เตือนภัยมัลแวร์ตัวใหม่ "TWINLOOT" ปลอมเป็นไอทีสปอร์ต ลวงเหยื่อเนียนๆ ซ่อนระบบสั่งการใน Microsoft Teams และ SharePoint

Published:

 

แฮกเกอร์สายเทคนิคขั้นสูงได้เปิดตัวมัลแวร์กรอบงาน (Framework) ตัวใหม่สายพันธุ์ Python ที่ชื่อว่า TWINLOOT ครับ ความน่ากลัวของมันอยู่ตรงที่ มันไม่ได้ใช้อย่างพวกเซิร์ฟเวอร์แปลกๆ ของตัวเองในการรับส่งข้อมูลเลย แต่กลับ "แฝงตัวอย่างสมบูรณ์แบบอยู่ภายในบริการของ Microsoft" ทำให้ระบบความปลอดภัยขององค์กรแยกไม่ออกเลยว่านี่คือการใช้งานทั่วไปหรือกำลังโดนโจมตี

สรุปกลไกการทำงานของ TWINLOOT

นักวิจัยด้านความปลอดภัยจาก Ontinue ได้ค้นพบเจ้ามัลแวร์ตัวนี้ระหว่างการสืบสวนคดีเมื่อช่วงเดือนกรกฎาคม 2026 โดยพบความเชื่อมโยงที่น่าสนใจดังนี้ครับ

  • หลอกล่อขั้นแรก (Social Engineering): แฮกเกอร์จะปลอมตัวเป็นเจ้าหน้าที่ IT Support ติดต่อมาทาง Microsoft Teams แล้วหว่านล้อมให้เหยื่อรันคำสั่ง PowerShell เพื่อดาวน์โหลดไฟล์ Payload ขนาด 39 MB มาติดตั้งในเครื่อง
  • สั่งการผ่าน SharePoint dead-drop: มัลแวร์จะส่งคำสั่งผ่าน SharePoint Online โดยใช้ Microsoft Graph API แอบวนรอบไปเช็กข้อมูลทุกๆ 15 วินาที เพื่อรับคำสั่งและแอบส่งข้อมูลกลับ
  • แอบสวมรอยผ่าน Edge: จุดเนียนคือมันจะแอบเปิดเบราว์เซอร์ Edge ของตัวเหยื่อเองในโหมดซ่อนตัว (Headless mode) เพื่อวิ่งเข้าหา Graph API ทำให้ Traffic เครือข่ายเนียนเหมือนยูสเซอร์นั่งเล่นเว็บปกติ
  • เปิดช่องทางไหลเวียนข้อมูลผ่าน Teams TURN: ใช้เทคโนโลยี WebRTC DataChannels ส่งข้อมูลผ่านเซิร์ฟเวอร์ TURN ของ Microsoft Teams ทำให้แฮกเกอร์ควบคุมเครื่องเน็ตเวิร์กภายในได้แบบ Interactive

หลอกเอาพาสเวิร์ดด้วย "หน้าจอเนียนกริบ"

เมื่อแฮกเกอร์ต้องการรวบรวมรหัสผ่าน มันจะส่งคำสั่งเพื่อขึ้น หน้าจอล็อกเครื่องปลอม (Fake Lock Screen) ที่พิกเซลเป๊ะเหมือนของจริงมาก

ที่น่าสนใจคือ: ไม่ว่าเหยื่อจะพิมพ์รหัสถูกต้องหรือไม่ในครั้งแรก ระบบจะแกล้งขึ้นข้อความว่า "The password is incorrect. Try again" เสมอ เพื่อหลอกให้เหยื่อกรอกรหัสผ่านที่ถูกต้องซ้ำอีกครั้งในรอบสอง เมื่อได้รหัสไปแล้ว มันจะทำการเข้ารหัสไฟล์รหัสผ่านแล้วส่งขึ้น SharePoint ก่อนนำไปใช้เจาะทะลุผ่านโปรโตคอลอื่นๆ เช่น RDP หรือ WinRM ต่อไปครับ

เทคนิคฝังตัวที่ไม่เคยพบที่ไหนมาก่อน

TWINLOOT นับเป็นมัลแวร์ตัวแรกที่มีการนำโอเพ่นซอร์สอย่าง Swarmer มาประยุกต์ใช้ เพื่อสร้างไฟล์ Hive ใน registry ในรูปแบบ NTUSER.MAN โดยไม่ต้องใช้สิทธิ์ระดับ Admin ซึ่งช่วยให้มัลแวร์สามารถฝังตัวอยู่ในเครื่องได้แบบแนบเนียน และระบบความปลอดภัยตรวจจับได้ยากมากครับ

แม้จะยังไม่สามารถระบุตัวกลุ่มแฮกเกอร์ผู้อยู่เบื้องหลังได้อย่างชัดเจน แต่พบว่ามีพฤติกรรมบางส่วนคล้ายคลึงกับกลุ่ม STAC4749 ที่มักจะใช้การ Phishing ทางเสียงผ่าน Teams เพื่อปล่อยเรียกค่าไถ่ Chaos Ransomware นั่นเอง

ฝากเตือนเพื่อนๆ สายไอทีและผู้ใช้งานองค์กร ให้ระมัดระวังการติดต่อขอให้รันคำสั่งแปลกๆ ผ่านแชต Teams กันด้วยนะครับ!

#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก

Tags:

คุณอาจจะชอบ

ดูทั้งหมด
ใหม่กว่า เก่ากว่า
แชร์กับแอปอื่นๆ
คัดลอก ลิงค์ไปยังโพสต์