กลไกการทำงานของเทคนิค EtherHiding

หัวใจสำคัญที่ทำให้แคมเปญนี้ตรวจจับและปราบได้ยากคือ EtherHiding แทนที่จะใช้เซิร์ฟเวอร์ควบคุมและสั่งการ (C2) แบบเดิมที่ถูกปิดได้ง่าย แฮกเกอร์กลับเก็บคำสั่งของมัลแวร์ (payload) ไว้ในสมาร์ทคอนแทรกต์ของ BNB Smart Chain โดยตรง เนื่องจากเฉพาะกระเป๋าเงิน (wallet address) ที่สร้างคอนแทรกต์นี้เท่านั้นที่แก้ไขเนื้อหาได้ ทำให้การปิดกั้นหรือลบคำสั่งด้วยวิธีการทั่วไปทำได้ยากมาก แคมเปญนี้มีความเชื่อมโยงกับแคมเปญมัลแวร์ ClearFake ซึ่งก่อนหน้านี้ใช้การแจ้งเตือนอัปเดตเบราว์เซอร์ปลอมเพื่อกระจายมัลแวร์

ขั้นตอนการติดตั้งมัลแวร์

กระบวนการดังกล่าวใช้ประโยชน์จากความไว้ใจของผู้ใช้และเครื่องมือที่มีใน Windows:

1. เจาะเว็บไซต์ – แฮกเกอร์เจาะเว็บไซต์ที่ถูกต้องตามกฎหมาย (ส่วนใหญ่เป็น WordPress) และฝังโค้ด Base64-encoded JavaScript ลงในหน้าเว็บ
2. สอบถามบล็อกเชน – สคริปต์ที่ถูกฝังจะเชื่อมต่อไปยัง BNB Smart Chain RPC gateway และสอบถาม (query) สมาร์ทคอนแทรกต์ที่เฉพาะเจาะจงเพื่อดึงคำสั่งที่เป็นอันตรายสำหรับขั้นตอนต่อไป
3. CAPTCHA ปลอม – เบราว์เซอร์จะถอดรหัสคำสั่งดังกล่าวและแสดงหน้าแคปต์ชา (CAPTCHA) ปลอมขึ้นมาให้ผู้ใช้เห็น
4. วิศวกรรมสังคม (ClickFix/TerminalFix) – ผู้ใช้ถูกหลอกให้กดปุ่ม Windows+R เพื่อเปิดหน้าต่าง Run หรือเปิด Windows Terminal หรือ PowerShell จากนั้นวางคำสั่งที่ถูกคัดลอกไว้ในคลิปบอร์ด แล้วรันคำสั่งนั้น นี่คือจุดสำคัญของเทคนิคทางสังคม: ทำให้เหยื่อกลายเป็นผู้ติดตั้งมัลแวร์ด้วยตัวเอง
5. รันมัลแวร์ – คำสั่งที่วางจะดาวน์โหลดและรันมัลแวร์ชนิดต่างๆ ลงในเครื่อง

เครื่องมือ Windows ที่ถูกนำมาใช้ (Living-off-the-Land)

เพื่อเลี่ยงการตรวจจับจากโปรแกรมป้องกันไวรัส แฮกเกอร์ใช้เครื่องมือที่ติดมากับ Windows โดยเฉพาะ ซึ่งเป็นวิธีการที่เรียกว่า "living-off-the-land" (LOLBins) โดยเครื่องมือที่พบในแคมเปญนี้ ได้แก่:

• conhost – โฮสต์คอนโซลสำหรับรันคำสั่ง
• PowerShell – รันสคริปต์และดาวน์โหลดเพย์โหลด
• cmd (Command Prompt) – รันคำสั่งโดยตรง
• mshta – รันไฟล์ HTA ที่เป็นอันตราย
• rundll32 – โหลด DLL ผ่านบรรทัดคำสั่ง
• curl – ดาวน์โหลดเพย์โหลดในขั้นตอนถัดไป
• WMI (Windows Management Instrumentation) – เคลื่อนที่ไปยังเครื่องอื่น (lateral movement) หรือสร้างความคงอยู่ (persistence)
• Windows Run dialog – จุดเริ่มต้นของการรันคำสั่งตามกลลวง ClickFix

