คำตอบการวิจัย
ประเด็นสำคัญ C2Looper คือแบ็กดอร์ Windows ที่พัฒนาด้วย Rust ซึ่ง Zscaler ThreatLabz ระบุครั้งแรกในเดือนกรกฎาคม 2026 รุ่นเก่าใช้ HTTP แบบไม่เข้ารหัสเพื่อส่ง beacon ถี่มาก รองรับการสั่งรันคำสั่ง สำรวจระบบ ดาวน์โหลดไฟล์ และอัปเดตตัวเองผ่าน OneDrive DLL sideloading ส่วนรุ่นใหม่ใช้ไดเรกทอรี GitHub แยกตามเครื่องเหยื่อ พร้อมไฟล์ JSON สำหร... องค์กรควรเฝ้าระวังการรัน PowerShell หรือคำสั่งที่ผู้ใช้คัดลอกจากหน้าเว็บ การโหลด DLL ผิดปกติผ่าน OneDrive รวมถึงทราฟฟิก HTTP และ GitHub ที่เกิดขึ้นเป็นช่วงเวลาสม่ำเสมอ What is the Rust-based C2Looper Windows backdoor, when was it first identified, how is it believed to be connected to ransomware-related act Editorial illustration of C2Looper's evolving command-and-control infrastructure. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What is the Rust-based C2Looper Windows backdoor, when was it first identified, how is it believed to be connected to ransomware-related act. Article summary: C2Looper is a newly identified Rust-based Windows backdoor designed to give an operator a foothold for remote command execution, host reconnaissance, payload deployment, and likely later-stage lateral movement. Zscaler T. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com C2Looper คือแบ็กดอร์บน Windows ที่พัฒนาด้วยภาษา Rust ทำหน้าที่เปิดทางให้ผู้โจมตีเข้าควบคุมเครื่องจากระยะไกล สำรวจข้อมูลในระบบ และดาวน์โหลดหรือติดตั้งเพย์โหลดอื่นเพิ่มเติม
Zscaler ThreatLabz ระบุมัลแวร์ตระกูลนี้ครั้งแรกในเดือนกรกฎาคม 2026 และประเมินว่ามีแนวโน้มถูกใช้โดยผู้ก่อภัยคุกคามที่เกี่ยวข้องกับแรนซัมแวร์ อย่างไรก็ตาม นี่เป็นการประเมินเชิงวิเคราะห์ ไม่ใช่การยืนยันตัวผู้โจมตีหรือกลุ่มแรนซัมแวร์อย่างเป็นทางการ ขณะที่เส้นทางการแพร่กระจายที่คาดว่าเกี่ยวข้องกับ C2Looper ก็มีระดับความเชื่อมั่นเพียงต่ำถึงปานกลาง
ทำไม C2Looper จึงสำคัญต่อการรับมือแรนซัมแวร์
C2Looper ไม่ได้ถูกอธิบายว่าเป็นแรนซัมแวร์โดยตรง แต่มีบทบาทสอดคล้องกับช่วงเริ่มต้นและช่วงเตรียมการของการบุกรุก ผู้โจมตีสามารถใช้มันเพื่อรันคำสั่ง ตรวจสอบเครื่อง ดาวน์โหลดไฟล์ และติดตั้งเครื่องมือเพิ่มเติมหลังเจาะระบบได้สำเร็จ ความสามารถเหล่านี้อาจช่วยสร้างจุดยึด ขยายการเข้าถึงภายในเครือข่าย และเตรียมทางก่อนการโจมตีด้วยแรนซัมแวร์ในภายหลัง
คนยังถาม คำตอบสั้น ๆ สำหรับ "C2Looper ทำงานอย่างไร: แบ็กดอร์ Windows ที่เปลี่ยนจาก HTTP ไปใช้ GitHub" คืออะไร C2Looper คือแบ็กดอร์ Windows ที่พัฒนาด้วย Rust ซึ่ง Zscaler ThreatLabz ระบุครั้งแรกในเดือนกรกฎาคม 2026
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? C2Looper คือแบ็กดอร์ Windows ที่พัฒนาด้วย Rust ซึ่ง Zscaler ThreatLabz ระบุครั้งแรกในเดือนกรกฎาคม 2026 รุ่นเก่าใช้ HTTP แบบไม่เข้ารหัสเพื่อส่ง beacon ถี่มาก รองรับการสั่งรันคำสั่ง สำรวจระบบ ดาวน์โหลดไฟล์ และอัปเดตตัวเองผ่าน OneDrive DLL sideloading ส่วนรุ่นใหม่ใช้ไดเรกทอรี GitHub แยกตามเครื่องเหยื่อ พร้อมไฟล์ JSON สำหร...
