C2Looper ทำงานอย่างไร: แบ็กดอร์ Windows ที่เปลี่ยนจาก HTTP ไปใช้ GitHub

C2Looper คือแบ็กดอร์บน Windows ที่พัฒนาด้วยภาษา Rust ทำหน้าที่เปิดทางให้ผู้โจมตีเข้าควบคุมเครื่องจากระยะไกล สำรวจข้อมูลในระบบ และดาวน์โหลดหรือติดตั้งเพย์โหลดอื่นเพิ่มเติม

Zscaler ThreatLabz ระบุมัลแวร์ตระกูลนี้ครั้งแรกในเดือนกรกฎาคม 2026 และประเมินว่ามีแนวโน้มถูกใช้โดยผู้ก่อภัยคุกคามที่เกี่ยวข้องกับแรนซัมแวร์ อย่างไรก็ตาม นี่เป็นการประเมินเชิงวิเคราะห์ ไม่ใช่การยืนยันตัวผู้โจมตีหรือกลุ่มแรนซัมแวร์อย่างเป็นทางการ ขณะที่เส้นทางการแพร่กระจายที่คาดว่าเกี่ยวข้องกับ C2Looper ก็มีระดับความเชื่อมั่นเพียงต่ำถึงปานกลาง

ทำไม C2Looper จึงสำคัญต่อการรับมือแรนซัมแวร์

C2Looper ไม่ได้ถูกอธิบายว่าเป็นแรนซัมแวร์โดยตรง แต่มีบทบาทสอดคล้องกับช่วงเริ่มต้นและช่วงเตรียมการของการบุกรุก ผู้โจมตีสามารถใช้มันเพื่อรันคำสั่ง ตรวจสอบเครื่อง ดาวน์โหลดไฟล์ และติดตั้งเครื่องมือเพิ่มเติมหลังเจาะระบบได้สำเร็จ ความสามารถเหล่านี้อาจช่วยสร้างจุดยึด ขยายการเข้าถึงภายในเครือข่าย และเตรียมทางก่อนการโจมตีด้วยแรนซัมแวร์ในภายหลัง

ข้อมูลที่เปิดเผยในขณะนี้ยังไม่เพียงพอที่จะระบุ C2Looper ว่าเป็นผลงานของกลุ่มแรนซัมแวร์รายใดโดยชัดเจน การพบความคล้ายคลึงกับโครงสร้างพื้นฐานของมัลแวร์อื่นจึงควรถูกมองเป็นเบาะแสสำหรับการสืบสวน ไม่ใช่หลักฐานว่ามีผู้พัฒนาหรือผู้ควบคุมรายเดียวกัน

C2Looper สองรุ่นทำงานอย่างไร

รุ่นก่อนหน้า: ควบคุมผ่าน HTTP โดยตรง

ตัวอย่างรุ่นเก่าสื่อสารกับเซิร์ฟเวอร์ควบคุมของผู้โจมตีผ่าน HTTP แบบ plaintext และใช้ข้อมูลคำสั่งในรูปแบบ JSON รายงานระบุว่ามีการ polling ถี่มาก บางตัวอย่างตรวจสอบคำสั่งทุกประมาณหนึ่งวินาที พฤติกรรมดังกล่าวอาจสร้างสัญญาณที่สังเกตได้ทั้งบนเครื่องปลายทางและในเครือข่าย

ข้อมูล beacon ของมัลแวร์ใช้ระบุเครื่องเหยื่อผ่านข้อมูลต่าง ๆ เช่น ชื่อผู้ใช้ Windows ชื่อโฮสต์ DNS หมายเลขโปรเซสของ C2Looper และรหัสบอตที่สร้างจากชื่อโฮสต์กับชื่อผู้ใช้ โดยส่งข้อมูลไปยังเส้นทาง /api/beacon และส่งผลลัพธ์ของคำสั่งกลับผ่าน /api/result/

ชุดคำสั่งที่พบช่วยให้ผู้ควบคุมมีอำนาจเหนือเครื่องที่ติดเชื้อได้อย่างเป็นรูปธรรม ได้แก่