การใช้เครื่องมือที่เชื่อถือได้ของ Microsoft เหล่านี้ทำให้มัลแวร์สามารถเลี่ยงการป้องกันของระบบรักษาความปลอดภัยหลายชั้นในองค์กร

มัลแวร์ที่ถูกส่งผ่านแคมเปญนี้

แคมเปญนี้ไม่ได้จำกัดอยู่แค่มัลแวร์ชนิดเดียว แต่เป็นช่องทางส่งมัลแวร์หลายประเภท ซึ่งรวมถึงมัลแวร์ขโมยข้อมูลและมัลแวร์ประเภทให้เข้าถึงเครื่องระยะไกล (RAT) :

• Lumma Stealer – มัลแวร์หลักที่พบในการโจมตีส่วนใหญ่ ทำหน้าที่ขโมยรหัสผ่านที่เก็บในเบราว์เซอร์ ข้อมูลกระเป๋าคริปโต คุกกี้การเข้าสู่ระบบ และข้อมูลสำคัญอื่นๆ
• XWorm (Xworm) – มัลแวร์ RAT ที่สามารถขโมยข้อมูลและดาวน์โหลดมัลแวร์เพิ่มเติม
• AsyncRAT – มัลแวร์ RAT โอเพนซอร์สที่ใช้ในการเฝ้าดู คีย์ล็อก และขโมยข้อมูลล็อกอิน
• MintsLoader – โปรแกรมดาวน์โหลดที่จะติดตั้งมัลแวร์ชนิดอื่นลงในเครื่องที่ถูกโจมตี
• Remote Management Tools – ซอฟต์แวร์จัดการระยะไกลที่อาจถูกนำมาใช้ในทางที่ผิด (เช่น AnyDesk) เพื่อรักษาการเข้าถึงและเคลื่อนที่ไปยังเครื่องอื่นในเครือข่าย

หากดำเนินการสำเร็จจะนำไปสู่การรั่วไหลของข้อมูลประจำตัว การสร้างช่องทางเข้าถึงถาวร การเคลื่อนที่ไปยังเครื่องอื่นในเครือข่าย และอาจจบลงด้วยการโจมตีด้วยแรนซัมแวร์ ในระบบ macOS พบว่ามีการส่ง MacSync และ Atomic Stealer ด้วย

มาตรการป้องกันที่ Microsoft แนะนำ

Microsoft ได้ออกคำแนะนำเพื่อป้องกันแคมเปญนี้ :

1. เปิดการป้องกันหลายชั้นใน Microsoft Defender – เปิดใช้งานระบบป้องกันแบบเรียลไทม์, การป้องกันแบบคลาวด์, และการป้องกันการแก้ไขการตั้งค่า (tamper protection)
2. จำกัดการเข้าถึงเครื่องมือบรรทัดคำสั่ง – ใช้ AppLocker หรือ Windows Defender Application Control (WDAC) เพื่อบล็อกการรันเครื่องมือ เช่น PowerShell, mshta และ rundll32 ที่ไม่ได้รับอนุญาต
3. เปิดการบันทึกสคริปต์ PowerShell – เปิดการบันทึก Script Block Logging และ Transcription เพื่อตรวจจับการรันคำสั่งที่ถูกบดบัง (obfuscated)
4. การสร้างความตระหนักรู้ให้ผู้ใช้ (สำคัญที่สุด) – ห้ามวางคำสั่งจากแหล่งที่ไม่รู้จักลงในช่อง Run, Terminal หรือ PowerShell เด็ดขาด หน้า CAPTCHA ที่ถูกต้องตามกฎหมายจะไม่มีทางแนะนำให้ผู้ใช้กระทำการดังกล่าว
5. ปิดกั้น RPC endpoints ของสมาร์ทคอนแทรกต์ – หากเป็นไปได้ ให้จำกัดการเข้าถึง BNB Smart Chain RPC gateways สาธารณะจากอุปกรณ์ที่ไม่จำเป็นต้องเข้าถึงบล็อกเชน
6. ใช้ Microsoft Defender for SmartScreen – เครื่องมือนี้ช่วยบล็อกเว็บไซต์ที่เป็นอันตรายตั้งแต่ขั้นตอนแรก สามารถป้องกันผู้ใช้ไม่ให้เห็นหน้าแคปต์ชาปลอมได้เลย