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? องค์กรควรเฝ้าระวังการรัน PowerShell หรือคำสั่งที่ผู้ใช้คัดลอกจากหน้าเว็บ การโหลด DLL ผิดปกติผ่าน OneDrive รวมถึงทราฟฟิก HTTP และ GitHub ที่เกิดขึ้นเป็นช่วงเวลาสม่ำเสมอ
คำตอบการวิจัย
ประเด็นสำคัญ C2Looper คือแบ็กดอร์ Windows ที่พัฒนาด้วย Rust ซึ่ง Zscaler ThreatLabz ระบุครั้งแรกในเดือนกรกฎาคม 2026 รุ่นเก่าใช้ HTTP แบบไม่เข้ารหัสเพื่อส่ง beacon ถี่มาก รองรับการสั่งรันคำสั่ง สำรวจระบบ ดาวน์โหลดไฟล์ และอัปเดตตัวเองผ่าน OneDrive DLL sideloading ส่วนรุ่นใหม่ใช้ไดเรกทอรี GitHub แยกตามเครื่องเหยื่อ พร้อมไฟล์ JSON สำหร... องค์กรควรเฝ้าระวังการรัน PowerShell หรือคำสั่งที่ผู้ใช้คัดลอกจากหน้าเว็บ การโหลด DLL ผิดปกติผ่าน OneDrive รวมถึงทราฟฟิก HTTP และ GitHub ที่เกิดขึ้นเป็นช่วงเวลาสม่ำเสมอ What is the Rust-based C2Looper Windows backdoor, when was it first identified, how is it believed to be connected to ransomware-related act Editorial illustration of C2Looper's evolving command-and-control infrastructure. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What is the Rust-based C2Looper Windows backdoor, when was it first identified, how is it believed to be connected to ransomware-related act. Article summary: C2Looper is a newly identified Rust-based Windows backdoor designed to give an operator a foothold for remote command execution, host reconnaissance, payload deployment, and likely later-stage lateral movement. Zscaler T. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com C2Looper คือแบ็กดอร์บน Windows ที่พัฒนาด้วยภาษา Rust ทำหน้าที่เปิดทางให้ผู้โจมตีเข้าควบคุมเครื่องจากระยะไกล สำรวจข้อมูลในระบบ และดาวน์โหลดหรือติดตั้งเพย์โหลดอื่นเพิ่มเติม
Zscaler ThreatLabz ระบุมัลแวร์ตระกูลนี้ครั้งแรกในเดือนกรกฎาคม 2026 และประเมินว่ามีแนวโน้มถูกใช้โดยผู้ก่อภัยคุกคามที่เกี่ยวข้องกับแรนซัมแวร์ อย่างไรก็ตาม นี่เป็นการประเมินเชิงวิเคราะห์ ไม่ใช่การยืนยันตัวผู้โจมตีหรือกลุ่มแรนซัมแวร์อย่างเป็นทางการ ขณะที่เส้นทางการแพร่กระจายที่คาดว่าเกี่ยวข้องกับ C2Looper ก็มีระดับความเชื่อมั่นเพียงต่ำถึงปานกลาง
ทำไม C2Looper จึงสำคัญต่อการรับมือแรนซัมแวร์
C2Looper ไม่ได้ถูกอธิบายว่าเป็นแรนซัมแวร์โดยตรง แต่มีบทบาทสอดคล้องกับช่วงเริ่มต้นและช่วงเตรียมการของการบุกรุก ผู้โจมตีสามารถใช้มันเพื่อรันคำสั่ง ตรวจสอบเครื่อง ดาวน์โหลดไฟล์ และติดตั้งเครื่องมือเพิ่มเติมหลังเจาะระบบได้สำเร็จ ความสามารถเหล่านี้อาจช่วยสร้างจุดยึด ขยายการเข้าถึงภายในเครือข่าย และเตรียมทางก่อนการโจมตีด้วยแรนซัมแวร์ในภายหลัง
คนยังถาม คำตอบสั้น ๆ สำหรับ "C2Looper ทำงานอย่างไร: แบ็กดอร์ Windows ที่เปลี่ยนจาก HTTP ไปใช้ GitHub" คืออะไร C2Looper คือแบ็กดอร์ Windows ที่พัฒนาด้วย Rust ซึ่ง Zscaler ThreatLabz ระบุครั้งแรกในเดือนกรกฎาคม 2026
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? C2Looper คือแบ็กดอร์ Windows ที่พัฒนาด้วย Rust ซึ่ง Zscaler ThreatLabz ระบุครั้งแรกในเดือนกรกฎาคม 2026 รุ่นเก่าใช้ HTTP แบบไม่เข้ารหัสเพื่อส่ง beacon ถี่มาก รองรับการสั่งรันคำสั่ง สำรวจระบบ ดาวน์โหลดไฟล์ และอัปเดตตัวเองผ่าน OneDrive DLL sideloading ส่วนรุ่นใหม่ใช้ไดเรกทอรี GitHub แยกตามเครื่องเหยื่อ พร้อมไฟล์ JSON สำหร...