• รันคำสั่ง shell หรือคำสั่งระบบได้ตามต้องการ
• สำรวจข้อมูลและสถานะของเครื่อง
• ดาวน์โหลดไฟล์
• อัปเดตตัวมัลแวร์และติดตั้งเพย์โหลดเพิ่มเติม

กลไกอัปเดตที่น่าสนใจใช้คำสั่ง upload เพื่อดึงไฟล์ปฏิบัติการแบบพกพาจาก URL ที่ผู้โจมตีกำหนด จากนั้นบันทึกไฟล์ดังกล่าวเป็น DLL ในไดเรกทอรี OneDrive ภายในโปรไฟล์ผู้ใช้ โดยตัวอย่างที่มีการรายงานพบไฟล์ชื่อ wtsapi32.dll ใน %LocalAppData%\\Microsoft\\OneDrive

หลังจากนั้น มัลแวร์สามารถหยุดโปรเซส OneDrive และอาศัยไฟล์ปฏิบัติการ OneDrive ที่ถูกต้องตามปกติให้โหลด DLL ที่แฝงไว้ เทคนิคนี้เรียกว่า DLL sideloading คือการวางโค้ดอันตรายไว้ข้างไฟล์ที่เชื่อถือได้ แล้วใช้พฤติกรรมการโหลดไลบรารีตามปกติของโปรแกรมนั้นเพื่อทำงาน

สำหรับฝ่ายป้องกัน จุดสำคัญจึงไม่ใช่เพียงการพบ OneDrive ในเครื่อง แต่คือการตรวจสอบว่าไฟล์ปฏิบัติการ OneDrive ที่ถูกต้องกำลังโหลด DLL ที่ไม่คาดคิดจากตำแหน่งผิดปกติหรือไดเรกทอรีที่ผู้ใช้สามารถเขียนไฟล์ได้หรือไม่

เทคนิคหลบเลี่ยงการตรวจจับในรุ่นเก่า

C2Looper ใช้การถอดรหัสข้อความด้วย XOR ระหว่างทำงาน โดยมีรายงานว่าใช้คีย์ขนาด 8 ไบต์ซ้ำกัน นอกจากนี้ยังแก้ไขการเรียกใช้ Windows API แบบไดนามิกผ่าน LoadLibrary และ GetProcAddress เทคนิคเหล่านี้อาจทำให้การวิเคราะห์ไฟล์แบบ static เพียงอย่างเดียวเห็นข้อมูลได้น้อยลง และเพิ่มความสำคัญของข้อมูลพฤติกรรมจากระบบ EDR

รุ่นใหม่: ใช้ GitHub เป็นโครงสร้างพื้นฐาน C2

C2Looper รุ่นใหม่เปลี่ยนจากการใช้เซิร์ฟเวอร์ C2 แบบดั้งเดิมมาใช้ repository บน GitHub สำหรับส่งคำสั่ง รับ beacon ส่งผลลัพธ์ และในรายงานเกี่ยวกับรุ่นใหม่นั้นยังรวมถึงข้อมูลที่เกี่ยวข้องกับเพย์โหลดด้วย

เครื่องที่ติดเชื้อแต่ละเครื่องจะได้รับไดเรกทอรีเฉพาะของตัวเองภายใน repository มัลแวร์จะอ่านคำสั่งจากไฟล์ cmd.json ดำเนินการตามคำสั่ง แล้วเขียนผลลัพธ์ลงในไฟล์ result.json ของไดเรกทอรีเดียวกัน วิธีนี้ทำให้ผู้โจมตีสามารถส่งคำสั่งและเก็บผลลัพธ์ผ่านไฟล์ได้ โดยไม่จำเป็นต้องดูแลเซิร์ฟเวอร์ C2 เฉพาะของตัวเอง

การใช้ GitHub ซึ่งเป็นบริการที่มีการใช้งานอย่างถูกต้องในงานพัฒนาและธุรกิจ อาจทำให้การบล็อกโดเมนแบบง่าย ๆ มีประสิทธิภาพลดลง แนวทางที่เหมาะสมกว่าคือการตรวจสอบพฤติกรรม เช่น การเข้าถึง repository หรือ API ของ GitHub เป็นช่วงเวลาสม่ำเสมอจากเครื่องที่ไม่มีเหตุผลทางธุรกิจต้องใช้งาน และการพบไฟล์ JSON แยกตามเครื่องที่มีรูปแบบน่าสงสัย

