แบ็กดอร์ใหม่สองตัว: EchoCreep และ GraphWorm

การวิเคราะห์ของ ESET พบมัลแวร์หลักสองตัวที่อยู่เบื้องหลังแคมเปญโจมตีล่าสุด:

EchoCreep

• เป็นแบ็กดอร์ที่ใช้ Discord เป็นช่องทาง command‑and‑control (C2)
• สามารถอัปโหลดไฟล์ ส่งรายงานสถานะของระบบ และรับคำสั่งจากผู้โจมตีผ่านข้อความใน Discord ได้

GraphWorm

• เป็นแบ็กดอร์ที่ติดต่อกับเซิร์ฟเวอร์ผู้โจมตีผ่าน Microsoft Graph API
• API นี้เป็นระบบที่ใช้เชื่อมต่อและควบคุมบริการใน Microsoft 365 แบบโปรแกรมอัตโนมัติ ทำให้ทราฟฟิกที่เกิดขึ้นดูเหมือนการใช้งานปกติขององค์กร

ในระหว่างการสืบสวน นักวิจัยของ ESET สามารถถอดรหัส ข้อความ Discord มากกว่า 400 ข้อความ ที่เกี่ยวข้องกับปฏิบัติการนี้ ทำให้เห็นภาพวิธีที่ผู้โจมตีควบคุมเครื่องที่ติดมัลแวร์และจัดการข้อมูลที่ขโมยมา

ใช้บริการคลาวด์จริงเพื่อซ่อนการโจมตี

หนึ่งในกลยุทธ์สำคัญของ Webworm คือการใช้บริการออนไลน์ที่ถูกต้องตามกฎหมายเป็นส่วนหนึ่งของโครงสร้างการโจมตี

ESET ระบุว่ากลุ่มนี้ใช้บริการต่าง ๆ เช่น:

• Discord – ใช้เป็นช่องทางส่งคำสั่งและรับข้อมูลจากเครื่องที่ติดมัลแวร์ผ่าน EchoCreep
• Microsoft Graph API – ใช้ในแบ็กดอร์ GraphWorm เพื่อสื่อสารผ่านสภาพแวดล้อม Microsoft 365 ขององค์กร
• Microsoft OneDrive – ใช้จัดเก็บหรือถ่ายโอนข้อมูลที่ถูกขโมย
• GitHub – ใช้เป็นส่วนหนึ่งของโครงสร้างพื้นฐานสำหรับมัลแวร์และการสื่อสารของผู้โจมตี

การใช้บริการที่องค์กรจำนวนมากใช้งานอยู่แล้วทำให้ทราฟฟิกของผู้โจมตีดูเหมือนการใช้งานปกติของระบบเครือข่าย เพราะองค์กรส่วนใหญ่ไม่สามารถบล็อกบริการอย่าง Microsoft 365 หรือ Discord ได้ทั้งหมด จึงกลายเป็นช่องทางสื่อสารลับที่มีประสิทธิภาพสำหรับแฮ็กเกอร์

หน่วยงานรัฐในยุโรปตกเป็นเป้าหมาย

ข้อมูลจาก ESET ระบุว่า Webworm ได้ปรับเป้าหมายจากเอเชียไปยัง องค์กรภาครัฐในยุโรป มากขึ้น

ประเทศที่พบการโจมตี ได้แก่:

• เบลเยียม
• อิตาลี
• โปแลนด์
• เซอร์เบีย
• สเปน

นอกจากนี้ยังพบกิจกรรมที่เกี่ยวข้องกับ มหาวิทยาลัยแห่งหนึ่งในแอฟริกาใต้ ซึ่งบ่งชี้ว่าแคมเปญนี้ไม่ได้จำกัดอยู่เฉพาะยุโรป

อย่างไรก็ตาม รายงานสาธารณะยังไม่ได้เปิดเผยชื่อกระทรวงหรือหน่วยงานที่ถูกโจมตีโดยตรง

เปลี่ยนจากมัลแวร์ RAT แบบเดิมสู่เครื่องมือที่ซ่อนตัวเก่งกว่า

Webworm ถูกติดตามว่ามีการดำเนินกิจกรรมอย่างน้อยตั้งแต่ปี 2022 โดยก่อนหน้านี้เคยใช้มัลแวร์ประเภท remote access trojan (RAT) เช่น Trochilus และ 9002 RAT (McRat) เพื่อควบคุมเครื่องของเหยื่อ