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? องค์กรควรเฝ้าระวังการรัน PowerShell หรือคำสั่งที่ผู้ใช้คัดลอกจากหน้าเว็บ การโหลด DLL ผิดปกติผ่าน OneDrive รวมถึงทราฟฟิก HTTP และ GitHub ที่เกิดขึ้นเป็นช่วงเวลาสม่ำเสมอ
ข้อมูลที่เปิดเผยในขณะนี้ยังไม่เพียงพอที่จะระบุ C2Looper ว่าเป็นผลงานของกลุ่มแรนซัมแวร์รายใดโดยชัดเจน การพบความคล้ายคลึงกับโครงสร้างพื้นฐานของมัลแวร์อื่นจึงควรถูกมองเป็นเบาะแสสำหรับการสืบสวน ไม่ใช่หลักฐานว่ามีผู้พัฒนาหรือผู้ควบคุมรายเดียวกัน
C2Looper สองรุ่นทำงานอย่างไร
รุ่นก่อนหน้า: ควบคุมผ่าน HTTP โดยตรง ตัวอย่างรุ่นเก่าสื่อสารกับเซิร์ฟเวอร์ควบคุมของผู้โจมตีผ่าน HTTP แบบ plaintext และใช้ข้อมูลคำสั่งในรูปแบบ JSON รายงานระบุว่ามีการ polling ถี่มาก บางตัวอย่างตรวจสอบคำสั่งทุกประมาณหนึ่งวินาที พฤติกรรมดังกล่าวอาจสร้างสัญญาณที่สังเกตได้ทั้งบนเครื่องปลายทางและในเครือข่าย
ข้อมูล beacon ของมัลแวร์ใช้ระบุเครื่องเหยื่อผ่านข้อมูลต่าง ๆ เช่น ชื่อผู้ใช้ Windows ชื่อโฮสต์ DNS หมายเลขโปรเซสของ C2Looper และรหัสบอตที่สร้างจากชื่อโฮสต์กับชื่อผู้ใช้ โดยส่งข้อมูลไปยังเส้นทาง /api/beacon และส่งผลลัพธ์ของคำสั่งกลับผ่าน /api/result/
ชุดคำสั่งที่พบช่วยให้ผู้ควบคุมมีอำนาจเหนือเครื่องที่ติดเชื้อได้อย่างเป็นรูปธรรม ได้แก่
รันคำสั่ง shell หรือคำสั่งระบบได้ตามต้องการ
สำรวจข้อมูลและสถานะของเครื่อง
ดาวน์โหลดไฟล์
อัปเดตตัวมัลแวร์และติดตั้งเพย์โหลดเพิ่มเติม
หลังจากนั้น มัลแวร์สามารถหยุดโปรเซส OneDrive และอาศัยไฟล์ปฏิบัติการ OneDrive ที่ถูกต้องตามปกติให้โหลด DLL ที่แฝงไว้ เทคนิคนี้เรียกว่า DLL sideloading คือการวางโค้ดอันตรายไว้ข้างไฟล์ที่เชื่อถือได้ แล้วใช้พฤติกรรมการโหลดไลบรารีตามปกติของโปรแกรมนั้นเพื่อทำงาน
เทคนิคหลบเลี่ยงการตรวจจับในรุ่นเก่า C2Looper ใช้การถอดรหัสข้อความด้วย XOR ระหว่างทำงาน โดยมีรายงานว่าใช้คีย์ขนาด 8 ไบต์ซ้ำกัน นอกจากนี้ยังแก้ไขการเรียกใช้ Windows API แบบไดนามิกผ่าน LoadLibrary และ GetProcAddress เทคนิคเหล่านี้อาจทำให้การวิเคราะห์ไฟล์แบบ static เพียงอย่างเดียวเห็นข้อมูลได้น้อยลง และเพิ่มความสำคัญของข้อมูลพฤติกรรมจากระบบ EDR
รุ่นใหม่: ใช้ GitHub เป็นโครงสร้างพื้นฐาน C2 C2Looper รุ่นใหม่เปลี่ยนจากการใช้เซิร์ฟเวอร์ C2 แบบดั้งเดิมมาใช้ repository บน GitHub สำหรับส่งคำสั่ง รับ beacon ส่งผลลัพธ์ และในรายงานเกี่ยวกับรุ่นใหม่นั้นยังรวมถึงข้อมูลที่เกี่ยวข้องกับเพย์โหลดด้วย