การย้ายไปใช้ GitHub รวมถึงความสามารถด้านการทำงานกับเพย์โหลดที่เพิ่มขึ้นในตัวอย่างรุ่นใหม่ บ่งชี้ว่า C2Looper ยังคงอยู่ระหว่างการพัฒนาอย่างต่อเนื่อง

อาจแพร่ผ่านวิศวกรรมสังคมแบบ ClickFix

ThreatLabz ประเมินด้วยความเชื่อมั่นระดับต่ำถึงปานกลางว่า C2Looper อาจถูกส่งผ่านห่วงโซ่การติดเชื้อแบบหลายขั้นตอนที่เรียกว่า ClickFix ในรูปแบบนี้ เหยื่อจะเห็นหน้าต่างยืนยันตัวตนปลอม ข้อผิดพลาดของเบราว์เซอร์ CAPTCHA หรือข้อความอ้างว่าต้องแก้ไขปัญหาระบบ จากนั้นถูกโน้มน้าวให้คัดลอกและรันคำสั่งผ่าน PowerShell หน้าต่าง Run ของ Windows หรือช่องทางคำสั่งอื่น

จุดที่ผู้ใช้เข้ามามีส่วนร่วมจึงเป็นโอกาสสำคัญในการป้องกัน เว็บไซต์หรือข้อความจากเบราว์เซอร์ไม่ควรขอให้ผู้ใช้วางคำสั่งลงใน PowerShell, Terminal หรือหน้าต่าง Run เพื่อยืนยันตัวตนหรือซ่อมแซมระบบ

รายงานที่เกี่ยวข้องยังพูดถึงการหลอกลวงทางโทรศัพท์ผ่าน Microsoft Teams และการใช้ Quick Assist ในระบบนิเวศของวิศวกรรมสังคมที่กว้างขึ้น แต่หลักฐานที่มีอยู่ไม่ได้ยืนยันว่าทุกแคมเปญลักษณะดังกล่าวเป็นผู้ส่ง C2Looper องค์กรจึงควรมองความเชื่อมโยงเหล่านี้เป็นบริบทที่เป็นไปได้ ไม่ใช่การระบุแหล่งที่มาอย่างยืนยันแล้ว

สิ่งที่ฝ่ายป้องกันควรเฝ้าระวัง

องค์กรสามารถเน้นตรวจจับพฤติกรรมที่มีมูลค่าสูง แทนการพยายามบล็อกทุกเครื่องมือหรือบริการที่อาจเกี่ยวข้องกับมัลแวร์

• Beacon ผ่าน HTTP แบบ plaintext ถี่ผิดปกติ: ตรวจสอบทราฟฟิก JSON POST ที่เกิดขึ้นเป็นจังหวะสม่ำเสมอ โดยเฉพาะคำขอที่มีเส้นทางคล้าย /api/beacon และ /api/result/ แล้วเชื่อมโยงกับโปรเซสใหม่หรือโปรเซสที่น่าสงสัย
• การใช้งาน GitHub ที่ผิดปกติ: ค้นหาการเข้าถึง repository หรือ API ของ GitHub จากเครื่องปลายทางที่เกิดขึ้นเป็นช่วงเวลา หรือมีไดเรกทอรีแยกตามเครื่องพร้อมไฟล์ cmd.json และ result.json ไม่ควรบล็อก GitHub ทั้งหมด แต่ควรแยกจากการใช้งานที่ถูกต้องของนักพัฒนาและระบบ CI/CD
• OneDrive DLL sideloading: แจ้งเตือนเมื่อไฟล์ปฏิบัติการ OneDrive ที่ถูกต้องทำงานจากเส้นทางผิดปกติในโปรไฟล์ผู้ใช้ โหลด DLL จากไดเรกทอรีที่เขียนได้ หรือสร้างโปรเซสลูกที่ไม่ควรเกิดขึ้น
• การรันคำสั่งและการสำรวจระบบ: ใช้ข้อมูลจาก EDR เพื่อตรวจจับ PowerShell, cmd.exe, กิจกรรมจากหน้าต่าง Run การค้นหาข้อมูลระบบ การดาวน์โหลดแบบเป็นขั้นตอน และการรัน shell จากไบนารีที่เพิ่งพบ
• พฤติกรรมรวมของ implant ที่เขียนด้วย Rust: พิจารณาการแก้ไข API แบบไดนามิก ข้อความที่เข้ารหัส การ polling เครือข่าย และการติดตั้งเพย์โหลดร่วมกัน ไม่ควรพึ่งพาคุณลักษณะของไฟล์เพียงอย่างเดียว