แต่รายงานล่าสุดพบว่ากลุ่มนี้เริ่ม เปลี่ยนไปใช้เครื่องมือ proxy และ tunneling รวมถึงแบ็กดอร์ขนาดเล็ก มากขึ้น

แนวทางนี้มีข้อได้เปรียบหลายอย่าง เช่น

• ลดร่องรอยมัลแวร์ในเครื่องเหยื่อ
• ทำให้ทราฟฟิกดูเหมือนการใช้งานเครือข่ายปกติ
• ลดโอกาสที่ระบบป้องกันไวรัสหรือ EDR จะตรวจพบ

เมื่อผสมผสานกับช่องทางสื่อสารผ่านบริการคลาวด์ ผู้โจมตีจึงสามารถรักษาการเข้าถึงระบบของเหยื่อได้เป็นเวลานานโดยไม่ถูกสังเกตเห็น

แนวโน้มใหม่ของการจารกรรมไซเบอร์

กรณีของ Webworm สะท้อนแนวโน้มสำคัญในโลกไซเบอร์ซีเคียวริตี้: การซ่อนกิจกรรมโจมตีภายในบริการที่ผู้ใช้เชื่อถืออยู่แล้ว

เมื่อผู้โจมตีใช้แพลตฟอร์มที่องค์กรจำเป็นต้องใช้งาน เช่น Microsoft 365 หรือเครื่องมือสื่อสารออนไลน์ ระบบความปลอดภัยจึงต้องแยกให้ได้ว่าอะไรคือการใช้งานปกติ และอะไรคือพฤติกรรมที่เป็นอันตราย

ด้วยเหตุนี้ ผู้เชี่ยวชาญจึงมองว่าองค์กรต้องพึ่งพาการตรวจจับเชิงพฤติกรรม การวิเคราะห์ความผิดปกติของผู้ใช้ และการติดตามกิจกรรมบัญชีผู้ใช้ มากกว่าการบล็อกโดเมนหรือ IP แบบเดิม หากต้องการรับมือกับการโจมตีรูปแบบใหม่ที่ซ่อนอยู่ในทราฟฟิกคลาวด์

แบ็กดอร์ใหม่สองตัว: EchoCreep และ GraphWorm

การวิเคราะห์ของ ESET พบมัลแวร์หลักสองตัวที่อยู่เบื้องหลังแคมเปญโจมตีล่าสุด:

EchoCreep

• เป็นแบ็กดอร์ที่ใช้ Discord เป็นช่องทาง command‑and‑control (C2)
• สามารถอัปโหลดไฟล์ ส่งรายงานสถานะของระบบ และรับคำสั่งจากผู้โจมตีผ่านข้อความใน Discord ได้

GraphWorm

• เป็นแบ็กดอร์ที่ติดต่อกับเซิร์ฟเวอร์ผู้โจมตีผ่าน Microsoft Graph API
• API นี้เป็นระบบที่ใช้เชื่อมต่อและควบคุมบริการใน Microsoft 365 แบบโปรแกรมอัตโนมัติ ทำให้ทราฟฟิกที่เกิดขึ้นดูเหมือนการใช้งานปกติขององค์กร

ในระหว่างการสืบสวน นักวิจัยของ ESET สามารถถอดรหัส ข้อความ Discord มากกว่า 400 ข้อความ ที่เกี่ยวข้องกับปฏิบัติการนี้ ทำให้เห็นภาพวิธีที่ผู้โจมตีควบคุมเครื่องที่ติดมัลแวร์และจัดการข้อมูลที่ขโมยมา

ใช้บริการคลาวด์จริงเพื่อซ่อนการโจมตี

หนึ่งในกลยุทธ์สำคัญของ Webworm คือการใช้บริการออนไลน์ที่ถูกต้องตามกฎหมายเป็นส่วนหนึ่งของโครงสร้างการโจมตี

ESET ระบุว่ากลุ่มนี้ใช้บริการต่าง ๆ เช่น:

• Discord – ใช้เป็นช่องทางส่งคำสั่งและรับข้อมูลจากเครื่องที่ติดมัลแวร์ผ่าน EchoCreep
• Microsoft Graph API – ใช้ในแบ็กดอร์ GraphWorm เพื่อสื่อสารผ่านสภาพแวดล้อม Microsoft 365 ขององค์กร
• Microsoft OneDrive – ใช้จัดเก็บหรือถ่ายโอนข้อมูลที่ถูกขโมย
• GitHub – ใช้เป็นส่วนหนึ่งของโครงสร้างพื้นฐานสำหรับมัลแวร์และการสื่อสารของผู้โจมตี