เครื่องที่ติดเชื้อแต่ละเครื่องจะได้รับไดเรกทอรีเฉพาะของตัวเองภายใน repository มัลแวร์จะอ่านคำสั่งจากไฟล์ cmd.json ดำเนินการตามคำสั่ง แล้วเขียนผลลัพธ์ลงในไฟล์ result.json ของไดเรกทอรีเดียวกัน วิธีนี้ทำให้ผู้โจมตีสามารถส่งคำสั่งและเก็บผลลัพธ์ผ่านไฟล์ได้ โดยไม่จำเป็นต้องดูแลเซิร์ฟเวอร์ C2 เฉพาะของตัวเอง
การใช้ GitHub ซึ่งเป็นบริการที่มีการใช้งานอย่างถูกต้องในงานพัฒนาและธุรกิจ อาจทำให้การบล็อกโดเมนแบบง่าย ๆ มีประสิทธิภาพลดลง แนวทางที่เหมาะสมกว่าคือการตรวจสอบพฤติกรรม เช่น การเข้าถึง repository หรือ API ของ GitHub เป็นช่วงเวลาสม่ำเสมอจากเครื่องที่ไม่มีเหตุผลทางธุรกิจต้องใช้งาน และการพบไฟล์ JSON แยกตามเครื่องที่มีรูปแบบน่าสงสัย
การย้ายไปใช้ GitHub รวมถึงความสามารถด้านการทำงานกับเพย์โหลดที่เพิ่มขึ้นในตัวอย่างรุ่นใหม่ บ่งชี้ว่า C2Looper ยังคงอยู่ระหว่างการพัฒนาอย่างต่อเนื่อง
อาจแพร่ผ่านวิศวกรรมสังคมแบบ ClickFix ThreatLabz ประเมินด้วยความเชื่อมั่นระดับต่ำถึงปานกลางว่า C2Looper อาจถูกส่งผ่านห่วงโซ่การติดเชื้อแบบหลายขั้นตอนที่เรียกว่า ClickFix ในรูปแบบนี้ เหยื่อจะเห็นหน้าต่างยืนยันตัวตนปลอม ข้อผิดพลาดของเบราว์เซอร์ CAPTCHA หรือข้อความอ้างว่าต้องแก้ไขปัญหาระบบ จากนั้นถูกโน้มน้าวให้คัดลอกและรันคำสั่งผ่าน PowerShell หน้าต่าง Run ของ Windows หรือช่องทางคำสั่งอื่น
จุดที่ผู้ใช้เข้ามามีส่วนร่วมจึงเป็นโอกาสสำคัญในการป้องกัน เว็บไซต์หรือข้อความจากเบราว์เซอร์ไม่ควรขอให้ผู้ใช้วางคำสั่งลงใน PowerShell, Terminal หรือหน้าต่าง Run เพื่อยืนยันตัวตนหรือซ่อมแซมระบบ
รายงานที่เกี่ยวข้องยังพูดถึงการหลอกลวงทางโทรศัพท์ผ่าน Microsoft Teams และการใช้ Quick Assist ในระบบนิเวศของวิศวกรรมสังคมที่กว้างขึ้น แต่หลักฐานที่มีอยู่ไม่ได้ยืนยันว่าทุกแคมเปญลักษณะดังกล่าวเป็นผู้ส่ง C2Looper องค์กรจึงควรมองความเชื่อมโยงเหล่านี้เป็นบริบทที่เป็นไปได้ ไม่ใช่การระบุแหล่งที่มาอย่างยืนยันแล้ว
สิ่งที่ฝ่ายป้องกันควรเฝ้าระวัง องค์กรสามารถเน้นตรวจจับพฤติกรรมที่มีมูลค่าสูง แทนการพยายามบล็อกทุกเครื่องมือหรือบริการที่อาจเกี่ยวข้องกับมัลแวร์
Beacon ผ่าน HTTP แบบ plaintext ถี่ผิดปกติ: ตรวจสอบทราฟฟิก JSON POST ที่เกิดขึ้นเป็นจังหวะสม่ำเสมอ โดยเฉพาะคำขอที่มีเส้นทางคล้าย /api/beacon และ /api/result/ แล้วเชื่อมโยงกับโปรเซสใหม่หรือโปรเซสที่น่าสงสัย การใช้งาน GitHub ที่ผิดปกติ: ค้นหาการเข้าถึง repository หรือ API ของ GitHub จากเครื่องปลายทางที่เกิดขึ้นเป็นช่วงเวลา หรือมีไดเรกทอรีแยกตามเครื่องพร้อมไฟล์ cmd.json และ result.json ไม่ควรบล็อก GitHub ทั้งหมด แต่ควรแยกจากการใช้งานที่ถูกต้องของนักพัฒนาและระบบ CI/CD OneDrive DLL sideloading: แจ้งเตือนเมื่อไฟล์ปฏิบัติการ OneDrive