แนวทางป้องกันที่ควรให้ความสำคัญ

มาตรการทางเทคนิคควรทำควบคู่กับการป้องกันวิศวกรรมสังคม หากเหมาะสมกับลักษณะงาน องค์กรควรกำกับการใช้ PowerShell, script host, ไบนารีที่ไม่ได้รับการเซ็นชื่อ และการรันไฟล์จากไดเรกทอรีที่ผู้ใช้เขียนได้ นอกจากนี้ Application Allowlisting ยังช่วยลดโอกาสที่เพย์โหลดที่ดาวน์โหลดมาจะทำงานได้

ควรอบรมพนักงานและเจ้าหน้าที่ Help Desk อย่างชัดเจนว่า เว็บไซต์ CAPTCHA หน้ายืนยันตัวตน ข้อความแจ้งเตือนของเบราว์เซอร์ หรือผู้ติดต่อฝ่ายสนับสนุนที่ไม่ได้รับการยืนยัน ไม่ควรขอให้ผู้ใช้คัดลอกคำสั่งไปวางใน PowerShell, Terminal หรือ Run

เครื่องมือสนับสนุนระยะไกลควรใช้งานผ่านขั้นตอนที่องค์กรอนุมัติ ช่องทางสนับสนุนที่ตรวจสอบแล้ว การยืนยันตัวตนหลายปัจจัย การบันทึกเซสชัน และการทบทวนเซสชันที่ผิดปกติอย่างรวดเร็ว

การแบ่งเครือข่ายเป็นส่วนย่อย การใช้สิทธิ์เท่าที่จำเป็น การเปิดใช้ MFA การเร่งอุดช่องโหว่ของระบบที่เปิดสู่สาธารณะ และการมีข้อมูลสำรองแบบออฟไลน์หรือแก้ไขไม่ได้ที่ผ่านการทดสอบแล้ว จะช่วยจำกัดผลกระทบหาก C2Looper ถูกตรวจพบ หากเครื่องใดมี beacon ที่น่าสงสัย การรัน shell หรือ DLL sideloading ให้แยกเครื่องออกจากเครือข่ายโดยเร็ว พร้อมเก็บบันทึกจาก endpoint ข้อมูลเครือข่าย และหน่วยความจำตามความเหมาะสมเพื่อการสืบสวน

สรุป

ความสำคัญของ C2Looper อยู่ที่การพัฒนาจากแบ็กดอร์ที่ควบคุมผ่าน HTTP แบบตรงไปตรงมา ไปสู่ implant ที่ยืดหยุ่นกว่าและใช้ repository บน GitHub เป็นโครงสร้างพื้นฐานปฏิบัติการ ความสามารถด้าน remote shell การสำรวจระบบ การดาวน์โหลด และการอัปเดต ทำให้มันเป็นจุดยึดที่มีศักยภาพสำหรับการบุกรุกที่เกี่ยวข้องกับแรนซัมแวร์ แต่หลักฐานปัจจุบันยังสนับสนุนการประเมินอย่างระมัดระวัง ไม่ใช่การระบุผู้โจมตีอย่างเด็ดขาด

แนวทางป้องกันที่แข็งแรงที่สุดคือการทำให้ผู้ใช้ไม่หลงกล ClickFix ควบคู่กับการตรวจจับพฤติกรรมผิดปกติ ได้แก่ การรันคำสั่ง การโหลด DLL ผ่าน OneDrive การ polling HTTP ที่ถี่มาก และการเข้าถึง repository บน GitHub โดยไม่มีเหตุผลที่อธิบายได้