ นอกจากนั้นตัวมัลแวร์ยังได้มีการเชื่อมต่อโดยตรงกับ Azure Tenant ของแฮกเกอร์ เพื่อหลีกเลี่ยงการถูกตรวจจับผ่านบันทึกการทำงาน (Log) บน Entra ID ของระบบเหยื่อ
ช่องทาง Interactive นั้นมัลแวร์จะใช้งานอุโมงค์ข้อมูล (Tunnel) อย่าง Reverse SOCKS5 Tunnel ผ่านทาง TURN ทำให้แฮกเกอร์สามารถใช้อุปกรณ์ปลายทางที่ยึดได้ (Endpoint) เพื่อกระจายมัลแวร์ต่อไปในระบบ (Lateral Movement) ด้วยการเชื่อมต่อกับบริการ (Service) ภายในเช่น SMB, RDP, และ WinRM
นอกจากความสามารถข้างต้นแล้ว ตัวมัลแวร์ยังมีการใช้หน้าจอล็อก (Lockscreen) ปลอมของ Windows 10 และ 11 พร้อมข้อมูลของเหยื่อเพื่อหลอกให้เหยื่อป้อนรหัสผ่านเข้าใช้งาน ซึ่งตัวหน้าจอนี้จะไม่ยืนยันความถูกต้องของรหัสผ่าน (Password Validation) แต่จะมีการเก็บข้อมูลในทุกการป้อนรหัสผ่านใหม่เพื่อส่งไปยัง SharePoint เตรียมส่งต่อข้อมูลกลับไปให้ยังเซิร์ฟเวอร์ C2 ต่อไป ไม่เพียงเท่านั้นตัวมัลแวร์ยังได้ใช้เทคนิคสร้างความคงทนบนระบบ (Persistence) ด้วยการใช้เทคนิค “Corrupting the Hive Mind” ผ่านการสร้างไฟล์ Mandatory Hive File ของโปรไฟล์บน Windows ที่มีชื่อว่า “NTUSER.MAN” ซึ่งการฝังโค้ดของมัลแวร์ไว้ ดังนั้นเมื่อ Windows ทำการโหลดโปรไฟล์และมีการอ่านไฟล์ดังกล่าวก็จะมั่นใจได้ว่าจะมีการรันโค้ดของมัลแวร์ขึ้นมาในทันที วิธีนี้ไม่ต้องมีการแก้ไขรีจิสทรี (Registry) หรือใช้สิทธิ์ผู้ดูแล (Admin หรือ Administrator) ใด ๆ ทั้งสิ้น เรียกได้ว่าเป็นวิธีที่ร้ายกาจมาก
ทางแหล่งข่าวได้ยืนยันว่าได้มีการติดต่อสอบถามไปทางไมโครซอฟท์ถึงการมีอยู่และการทำงานของมัลแวร์ดังกล่าวบนระบบของไมโครซอฟท์เป็นที่เรียบร้อยแล้ว แต่ยังไม่มีการตอบกลับใด ๆ จากทางไมโครซอฟท์ ณ ขณะนี้
#ติดเทรนด์ #lemon8ไดอารี่ #ไมโครซอฟท์ #freedomhack #twinloop
จากประสบการณ์ส่วนตัวที่เคยดูแลระบบไอทีขององค์กร ผมมองว่าเทคนิคของมัลแวร์ TWINLOOT นั้นน่ากลัวและท้าทายผู้เชี่ยวชาญด้านความปลอดภัยมาก เพราะใช้บริการคลาวด์ของไมโครซอฟท์ที่คนทั่วไปใช้อย่างแพร่หลายมาเป็นศูนย์กลางของคำสั่งและควบคุมมัลแวร์ มัลแวร์ใช้ SharePoint เป็นจุดรับส่งข้อมูลที่เหมือนจุดฝากของลับ (File-Based Dead Drop) ซึ่งช่วยให้มัลแวร์ไม่ต้องติดต่อเซิร์ฟเวอร์ควบคุมโดยตรง ทำให้หลบเลี่ยงการตรวจจับมาตรฐานได้ดีมาก นอกจากนี้การใช้ TURN ของ Microsoft Teams เป็นช่องทางส่งข้อมูลผ่านอุโมงค์ที่เข้ารหัส ยังลดความเสี่ยงที่จะถูกตรวจจับความผิดปกติของทราฟฟิกอีกด้วย รวมทั้งการใช้ Edge ที่รันแบบ Headless เพื่อเรียก Microsoft Graph API ส่งคำสั่งไปยังเซิร์ฟเวอร์ C2 ก็ทำให้เรื่องนี้มีความซับซ้อนและแนบเนียนมาก สิ่งที่น่ากลัวยิ่งขึ้นคือมัลแวร์แบ่งช่องทางทำงานเป็นสองในลักษณะ Routine กับ Interactive ที่แยกกันอย่างชัดเจน ช่องทาง Routine จะทำงานตรวจสอบคำสั่งและส่งข้อมูลรหัสที่ถูกขโมยกลับไปทันที และยังเชื่อมต่อกับ Azure Tenant ของแฮกเกอร์โดยตรง ช่วยหลีกเลี่ยงการตรวจจับจากบันทึก Entra ID ของระบบ ทำให้ผู้ดูแลระบบตรวจสอบได้ยากมาก ส่วนช่องทาง Interactive นี้ ใช้ Tunnel แบบ Reverse SOCKS5 ผ่าน TURN เพื่อให้แฮกเกอร์สามารถเชื่อมต่อไปยังอุปกรณ์ปลายทาง และทำ lateral movement ภายในระบบ เช่น SMB, RDP และ WinRM ซึ่งเป็นวิธีการกระจายมัลแวร์ที่มีประสิทธิภาพสูง อีกประเด็นที่ผมเคยเจอเวลาสอบสวนกรณีมัลแวร์ คือเทคนิค Lockscreen ปลอมที่ TWINLOOT ใช้ จะทำการเก็บข้อมูลรหัสผ่านที่เหยื่อป้อนทุกรอบโดยไม่ยืนยันความถูกต้อง และส่งข้อมูลกลับไปยัง SharePoint ซึ่งถือเป็นการขโมยข้อมูลขั้นสูง สุดท้ายเทคนิค "Corrupting the Hive Mind" ที่ใช้สร้างไฟล์ NTUSER.MAN เพื่อรันโค้ดมัลแวร์โดยไม่ปรับแก้รีจิสทรีหรือขอสิทธิ์ผู้ดูแลระบบ เป็นวิธีที่น่ากลัวมาก เพราะยากต่อการตรวจจับและกำจัด แม้ระบบจะโดนโจมตีแล้วก็แทบไม่รู้ตัวจนกว่าจะสายเกินไป จากเรื่องนี้ ผมขอแนะนำให้ผู้ดูแลระบบและผู้ใช้งานทั่วไประมัดระวังเพิ่มช่องโหว่ด้านความปลอดภัยของระบบคลาวด์ร่วมกับการตรวจสอบแอคเคานต์ Azure อย่างสม่ำเสมอ รวมถึงติดตั้งระบบตรวจจับภัยคุกคามขั้นสูง (EDR/XDR) ที่สามารถวิเคราะห์พฤติกรรมไม่ปกติในระบบเครือข่ายและ endpoint เพื่อเฝ้าระวังภัยได้อย่างมีประสิทธิภาพมากขึ้น นอกจากนี้ควรอบรมความรู้เรื่องฟิชชิงและการหลอกลวงผ่านล็อกสกรีนปลอมให้กับผู้ใช้ เพื่อป้องกันการป้อนรหัสผ่านโดยไม่รู้ตัว เรื่องมัลแวร์ TWINLOOT นี้แสดงให้เห็นว่าเทคนิคของแฮกเกอร์พัฒนาไปไกลและใช้ช่องโหว่ในระบบคลาวด์ที่มีผู้ใช้งานจำนวนมากเป็นทางผ่าน การมีมาตรการความปลอดภัยรัดกุมและการอัปเดตความรู้ด้านไซเบอร์จะช่วยให้ป้องกันและรับมือได้อย่างมีประสิทธิผลมากขึ้นตามลำดับ