ที่ถูกต้องทำงานจากเส้นทางผิดปกติในโปรไฟล์ผู้ใช้ โหลด DLL จากไดเรกทอรีที่เขียนได้ หรือสร้างโปรเซสลูกที่ไม่ควรเกิดขึ้น การรันคำสั่งและการสำรวจระบบ: ใช้ข้อมูลจาก EDR เพื่อตรวจจับ PowerShell, cmd.exe, กิจกรรมจากหน้าต่าง Run การค้นหาข้อมูลระบบ การดาวน์โหลดแบบเป็นขั้นตอน และการรัน shell จากไบนารีที่เพิ่งพบ พฤติกรรมรวมของ implant ที่เขียนด้วย Rust: พิจารณาการแก้ไข API แบบไดนามิก ข้อความที่เข้ารหัส การ polling เครือข่าย และการติดตั้งเพย์โหลดร่วมกัน ไม่ควรพึ่งพาคุณลักษณะของไฟล์เพียงอย่างเดียว
แนวทางป้องกันที่ควรให้ความสำคัญ มาตรการทางเทคนิคควรทำควบคู่กับการป้องกันวิศวกรรมสังคม หากเหมาะสมกับลักษณะงาน องค์กรควรกำกับการใช้ PowerShell, script host, ไบนารีที่ไม่ได้รับการเซ็นชื่อ และการรันไฟล์จากไดเรกทอรีที่ผู้ใช้เขียนได้ นอกจากนี้ Application Allowlisting ยังช่วยลดโอกาสที่เพย์โหลดที่ดาวน์โหลดมาจะทำงานได้
ควรอบรมพนักงานและเจ้าหน้าที่ Help Desk อย่างชัดเจนว่า เว็บไซต์ CAPTCHA หน้ายืนยันตัวตน ข้อความแจ้งเตือนของเบราว์เซอร์ หรือผู้ติดต่อฝ่ายสนับสนุนที่ไม่ได้รับการยืนยัน ไม่ควรขอให้ผู้ใช้คัดลอกคำสั่งไปวางใน PowerShell, Terminal หรือ Run
เครื่องมือสนับสนุนระยะไกลควรใช้งานผ่านขั้นตอนที่องค์กรอนุมัติ ช่องทางสนับสนุนที่ตรวจสอบแล้ว การยืนยันตัวตนหลายปัจจัย การบันทึกเซสชัน และการทบทวนเซสชันที่ผิดปกติอย่างรวดเร็ว
การแบ่งเครือข่ายเป็นส่วนย่อย การใช้สิทธิ์เท่าที่จำเป็น การเปิดใช้ MFA การเร่งอุดช่องโหว่ของระบบที่เปิดสู่สาธารณะ และการมีข้อมูลสำรองแบบออฟไลน์หรือแก้ไขไม่ได้ที่ผ่านการทดสอบแล้ว จะช่วยจำกัดผลกระทบหาก C2Looper ถูกตรวจพบ หากเครื่องใดมี beacon ที่น่าสงสัย การรัน shell หรือ DLL sideloading ให้แยกเครื่องออกจากเครือข่ายโดยเร็ว พร้อมเก็บบันทึกจาก endpoint ข้อมูลเครือข่าย และหน่วยความจำตามความเหมาะสมเพื่อการสืบสวน
สรุป ความสำคัญของ C2Looper อยู่ที่การพัฒนาจากแบ็กดอร์ที่ควบคุมผ่าน HTTP แบบตรงไปตรงมา ไปสู่ implant ที่ยืดหยุ่นกว่าและใช้ repository บน GitHub เป็นโครงสร้างพื้นฐานปฏิบัติการ ความสามารถด้าน remote shell การสำรวจระบบ การดาวน์โหลด และการอัปเดต ทำให้มันเป็นจุดยึดที่มีศักยภาพสำหรับการบุกรุกที่เกี่ยวข้องกับแรนซัมแวร์ แต่หลักฐานปัจจุบันยังสนับสนุนการประเมินอย่างระมัดระวัง ไม่ใช่การระบุผู้โจมตีอย่างเด็ดขาด
แนวทางป้องกันที่แข็งแรงที่สุดคือการทำให้ผู้ใช้ไม่หลงกล ClickFix ควบคู่กับการตรวจจับพฤติกรรมผิดปกติ ได้แก่ การรันคำสั่ง การโหลด DLL ผ่าน OneDrive การ polling HTTP ที่ถี่มาก และการเข้าถึง repository บน GitHub โดยไม่มีเหตุผลที่อธิบายได้