การตรวจจับของ Microsoft Defender

แม้คำเตือนสาธารณะจาก Microsoft จะไม่ได้ระบุชื่อการตรวจจับเฉพาะสำหรับแคมเปญนี้ทั้งหมด แต่การวิจัยด้านความปลอดภัยที่เกี่ยวข้องชี้ให้เห็นว่า Microsoft Defender for Endpoint สามารถครอบคลุมพฤติกรรมดังต่อไปนี้ได้ :

• รูปแบบการรันคำสั่ง Living-off-the-land
• กิจกรรมที่น่าสงสัยบน WebDAV และ MSHTA
• การรัน PowerShell ที่ถูกบดบัง
• การสร้างความคงอยู่ด้วย Scheduled Task
• การรันเพย์โหลดในหน่วยความจำ
• การขโมยข้อมูลประจำตัวจากเบราว์เซอร์

สำหรับความคุ้มครองบน macOS นั้น Microsoft Defender for SmartScreen จะบล็อกหน้าเว็บที่เป็นอันตราย และ Defender XDR ให้ความคุ้มครองภายใต้ Tactics และ Techniques ต่างๆ Microsoft Defender Antivirus ตรวจจับแคมเปญ ClickFix ในวงกว้างด้วยชื่อเช่น Behavior:Win32/ClickFix, Trojan:Win32/ClickFix และ Trojan:HTML/FakeCaptcha ถึงแม้ว่าจะมีการปรับใช้ลายเซ็นเฉพาะสำหรับการอินเจกต์ JavaScript ที่เกี่ยวข้องกับ BNB Chain ในแคมเปญนี้ แต่ก็ไม่ได้ถูกกล่าวถึงโดยเฉพาะในคำเตือนสาธารณะ

กลไกการทำงานของเทคนิค EtherHiding

หัวใจสำคัญที่ทำให้แคมเปญนี้ตรวจจับและปราบได้ยากคือ EtherHiding แทนที่จะใช้เซิร์ฟเวอร์ควบคุมและสั่งการ (C2) แบบเดิมที่ถูกปิดได้ง่าย แฮกเกอร์กลับเก็บคำสั่งของมัลแวร์ (payload) ไว้ในสมาร์ทคอนแทรกต์ของ BNB Smart Chain โดยตรง เนื่องจากเฉพาะกระเป๋าเงิน (wallet address) ที่สร้างคอนแทรกต์นี้เท่านั้นที่แก้ไขเนื้อหาได้ ทำให้การปิดกั้นหรือลบคำสั่งด้วยวิธีการทั่วไปทำได้ยากมาก แคมเปญนี้มีความเชื่อมโยงกับแคมเปญมัลแวร์ ClearFake ซึ่งก่อนหน้านี้ใช้การแจ้งเตือนอัปเดตเบราว์เซอร์ปลอมเพื่อกระจายมัลแวร์

ขั้นตอนการติดตั้งมัลแวร์

กระบวนการดังกล่าวใช้ประโยชน์จากความไว้ใจของผู้ใช้และเครื่องมือที่มีใน Windows:

1. เจาะเว็บไซต์ – แฮกเกอร์เจาะเว็บไซต์ที่ถูกต้องตามกฎหมาย (ส่วนใหญ่เป็น WordPress) และฝังโค้ด Base64-encoded JavaScript ลงในหน้าเว็บ
2. สอบถามบล็อกเชน – สคริปต์ที่ถูกฝังจะเชื่อมต่อไปยัง BNB Smart Chain RPC gateway และสอบถาม (query) สมาร์ทคอนแทรกต์ที่เฉพาะเจาะจงเพื่อดึงคำสั่งที่เป็นอันตรายสำหรับขั้นตอนต่อไป
3. CAPTCHA ปลอม – เบราว์เซอร์จะถอดรหัสคำสั่งดังกล่าวและแสดงหน้าแคปต์ชา (CAPTCHA) ปลอมขึ้นมาให้ผู้ใช้เห็น
4. วิศวกรรมสังคม (ClickFix/TerminalFix) – ผู้ใช้ถูกหลอกให้กดปุ่ม Windows+R เพื่อเปิดหน้าต่าง Run หรือเปิด Windows Terminal หรือ PowerShell จากนั้นวางคำสั่งที่ถูกคัดลอกไว้ในคลิปบอร์ด แล้วรันคำสั่งนั้น นี่คือจุดสำคัญของเทคนิคทางสังคม: ทำให้เหยื่อกลายเป็นผู้ติดตั้งมัลแวร์ด้วยตัวเอง
5. รันมัลแวร์ – คำสั่งที่วางจะดาวน์โหลดและรันมัลแวร์ชนิดต่างๆ ลงในเครื่อง

เครื่องมือ Windows ที่ถูกนำมาใช้ (Living-off-the-Land)

เพื่อเลี่ยงการตรวจจับจากโปรแกรมป้องกันไวรัส แฮกเกอร์ใช้เครื่องมือที่ติดมากับ Windows โดยเฉพาะ ซึ่งเป็นวิธีการที่เรียกว่า "living-off-the-land" (LOLBins) โดยเครื่องมือที่พบในแคมเปญนี้ ได้แก่:

• conhost – โฮสต์คอนโซลสำหรับรันคำสั่ง
• PowerShell – รันสคริปต์และดาวน์โหลดเพย์โหลด
• cmd (Command Prompt) – รันคำสั่งโดยตรง
• mshta – รันไฟล์ HTA ที่เป็นอันตราย
• rundll32 – โหลด DLL ผ่านบรรทัดคำสั่ง
• curl – ดาวน์โหลดเพย์โหลดในขั้นตอนถัดไป
• WMI (Windows Management Instrumentation) – เคลื่อนที่ไปยังเครื่องอื่น (lateral movement) หรือสร้างความคงอยู่ (persistence)
• Windows Run dialog – จุดเริ่มต้นของการรันคำสั่งตามกลลวง ClickFix

การใช้เครื่องมือที่เชื่อถือได้ของ Microsoft เหล่านี้ทำให้มัลแวร์สามารถเลี่ยงการป้องกันของระบบรักษาความปลอดภัยหลายชั้นในองค์กร

มัลแวร์ที่ถูกส่งผ่านแคมเปญนี้

แคมเปญนี้ไม่ได้จำกัดอยู่แค่มัลแวร์ชนิดเดียว แต่เป็นช่องทางส่งมัลแวร์หลายประเภท ซึ่งรวมถึงมัลแวร์ขโมยข้อมูลและมัลแวร์ประเภทให้เข้าถึงเครื่องระยะไกล (RAT) :

• Lumma Stealer – มัลแวร์หลักที่พบในการโจมตีส่วนใหญ่ ทำหน้าที่ขโมยรหัสผ่านที่เก็บในเบราว์เซอร์ ข้อมูลกระเป๋าคริปโต คุกกี้การเข้าสู่ระบบ และข้อมูลสำคัญอื่นๆ
• XWorm (Xworm) – มัลแวร์ RAT ที่สามารถขโมยข้อมูลและดาวน์โหลดมัลแวร์เพิ่มเติม
• AsyncRAT – มัลแวร์ RAT โอเพนซอร์สที่ใช้ในการเฝ้าดู คีย์ล็อก และขโมยข้อมูลล็อกอิน
• MintsLoader – โปรแกรมดาวน์โหลดที่จะติดตั้งมัลแวร์ชนิดอื่นลงในเครื่องที่ถูกโจมตี
• Remote Management Tools – ซอฟต์แวร์จัดการระยะไกลที่อาจถูกนำมาใช้ในทางที่ผิด (เช่น AnyDesk) เพื่อรักษาการเข้าถึงและเคลื่อนที่ไปยังเครื่องอื่นในเครือข่าย