การใช้บริการที่องค์กรจำนวนมากใช้งานอยู่แล้วทำให้ทราฟฟิกของผู้โจมตีดูเหมือนการใช้งานปกติของระบบเครือข่าย เพราะองค์กรส่วนใหญ่ไม่สามารถบล็อกบริการอย่าง Microsoft 365 หรือ Discord ได้ทั้งหมด จึงกลายเป็นช่องทางสื่อสารลับที่มีประสิทธิภาพสำหรับแฮ็กเกอร์

หน่วยงานรัฐในยุโรปตกเป็นเป้าหมาย

ข้อมูลจาก ESET ระบุว่า Webworm ได้ปรับเป้าหมายจากเอเชียไปยัง องค์กรภาครัฐในยุโรป มากขึ้น

ประเทศที่พบการโจมตี ได้แก่:

• เบลเยียม
• อิตาลี
• โปแลนด์
• เซอร์เบีย
• สเปน

นอกจากนี้ยังพบกิจกรรมที่เกี่ยวข้องกับ มหาวิทยาลัยแห่งหนึ่งในแอฟริกาใต้ ซึ่งบ่งชี้ว่าแคมเปญนี้ไม่ได้จำกัดอยู่เฉพาะยุโรป

อย่างไรก็ตาม รายงานสาธารณะยังไม่ได้เปิดเผยชื่อกระทรวงหรือหน่วยงานที่ถูกโจมตีโดยตรง

เปลี่ยนจากมัลแวร์ RAT แบบเดิมสู่เครื่องมือที่ซ่อนตัวเก่งกว่า

Webworm ถูกติดตามว่ามีการดำเนินกิจกรรมอย่างน้อยตั้งแต่ปี 2022 โดยก่อนหน้านี้เคยใช้มัลแวร์ประเภท remote access trojan (RAT) เช่น Trochilus และ 9002 RAT (McRat) เพื่อควบคุมเครื่องของเหยื่อ

แต่รายงานล่าสุดพบว่ากลุ่มนี้เริ่ม เปลี่ยนไปใช้เครื่องมือ proxy และ tunneling รวมถึงแบ็กดอร์ขนาดเล็ก มากขึ้น

แนวทางนี้มีข้อได้เปรียบหลายอย่าง เช่น

• ลดร่องรอยมัลแวร์ในเครื่องเหยื่อ
• ทำให้ทราฟฟิกดูเหมือนการใช้งานเครือข่ายปกติ
• ลดโอกาสที่ระบบป้องกันไวรัสหรือ EDR จะตรวจพบ

เมื่อผสมผสานกับช่องทางสื่อสารผ่านบริการคลาวด์ ผู้โจมตีจึงสามารถรักษาการเข้าถึงระบบของเหยื่อได้เป็นเวลานานโดยไม่ถูกสังเกตเห็น

แนวโน้มใหม่ของการจารกรรมไซเบอร์

กรณีของ Webworm สะท้อนแนวโน้มสำคัญในโลกไซเบอร์ซีเคียวริตี้: การซ่อนกิจกรรมโจมตีภายในบริการที่ผู้ใช้เชื่อถืออยู่แล้ว

เมื่อผู้โจมตีใช้แพลตฟอร์มที่องค์กรจำเป็นต้องใช้งาน เช่น Microsoft 365 หรือเครื่องมือสื่อสารออนไลน์ ระบบความปลอดภัยจึงต้องแยกให้ได้ว่าอะไรคือการใช้งานปกติ และอะไรคือพฤติกรรมที่เป็นอันตราย

ด้วยเหตุนี้ ผู้เชี่ยวชาญจึงมองว่าองค์กรต้องพึ่งพาการตรวจจับเชิงพฤติกรรม การวิเคราะห์ความผิดปกติของผู้ใช้ และการติดตามกิจกรรมบัญชีผู้ใช้ มากกว่าการบล็อกโดเมนหรือ IP แบบเดิม หากต้องการรับมือกับการโจมตีรูปแบบใหม่ที่ซ่อนอยู่ในทราฟฟิกคลาวด์