cybersecuritynews.com
C2Looper Updates Itself Through OneDrive DLL Sideloading to Evade Detection
ข้อมูลที่เปิดเผยในขณะนี้ยังไม่เพียงพอที่จะระบุ C2Looper ว่าเป็นผลงานของกลุ่มแรนซัมแวร์รายใดโดยชัดเจน การพบความคล้ายคลึงกับโครงสร้างพื้นฐานของมัลแวร์อื่นจึงควรถูกมองเป็นเบาะแสสำหรับการสืบสวน ไม่ใช่หลักฐานว่ามีผู้พัฒนาหรือผู้ควบคุมรายเดียวกัน
C2Looper สองรุ่นทำงานอย่างไร
รุ่นก่อนหน้า: ควบคุมผ่าน HTTP โดยตรง ตัวอย่างรุ่นเก่าสื่อสารกับเซิร์ฟเวอร์ควบคุมของผู้โจมตีผ่าน HTTP แบบ plaintext และใช้ข้อมูลคำสั่งในรูปแบบ JSON รายงานระบุว่ามีการ polling ถี่มาก บางตัวอย่างตรวจสอบคำสั่งทุกประมาณหนึ่งวินาที พฤติกรรมดังกล่าวอาจสร้างสัญญาณที่สังเกตได้ทั้งบนเครื่องปลายทางและในเครือข่าย
ข้อมูล beacon ของมัลแวร์ใช้ระบุเครื่องเหยื่อผ่านข้อมูลต่าง ๆ เช่น ชื่อผู้ใช้ Windows ชื่อโฮสต์ DNS หมายเลขโปรเซสของ C2Looper และรหัสบอตที่สร้างจากชื่อโฮสต์กับชื่อผู้ใช้ โดยส่งข้อมูลไปยังเส้นทาง /api/beacon และส่งผลลัพธ์ของคำสั่งกลับผ่าน /api/result/
ชุดคำสั่งที่พบช่วยให้ผู้ควบคุมมีอำนาจเหนือเครื่องที่ติดเชื้อได้อย่างเป็นรูปธรรม ได้แก่
รันคำสั่ง shell หรือคำสั่งระบบได้ตามต้องการ
สำรวจข้อมูลและสถานะของเครื่อง
ดาวน์โหลดไฟล์
อัปเดตตัวมัลแวร์และติดตั้งเพย์โหลดเพิ่มเติม
หลังจากนั้น มัลแวร์สามารถหยุดโปรเซส OneDrive และอาศัยไฟล์ปฏิบัติการ OneDrive ที่ถูกต้องตามปกติให้โหลด DLL ที่แฝงไว้ เทคนิคนี้เรียกว่า DLL sideloading คือการวางโค้ดอันตรายไว้ข้างไฟล์ที่เชื่อถือได้ แล้วใช้พฤติกรรมการโหลดไลบรารีตามปกติของโปรแกรมนั้นเพื่อทำงาน
เทคนิคหลบเลี่ยงการตรวจจับในรุ่นเก่า C2Looper ใช้การถอดรหัสข้อความด้วย XOR ระหว่างทำงาน โดยมีรายงานว่าใช้คีย์ขนาด 8 ไบต์ซ้ำกัน นอกจากนี้ยังแก้ไขการเรียกใช้ Windows API แบบไดนามิกผ่าน LoadLibrary และ GetProcAddress เทคนิคเหล่านี้อาจทำให้การวิเคราะห์ไฟล์แบบ static เพียงอย่างเดียวเห็นข้อมูลได้น้อยลง และเพิ่มความสำคัญของข้อมูลพฤติกรรมจากระบบ EDR
รุ่นใหม่: ใช้ GitHub เป็นโครงสร้างพื้นฐาน C2 C2Looper รุ่นใหม่เปลี่ยนจากการใช้เซิร์ฟเวอร์ C2 แบบดั้งเดิมมาใช้ repository บน GitHub สำหรับส่งคำสั่ง รับ beacon ส่งผลลัพธ์ และในรายงานเกี่ยวกับรุ่นใหม่นั้นยังรวมถึงข้อมูลที่เกี่ยวข้องกับเพย์โหลดด้วย
เครื่องที่ติดเชื้อแต่ละเครื่องจะได้รับไดเรกทอรีเฉพาะของตัวเองภายใน repository มัลแวร์จะอ่านคำสั่งจากไฟล์ cmd.json ดำเนินการตามคำสั่ง แล้วเขียนผลลัพธ์ลงในไฟล์ result.json ของไดเรกทอรีเดียวกัน วิธีนี้ทำให้ผู้โจมตีสามารถส่งคำสั่งและเก็บผลลัพธ์ผ่านไฟล์ได้ โดยไม่จำเป็นต้องดูแลเซิร์ฟเวอร์ C2 เฉพาะของตัวเอง