หากดำเนินการสำเร็จจะนำไปสู่การรั่วไหลของข้อมูลประจำตัว การสร้างช่องทางเข้าถึงถาวร การเคลื่อนที่ไปยังเครื่องอื่นในเครือข่าย และอาจจบลงด้วยการโจมตีด้วยแรนซัมแวร์ ในระบบ macOS พบว่ามีการส่ง MacSync และ Atomic Stealer ด้วย

มาตรการป้องกันที่ Microsoft แนะนำ

Microsoft ได้ออกคำแนะนำเพื่อป้องกันแคมเปญนี้ :

1. เปิดการป้องกันหลายชั้นใน Microsoft Defender – เปิดใช้งานระบบป้องกันแบบเรียลไทม์, การป้องกันแบบคลาวด์, และการป้องกันการแก้ไขการตั้งค่า (tamper protection)
2. จำกัดการเข้าถึงเครื่องมือบรรทัดคำสั่ง – ใช้ AppLocker หรือ Windows Defender Application Control (WDAC) เพื่อบล็อกการรันเครื่องมือ เช่น PowerShell, mshta และ rundll32 ที่ไม่ได้รับอนุญาต
3. เปิดการบันทึกสคริปต์ PowerShell – เปิดการบันทึก Script Block Logging และ Transcription เพื่อตรวจจับการรันคำสั่งที่ถูกบดบัง (obfuscated)
4. การสร้างความตระหนักรู้ให้ผู้ใช้ (สำคัญที่สุด) – ห้ามวางคำสั่งจากแหล่งที่ไม่รู้จักลงในช่อง Run, Terminal หรือ PowerShell เด็ดขาด หน้า CAPTCHA ที่ถูกต้องตามกฎหมายจะไม่มีทางแนะนำให้ผู้ใช้กระทำการดังกล่าว
5. ปิดกั้น RPC endpoints ของสมาร์ทคอนแทรกต์ – หากเป็นไปได้ ให้จำกัดการเข้าถึง BNB Smart Chain RPC gateways สาธารณะจากอุปกรณ์ที่ไม่จำเป็นต้องเข้าถึงบล็อกเชน
6. ใช้ Microsoft Defender for SmartScreen – เครื่องมือนี้ช่วยบล็อกเว็บไซต์ที่เป็นอันตรายตั้งแต่ขั้นตอนแรก สามารถป้องกันผู้ใช้ไม่ให้เห็นหน้าแคปต์ชาปลอมได้เลย

การตรวจจับของ Microsoft Defender

แม้คำเตือนสาธารณะจาก Microsoft จะไม่ได้ระบุชื่อการตรวจจับเฉพาะสำหรับแคมเปญนี้ทั้งหมด แต่การวิจัยด้านความปลอดภัยที่เกี่ยวข้องชี้ให้เห็นว่า Microsoft Defender for Endpoint สามารถครอบคลุมพฤติกรรมดังต่อไปนี้ได้ :

• รูปแบบการรันคำสั่ง Living-off-the-land
• กิจกรรมที่น่าสงสัยบน WebDAV และ MSHTA
• การรัน PowerShell ที่ถูกบดบัง
• การสร้างความคงอยู่ด้วย Scheduled Task
• การรันเพย์โหลดในหน่วยความจำ
• การขโมยข้อมูลประจำตัวจากเบราว์เซอร์

สำหรับความคุ้มครองบน macOS นั้น Microsoft Defender for SmartScreen จะบล็อกหน้าเว็บที่เป็นอันตราย และ Defender XDR ให้ความคุ้มครองภายใต้ Tactics และ Techniques ต่างๆ Microsoft Defender Antivirus ตรวจจับแคมเปญ ClickFix ในวงกว้างด้วยชื่อเช่น Behavior:Win32/ClickFix, Trojan:Win32/ClickFix และ Trojan:HTML/FakeCaptcha ถึงแม้ว่าจะมีการปรับใช้ลายเซ็นเฉพาะสำหรับการอินเจกต์ JavaScript ที่เกี่ยวข้องกับ BNB Chain ในแคมเปญนี้ แต่ก็ไม่ได้ถูกกล่าวถึงโดยเฉพาะในคำเตือนสาธารณะ