การใช้ GitHub ซึ่งเป็นบริการที่มีการใช้งานอย่างถูกต้องในงานพัฒนาและธุรกิจ อาจทำให้การบล็อกโดเมนแบบง่าย ๆ มีประสิทธิภาพลดลง แนวทางที่เหมาะสมกว่าคือการตรวจสอบพฤติกรรม เช่น การเข้าถึง repository หรือ API ของ GitHub เป็นช่วงเวลาสม่ำเสมอจากเครื่องที่ไม่มีเหตุผลทางธุรกิจต้องใช้งาน และการพบไฟล์ JSON แยกตามเครื่องที่มีรูปแบบน่าสงสัย
การย้ายไปใช้ GitHub รวมถึงความสามารถด้านการทำงานกับเพย์โหลดที่เพิ่มขึ้นในตัวอย่างรุ่นใหม่ บ่งชี้ว่า C2Looper ยังคงอยู่ระหว่างการพัฒนาอย่างต่อเนื่อง
อาจแพร่ผ่านวิศวกรรมสังคมแบบ ClickFix ThreatLabz ประเมินด้วยความเชื่อมั่นระดับต่ำถึงปานกลางว่า C2Looper อาจถูกส่งผ่านห่วงโซ่การติดเชื้อแบบหลายขั้นตอนที่เรียกว่า ClickFix ในรูปแบบนี้ เหยื่อจะเห็นหน้าต่างยืนยันตัวตนปลอม ข้อผิดพลาดของเบราว์เซอร์ CAPTCHA หรือข้อความอ้างว่าต้องแก้ไขปัญหาระบบ จากนั้นถูกโน้มน้าวให้คัดลอกและรันคำสั่งผ่าน PowerShell หน้าต่าง Run ของ Windows หรือช่องทางคำสั่งอื่น
จุดที่ผู้ใช้เข้ามามีส่วนร่วมจึงเป็นโอกาสสำคัญในการป้องกัน เว็บไซต์หรือข้อความจากเบราว์เซอร์ไม่ควรขอให้ผู้ใช้วางคำสั่งลงใน PowerShell, Terminal หรือหน้าต่าง Run เพื่อยืนยันตัวตนหรือซ่อมแซมระบบ
รายงานที่เกี่ยวข้องยังพูดถึงการหลอกลวงทางโทรศัพท์ผ่าน Microsoft Teams และการใช้ Quick Assist ในระบบนิเวศของวิศวกรรมสังคมที่กว้างขึ้น แต่หลักฐานที่มีอยู่ไม่ได้ยืนยันว่าทุกแคมเปญลักษณะดังกล่าวเป็นผู้ส่ง C2Looper องค์กรจึงควรมองความเชื่อมโยงเหล่านี้เป็นบริบทที่เป็นไปได้ ไม่ใช่การระบุแหล่งที่มาอย่างยืนยันแล้ว
สิ่งที่ฝ่ายป้องกันควรเฝ้าระวัง องค์กรสามารถเน้นตรวจจับพฤติกรรมที่มีมูลค่าสูง แทนการพยายามบล็อกทุกเครื่องมือหรือบริการที่อาจเกี่ยวข้องกับมัลแวร์
Beacon ผ่าน HTTP แบบ plaintext ถี่ผิดปกติ: ตรวจสอบทราฟฟิก JSON POST ที่เกิดขึ้นเป็นจังหวะสม่ำเสมอ โดยเฉพาะคำขอที่มีเส้นทางคล้าย /api/beacon และ /api/result/ แล้วเชื่อมโยงกับโปรเซสใหม่หรือโปรเซสที่น่าสงสัย การใช้งาน GitHub ที่ผิดปกติ: ค้นหาการเข้าถึง repository หรือ API ของ GitHub จากเครื่องปลายทางที่เกิดขึ้นเป็นช่วงเวลา หรือมีไดเรกทอรีแยกตามเครื่องพร้อมไฟล์ cmd.json และ result.json ไม่ควรบล็อก GitHub ทั้งหมด แต่ควรแยกจากการใช้งานที่ถูกต้องของนักพัฒนาและระบบ CI/CD OneDrive DLL sideloading: แจ้งเตือนเมื่อไฟล์ปฏิบัติการ OneDrive ที่ถูกต้องทำงานจากเส้นทางผิดปกติในโปรไฟล์ผู้ใช้ โหลด DLL จากไดเรกทอรีที่เขียนได้ หรือสร้างโปรเซสลูกที่ไม่ควรเกิดขึ้น การรันคำสั่งและการสำรวจระบบ: ใช้ข้อมูลจาก EDR เพื่อตรวจจับ PowerShell, cmd.exe, กิจกรรมจากหน้าต่าง Run การค้นหาข้อมูลระบบ การดาวน์โหลดแบบเป็นขั้นตอน และการรัน shell จากไบนารีที่เพิ่งพบ พฤติกรรมรวมของ implant ที่เขียนด้วย Rust: พิจารณาการแก้ไข API แบบไดนามิก ข้อความที่เข้ารหัส การ polling เครือข่าย และการติดตั้งเพย์โหลดร่วมกัน ไม่ควรพึ่งพาคุณลักษณะของไฟล์เพียงอย่างเดียว
แนวทางป้องกันที่ควรให้ความสำคัญ มาตรการทางเทคนิคควรทำควบคู่กับการป้องกันวิศวกรรมสังคม หากเหมาะสมกับลักษณะงาน องค์กรควรกำกับการใช้ PowerShell, script host, ไบนารีที่ไม่ได้รับการเซ็นชื่อ และการรันไฟล์จากไดเรกทอรีที่ผู้ใช้เขียนได้ นอกจากนี้ Application Allowlisting ยังช่วยลดโอกาสที่เพย์โหลดที่ดาวน์โหลดมาจะทำงานได้
ควรอบรมพนักงานและเจ้าหน้าที่ Help Desk อย่างชัดเจนว่า เว็บไซต์ CAPTCHA หน้ายืนยันตัวตน ข้อความแจ้งเตือนของเบราว์เซอร์ หรือผู้ติดต่อฝ่ายสนับสนุนที่ไม่ได้รับการยืนยัน ไม่ควรขอให้ผู้ใช้คัดลอกคำสั่งไปวางใน PowerShell, Terminal หรือ Run
เครื่องมือสนับสนุนระยะไกลควรใช้งานผ่านขั้นตอนที่องค์กรอนุมัติ ช่องทางสนับสนุนที่ตรวจสอบแล้ว การยืนยันตัวตนหลายปัจจัย การบันทึกเซสชัน และการทบทวนเซสชันที่ผิดปกติอย่างรวดเร็ว
การแบ่งเครือข่ายเป็นส่วนย่อย การใช้สิทธิ์เท่าที่จำเป็น การเปิดใช้ MFA การเร่งอุดช่องโหว่ของระบบที่เปิดสู่สาธารณะ และการมีข้อมูลสำรองแบบออฟไลน์หรือแก้ไขไม่ได้ที่ผ่านการทดสอบแล้ว จะช่วยจำกัดผลกระทบหาก C2Looper ถูกตรวจพบ หากเครื่องใดมี beacon ที่น่าสงสัย การรัน shell หรือ DLL sideloading ให้แยกเครื่องออกจากเครือข่ายโดยเร็ว พร้อมเก็บบันทึกจาก endpoint ข้อมูลเครือข่าย และหน่วยความจำตามความเหมาะสมเพื่อการสืบสวน
สรุป ความสำคัญของ C2Looper อยู่ที่การพัฒนาจากแบ็กดอร์ที่ควบคุมผ่าน HTTP แบบตรงไปตรงมา ไปสู่ implant ที่ยืดหยุ่นกว่าและใช้ repository บน GitHub เป็นโครงสร้างพื้นฐานปฏิบัติการ ความสามารถด้าน remote shell การสำรวจระบบ การดาวน์โหลด และการอัปเดต ทำให้มันเป็นจุดยึดที่มีศักยภาพสำหรับการบุกรุกที่เกี่ยวข้องกับแรนซัมแวร์ แต่หลักฐานปัจจุบันยังสนับสนุนการประเมินอย่างระมัดระวัง ไม่ใช่การระบุผู้โจมตีอย่างเด็ดขาด
แนวทางป้องกันที่แข็งแรงที่สุดคือการทำให้ผู้ใช้ไม่หลงกล ClickFix ควบคู่กับการตรวจจับพฤติกรรมผิดปกติ ได้แก่ การรันคำสั่ง การโหลด DLL ผ่าน OneDrive การ polling HTTP ที่ถี่มาก และการเข้าถึง repository บน GitHub โดยไม่มีเหตุผลที่อธิบายได้
cybersecuritynews.com
C2Looper Updates Itself Through OneDrive DLL Sideloading to Evade Detection
